証拠データの処理


目的
　法医学的証拠は、犯罪現場で見つかったハード ドライブ、USB ドライブなどのオリジナル メディアを少しずつコピーすることによって取得されます。これには、ファイル/フォルダー、削除されたデータなど、調査中の潜在的な証拠源として機能する情報が含まれています。
　目的は、証拠データを処理するための Paraben の E3 フォレンジック プラットフォームを学習し、使用できるようにすることです。

概要
　Paraben の E3 フォレンジック プラットフォームを使用して証拠ファイルに対してフォレンジック検査を実施する方法を学習します。

Paraben の E3 ( Paraben_E3-x64_2.7以外)の最新バージョンをダウンロードして検査に使用する場合、表示されるスクリーンショットは異なる可能性があります。

※Windows 10仮想マシン (実行中の場合)でリアルタイム保護が無効になっていることを確認してください。

手順

１
　https://paraben.com/dfir-tools-trial/でE3 プラットフォームの試用版にサインアップし、ツールをダウンロードして、アクティベーション用のライセンスを取得するために Paraben チームと通信してください。
　Parabenインストーラーをダブルクリックしてセットアップを起動し、ウィザードによるインストール手順に従ってアプリケーションをインストールします。(ここでは、デスクトップにツールをダウンロードしました)。
![証拠データの処理_01.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/1f2a19a3-5226-e357-f2e6-303feee0256b.png)

2
　デスクトップにあるElectronic Evidence Examinerアイコンをダブルクリックして、アプリケーションを起動します。または、アプリ画面からアプリケーションを起動することもできます。

3
  ツールを起動すると、 Paraben の E3ポップアップとともにParaben の E3のメイン ウィンドウが開きます。ポップアップを閉じます。
 ※アクティベーションウィンドウが開いた場合は、「キャンセル」をクリックします。
 ※このツールがデフォルトのブラウザでParaben の Web ページを開いた場合は、
　 それを閉じます。
 ※アプリケーション起動時にE3のメイン画面とともにParabenのチュートリアル　　　　ポップアップが表示された場合は、チュートリアルメニューのポップアップを
　閉じてください。

4
　試用版をアクティベートするには、メニュー バーの[ケース]に移動し、ドロップダウンから[アクティベーション]をクリックします。次に、以下のスクリーンショットに示すように、「アクティブ化」オプションをクリックします。
![証拠データの処理_03.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/0ada2b98-2f9e-8075-9177-c4ee770aac7d.png)

5
　Paraben の Electronic Evidence Examiner アクティベーションウィンドウが表示され、アクティベーションのオプションがリストされます。[インターネット ライセンス]オプションが選択されていることを確認し、[アクティブ化]ボタンをクリックします。
![証拠データの処理_04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/d3536b38-bb90-62db-a248-5cde2cf71320.png)

6
　[登録]ダイアログボックスが表示され、アクティベーションを完了するためにアプリケーションを再起動するように求められます。「OK」をクリックします。アプリケーションを閉じて再起動します。
![証拠データの処理_05.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/131442bc-f5d6-75f6-84fa-2726cff75a94.png)

7
　次に、[Web ライセンス サーバーに接続]ウィンドウが開き、Web ライセンス サーバーに接続するためのユーザー認証情報を求められます。ここで、ツールの試用版にアクセスするには、Paraben の E3 試用セットアップへのサインアップ/登録に使用したログイン ID (または電子メール ID ) とパスワードを入力する必要があります。資格情報を入力したら、「接続」ボタンをクリックします。
![証拠データの処理_06.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/a0cf54f0-186a-fa83-355b-72808d256ccc.png)

8
　アプリケーションのメイン ウィンドウが開き、インストール完了後初めてアプリケーションを起動したときに表示されたParaben の E3ポップアップが表示されます。ポップアップを閉じます。

