データの取得と複製　Linux フォレンジック ワークステーションにイメージをマウントする


◆目的
Linux ワークステーションはさまざまなファイル システムをサポートし、フォレンジック調査の実施に役立つ高度なツールを備えています。

フォレンジック イメージ ファイルは、イメージ ファイル内に存在するファイル/フォルダーにアクセスして分析するためにドライブにマウントされます。

目的は、Linux フォレンジック ワークステーションにイメージ ファイルをマウントする方法を理解できるようにすることです。
<ul>
<li>mount コマンドを使用して dd イメージ ファイルをマウントします。
<li>ループデバイスを使用して dd イメージファイルをマウントする
</ul>

◆概要
Linux フォレンジック ワークステーションにイメージ ファイルをマウントする方法を説明します。

◆前提
E01 イメージを dd イメージに変換する方法について説明しました。この変換されたイメージをマウントしてその内容を表示する方法を見ていきます。

１．
ランチャー パネルから[ターミナル]アイコンをクリックして、コマンド ライン ターミナルを起動します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/608caf2f-98fd-450c-e3ba-51f75db34856.png)

２．
コマンドラインターミナルが起動します。アプリケーションをインストールするには、端末の root 権限が必要です。

したがって、sudo suと入力してEnterを押します。パスワードの入力を求められます。パスワードとして「toor 」と入力し、 Enterを押します。

ここで、次のスクリーンショットに示すように、ルート端末に入ります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/6b7fa342-dc65-27f4-b859-4638af432152.png)

３，
Ubuntu フォレンジック仮想マシンをシャットダウンしておらず、Windows_Evidence_001.ddファイルがまだDocumentsディレクトリにマウントされている場合は、５へ

４，
マシンを再起動するとマウントされたイメージが消えるため、xmount を使用して E01 ファイルを再度変換してマウントする必要があります。したがって、「 xmount --in ewf Windows_Evidence_001.E01 /home/jason/Documents 」と入力し、 Enterを押します。このコマンドはファイルを変換し、Documentsフォルダーにマウントします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/084c4b11-c444-23e1-fefc-5716b819ea13.png)


５，
次のスクリーンショットに示すように、Windows_Evidence_001.ddファイルがDocumentsディレクトリに表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/649a865e-005f-00d7-81a7-97614722dcaa.png)

６，
次に、このイメージをマウントします。このラボでは、 /mntディレクトリ内にddという名前のディレクトリを作成し、このディレクトリにイメージをマウントします。

７，
ディレクトリを作成するには、コマンドmkdir /mnt/ddを発行します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/09ed82f9-ee97-bed8-e7cf-163c1459633e.png)

８，
/home/jason/Documents/にあるイメージを読み取り専用モードで/mnt/ddにマウントするには、コマンドmount -o ro /home/jason/Documents/Windows_Evidence_001.dd /mnt/dd/ を入力し、Enterを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/f139bd7f-1180-c7a2-094e-f91a066d78b5.png)

９，
これで、イメージが dd ディレクトリに正常にマウントされました。コマンド ライン ターミナルからイメージの内容を表示するには、「ls -la /mnt/dd/」と入力し、 Enterを押します。
これで、イメージが dd ディレクトリに正常にマウントされました。コマンド ライン ターミナルからイメージの内容を表示するには、「ls -la /mnt/dd/」と入力し、 Enterを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/eb162689-9a9b-e179-9241-815eb3ba5487.png)

１０，
これらのファイルをファイル マネージャーで表示するには、[ランチャー]パネルの[ファイル]アイコンをクリックしてファイル マネージャーを起動します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/b6299914-6c8e-8a3d-1f22-1f81f0abb00b.png)

１１，
ファイルマネージャーウィンドウが表示され、ホームディレクトリが表示されます。左側のペインで「コンピュータ」をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/ed2c9fbc-e25f-a73f-82f6-3b19c4b5cc91.png)

１２，
次に、ディレクトリmnt --> ddに移動して、ファイルを表示します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/848bc671-f0f7-8b37-c807-a0525063a9d0.png)

１３，
次のタスクは、 Apple File Systemを含む dd イメージをマウントすることです。

タスクを開始するには、共有ディレクトリchfi-tools/Evidence Files/Forensic Imagesに移動し、MAC_Evidence_001.ddをコピーします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/c076aa7e-1c30-f1af-fb30-60057b49d3d4.png)

１４，
画像ファイルをホームフォルダーに貼り付けます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/b78aa243-a252-6817-60f7-d667f6c3dec2.png)

１５，
次に、ループデバイスにイメージをアタッチしてマウントします。接続する前に、空きループ デバイスを見つける必要があります。

clearコマンドを発行して端末画面をクリアし、次のステップに進みます。

１６，
losetup -fコマンドは、最初の未使用のループ デバイスを特定するのに役立ちます。したがって、未使用のループ デバイスを表示するには、このコマンドを発行します。

出力で返される未使用のループ デバイスは、ラボ環境によって異なる場合があります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/d12b4963-ac54-c05f-cbf2-5a72d89cfc2f.png)

１７，
今回は、 loop1 を未使用のデバイスとして検討します。イメージをループデバイスに添付するには、コマンドラインターミナルに「losetup -r /dev/loop1 MAC_Evidence_001.dd」と入力し、 Enterを押します。

これにより、イメージ ファイル ( MAC_Evidence_001.dd ) がループ デバイスloop1にマウントされます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/544aa475-ce18-2fe1-375b-8897e240e5d1.png)

２８，
マウントされたイメージ ( 「証拠イメージ」という名前) は、ランチャー パネルに表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/01ebb212-2412-29f6-92c8-acee4eba0777.png)

２９、
次のスクリーンショットに示すように、マウント アイコンをクリックすると、イメージ ファイルの内容を含む証拠イメージフォルダーが表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/84f63fc7-3da6-1b3b-1627-01c6c3ea4ddb.png)

３０，
場合によっては、画像に隠しファイルやフォルダーが含まれる場合があります。それらを表示するには、キーボードのCtrl+Hを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3477527/8d01c3f1-31fc-dfbe-8105-dfbc794c2510.png)

３１，
このようにして、 mount コマンドとlosetupコマンドを使用してイメージ ファイルをマウントできます。これらの画像は調査の基礎を形成し、調査に関連する重要な洞察を得るのに役立ちます。

開いているウィンドウをすべて閉じます。