9
　メニュー バーの[Case]に移動し、 [Help]をクリックしてツールがアクティブ化されているかどうかを確認します。右側のウィンドウ ペインには、 Paraben の E3登録に関する情報と登録キーが表示されます。

 ※アプリケーションの試用版がアクティブ化されると、ウィンドウの上部にその名前が Paraben の E3 : Free ではなく Paraben の E3: Universalになっていることがわかります。これはツールの無料版を使用している場合にのみ表示されます。
![証拠データの処理_07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/3982c708-c303-8611-d33d-07651f48ec13.png)

10
　次に、 Paraben の E3フォレンジック プラットフォームを使用して、フォレンジックに取得されたデジタル証拠を調べます。新しい証拠を調べるには、メニュー バーのCaseに移動し、 Create New Caseをクリックします。
![証拠データの処理_08.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/5ab10f3e-be46-24b8-6641-e673cc1b7911.png)

11
　「新規ケース」ウィンドウが表示され、 「ようこそ」セクションが表示されます。「次へ」ボタンをクリックします。
![証拠データの処理_09.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/2dae0fee-adab-c356-ca30-38eec106676a.png)

12
　「ケースのプロパティ」セクションで、それぞれのフィールドにケース名とケースの説明を入力します。要件に応じてこれらの詳細を入力できます。「次へ」をクリックします。
![証拠データの処理_10.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/c24d650e-0244-d584-5451-5a0ea765f989.png)

13
　[追加情報]セクションで、調査員に関する追加情報を入力し (このセクションに詳細を入力することもできます)、[完了]ボタンをクリックします。
　※追加情報は必須ではなく、 [プロパティ]ペインからいつでも入力できます。
![証拠データの処理_11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/c4ac00c8-cf00-83a0-f0fb-cd126bd3b53e.png)

14
　次に表示される[新しいケースの作成]ウィンドウで、デスクトップに移動し、 Reportsという名前のフォルダーを作成します。次に、レポートフォルダーが選択されていることを確認し、[開く]をクリックしてフォルダーに移動します。[ファイル名]フィールドにケースのファイル名 (ここではCase 1.e3 )を指定し、 [保存]をクリックします。
![証拠データの処理_12.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/1d7271d9-e4bc-e812-3e52-bcfa7042115c.png)
![証拠データの処理_13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/7181aa2f-dd3f-be65-ef91-9125642edd32.png)

15
　次に表示される[新しい証拠の追加]ウィンドウで、左ペインの [カテゴリ]セクションで[画像ファイル]を選択し、右ペインの [ソース タイプ]セクションで[画像の自動検出]を選択して、 [ OK]をクリックします。
![証拠データの処理_14.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/d1a2a7b8-55ac-88ad-ebcd-8e8b9adecd5d.png)

16
　「開く」ウィンドウが表示されます。C:\CHFI-Tools\Evidence Files\Forensic Imagesに移動し、Windows_Evidence_001.ddを選択して、「開く」ボタンをクリックします。
![証拠データの処理_15.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/82a93aab-f507-9c83-efd1-4488f6bc4e26.png)

17
　ポップアップが表示され、追加した証拠の新しい名前を指定できます。証拠ファイルのデフォルト名 ( Windows_Evidence_001 ) をそのまま使用します。「OK」をクリックします。
![証拠データの処理_16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/82000a9b-d41a-4f38-fd60-198e958a538f.png)

18
　[ NTFS 設定]ウィンドウが表示されます。削除されたデータの回復に固有のオプションをすべてオンにして、「OK」をクリックします。
 ※画像ファイルがFAT ファイル システムを使用している場合、以下のウィンドウは表示されません。
![証拠データの処理_17.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/646e8c59-e76b-03f1-60c2-b66e586f93f1.png)

19
　選択した画像ファイルがケースに追加されます (アプリケーション ウィンドウの左ペインの[ケース コンテンツ]タブにあるケース 1ファイル)。
![証拠データの処理_18.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/b01732f2-b445-fa1c-347a-b054dbfdf841.png)

20
　Case 1 --> Windows_Evidence_001 --> NTFS --> Rootを展開します。証拠ファイルに関するデータが見つかります。
![証拠データの処理_19.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/aef51e13-918a-7dc9-df10-34f656c1ddd3.png)

21
　フォレンジック調査では、証拠画像ファイルから削除されたデータを取得することが重要です。削除されたデータに関する情報は、ゴミ箱フォルダーから取得できます。削除されたデータを見つけるには、ゴミ箱フォルダーをクリックします。
![証拠データの処理_20.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/be63d6b3-399d-b355-79f4-99d1b21004ae.png)

22
　削除されたファイルのプロパティを表示するには、そのファイルを選択します。スクリーンショットに示すように、そのプロパティがウィンドウの右ペインの [プロパティ] タブに表示されます(ここでは、画像ファイルTweety1.gifを選択しています)。
![証拠データの処理_21.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/7c4c9c8d-24a7-5ece-4410-eca3aa141350.png)

23
　選択したファイルに含まれる実際の画像を表示するには (選択したファイルは画像ファイル形式であるため)、[ファイル表示]タブをクリックします。画像がウィンドウの右側のペインに表示されます。
![証拠データの処理_22.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/145474e6-c04b-ad18-2a94-f0a1de72b902.png)

24
　Paraben の E3では、選択したファイルに含まれる実際の画像を表示するだけでなく、その 16 進数の値も表示できます。16 進値は、ファイルが削除されているか上書きされている場合でも、ファイルの生の正確な内容を判断するのに役立ちます。したがって、16 進値は、通常オペレーティング システムではアクセスできないフォレンジック値の情報を識別して取得するのに役立ちます。

25
　選択したファイルの 16 進数の値を表示するには、「16 進数表示」タブをクリックします16 進値がウィンドウの右側のペインに表示されます。
![証拠データの処理_23.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/32e406f8-d91e-e9a0-cae6-317b90675a87.png)

26
　テキスト ファイル ドキュメントのテキスト値を表示するには、テキスト ファイルを選択し (ここでは、テキスト ファイルNew Text Document.txtを選択しています)、以下のスクリーンショットに示すように、[テキスト ビュー]タブをクリックします。
![証拠データの処理_24.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/fb086711-6bb8-172f-252e-b91ba53b183d.png)

27
　調査レポートを生成するには、まずレポートに含める必要があるファイルを選択します。次に、以下のスクリーンショットに示すように、メニュー バーの[レポート]をクリックし、 [レポートの生成]をクリックします。
![証拠データの処理_25.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/4e22d0ff-d56f-cb1b-3b0d-08d32781f475.png)

28
　次に表示されるレポート ウィザードウィンドウで、生成するレポートの種類を選択し、保存先フォルダーも指定する必要があります。このラボでは、 HTML 調査レポートタイプ オプションと、アプリケーションによって表示されるデフォルトの宛先フォルダーの場所を選択します。[解析された埋め込みデータを含める]および[終了時にレポートを開く]オプションを必ずオンにしてください。「次へ」をクリックします。
　レポートが保存されている場所に移動して手動で開かなくても、ラボの終了時にレポートが自動的に開かれるようにしたい場合は、必ず [終了時にレポートを開く] オプションをオンにしてください。
![証拠データの処理_26.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/eb3ae45b-bc81-9f3c-5fb9-373f9bf0a3d1.png)

29
　必要に応じて、次に表示される「調査員の情報」セクションで追加の調査員情報を追加または編集し、「次へ」ボタンをクリックします。
![証拠データの処理_27.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/5d64396f-4c02-047c-fa6d-9a7686b36028.png)

30
　次に表示される「ファイルシステムの種類」セクションで、レポートに含めるファイルの種類を選択し、「次へ」ボタンをクリックします。
![証拠データの処理_28.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/2366d501-3136-1777-1281-0a9bb76fb659.png)

31
　次に表示される[ファイル プロパティ]セクションで、レポートに含めるプロパティの下の詳細を選択し、 [次へ]をクリックします。
![証拠データの処理_29.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/0f0beb26-6c4b-2f23-9762-651e6d078058.png)

32
　次に表示される「その他の証拠」セクションで、要件に応じてオプションを選択します (これらのオプションをデフォルトに設定したままにすることもできます)。「次へ」をクリックします。
![証拠データの処理_30 .png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/04abb571-ea47-f4b2-f4ce-d37b774730e3.png)

33
　次に表示される[並べ替えられたファイル]セクションで、[レポートに含める] としてチェックされたデータのみを含めるラジオ ボタンを選択し、 [次へ]をクリックします。
![証拠データの処理_31 .png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/09a3d948-54a6-9ea9-fbcc-e16bde1372d4.png)

34
　次に表示されるカスタム レポート ビューセクションでは、カスタム ロゴ、カスタム ヘッダー、カスタム フッターを追加してレポート ビューをカスタマイズできます。レポートビューをカスタマイズしたら、「次へ」をクリックします。
　※レポート ビューのカスタマイズは必須ではないため、[次へ]をクリックしてスキップできます。
![証拠データの処理_32.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/45e9666b-a598-14a2-4ac7-196f074585fc.png)

35
　次に表示される「概要と結論」セクションでは、証拠調べに関連する概要と結論をそれぞれ「審査概要」セクションと「審査結論」セクションに追加できます。「検査概要」サブセクションと「検査結論」サブセクションの下にある「セクションの編集」ボタンをクリックします。これらの各サブセクションの[編集セクション]ウィンドウ(Word 文書に似たもの) が開きます。編集セクション内これらの各サブセクションのウィンドウでは、調査した証拠ファイルの簡単な概要と、そのファイルに対して実行されたアクションと生成された結果を説明する結論をそれぞれ書くことができます。要約と結論を追加したら、「次へ」をクリックします。
　※「概要と結論」セクションは編集が必須ではないため、 「次へ」をクリックしてスキップできます。
![証拠データの処理_33.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/8e212c2c-7154-a706-23a7-614274ba7105.png)

36
　[ログと補足ファイル]セクションで、[ケース履歴を含める]オプションをオンにして、[完了]をクリックします。
![証拠データの処理_34.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/7fc380a6-c37d-f6d2-b2ac-66c47d79680a.png)

37
　[タスク ステータス通知]ウィンドウが表示され、レポートの生成が完了し、生成されたレポートがデフォルトの保存先 (この場合: C:\Users\Administrator\Documents\E3 Cases\Reports\Case 1 )に保存されたことが示されます。「OK」をクリックするか、ウィンドウを閉じます。
![証拠データの処理_35.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/e5e3724d-0d34-9607-69b1-49a8bc932c9f.png)

※以下のスクリーンショットに示すように、生成されたレポートを開く方法を尋ねられたら、選択して [ OK]をクリックします。選択したブラウザを通じてレポートが開きます。この操作の後、生成した調査レポートを開こうとすると、常にここで選択したブラウザを通じて自動的に開かれるようになります。
![証拠データの処理_36.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/f4884e8d-ff95-85cd-1a81-5474d22998cb.png)

38
　レポート ファイルを保存したフォルダーに手動で移動し、そこからレポート ファイルを開くこともできます。このフォルダーには、 Case 1という名前のサブフォルダーがあります。そのサブフォルダーを開き、Case 1.htmlファイルをダブルクリックしてレポートを開いて表示します。
![証拠データの処理_37.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/bcd82180-b7bd-d8e5-fe2e-deb904e127c2.png)

39
　詳細な調査レポートが Web ブラウザで開きます。ブラウザ ウィンドウを下にスクロールして、レポートを詳細に調べます。
![証拠データの処理_38.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/f1524727-9b46-a460-418f-d3d10258b2bc.png)