初めての「FTK Imager」
2015年2月8日
セクタンラボ

Copyright (C) 2015 SecTan Lab. All Rights Reserved.

FTK Imagerについて••

FTK Imagerは，Windows上で動作する簡易フォレンジックツールです。
ディスクイメージ作成，メモリ取得，ファイル取得など，ライブレスポンスにおけるエビデンス取得機能を有しています。
– ディスクを直接解析しているため，アクセス権やファイルロックの影響を受けることなく，全てのフォルダ・ファイルにアクセスできます。
– 調査対象ディスクの内容を書き換える機能を有していないため，ライブレスポンスで利用した場合に，証拠の改変を最小限に抑えることができます。

•

また，取得したディスクイメージなどを簡易閲覧することもできます。

•

本資料では，FTK Imager Lite版を利用してエビデンスを取得するための操作方法を記載します。

P2

ダウンロードとインストール

P3

ダウンロード（1）•AccessData社のWEBサイト（http://accessdata.com/）にアクセスし，上部メニュー「SOLUTIONS」-「Product Downloads」をクリック①②

P4

ダウンロード（2）•[DIGITAL FORENSICS]をクリックし，フォレンジック製品一覧の中から「FTKImager」をクリック①②

P5

ダウンロード（3）•2種類あるので，好きなほうをダウンロードします。Lite版はインストール不要でUSBメモリなどから利用できます。（機能は通常版とほぼ同じ）

P6

ダウンロード（4）••ダウンロードするために，氏名，メールアドレス，電話番号などを入力します。
登録したメールアドレスには，AccessData社からたまにDMが届きます。

P7

インストール••

通常版は，インストーラーの指示どおりにクリックするだけで，難しいことは何もないので割愛します。
Lite版は，ZIPファイルを任意の場所に展開するだけです。
– この資料では，Lite版の利用を前提として操作方法を説明します。

Lite版のZIPファイルに格納されているファイル

P8

起動
•
•

「FTK Imager.exe」を実行します。
なお，起動には管理者権限が必要となります。

P9

エビデンスの追加

P 10調査対象ハードディスクの閲覧••ツールバーから「Add Evidence Item」をクリック「Select Source」ダイアログで「Physical Drive」を選択した状態で「次へ」をクリック

①②

③

P 11

（補足）「Select Source」ダイアログ
選択肢

説明

Physical Drive• 物理的なディスクを選択します。
• 未割当領域，削除済領域も含めて，ディスクの全領域を調査できます。

Logical Drive• 論理ドライブ（例：Cドライブ）を選択します。
• 選択したパーティションのみ調査できます。
• イメージファイルを選択します。

Image File

Contents of a Folder• 特定のフォルダを選択します。
• 未割当領域，削除済領域などは調査できません。

P 12

ドライブの選択•「Select Drive」ダイアログで，調査対象ディスクを選択し，「Finish」をクリック– ドロップダウンリストには，パソコンに接続されている全てのストレージが表示されます。
（USBメモリも表示されます）– メーカー名，型番，容量などを参考に，調査したいディスクを選択します。

①②

P 13

エビデンスツリー••「Evidence Tree」に，ディスクが追加されました。
同様の操作で，複数のディスクやディスクイメージをエビデンスツリーに追加できます。

P 14

エビデンスの閲覧

P 15

エビデンスツリーの展開•「Evidence Tree」のディスクを展開していくと，各パーティションに格納されているフォルダなどが表示されます。

[root]
ルートフォルダ[unallocated space]
未割当領域[orphan]
削除済ファイルのうち，親フォルダが不明となったもの

P 16

フォルダ・ファイルの閲覧••

FTK Imagerは，OSを介さずにファイルシステムを直接解析するため，Windowsのアクセス権などの影響を受けずに，全てのフォルダ・ファイルにアクセスできます。
また，削除済フォルダ・ファイルも表示できます。

削除済ファイルを示すアイコン

P 17

プロパティペイン
•プロパティペインには，選択したファイルのタイムスタンプなどの詳細情報が表示されます。なお，NTFSのタイムスタンプは，UTC（協定世界時）で表示されます。日本時間に換算するには，+9時間して読み取ってください。（FATは日本時間で表示されます。）

NTFSは，タイムスタンプがUTCで表示されるため注意！

P 18

ビューアーペイン•

選択したファイルの内容を閲覧できます。

ビューアの表示形式の切り替え
左から順に，• IEのエンジンで表示• テキストのみ表示• 16進数で表示

P 19

フォルダ・ファイルの抽出

P 20

フォルダ・ファイルのエクスポート•

次の操作により，任意のフォルダ・ファイルを抽出して保存できます。
– 取得したいフォルダ・ファイルを右クリックし，「Export Files…」をクリック– 保存するフォルダを指定して「OK」をクリック

①②

P 21

ファイルリストの作成•

次の操作により，ファイルリストをCSV形式で作成できます。
– 「Evidence Tree」のディスク，またはパーティションを右クリックし，「Export Directory
Listing…」をクリック– ファイルリストの保存先を選択し「保存」をクリック

①②

P 22

ディスクイメージの作成

P 23

ディスクイメージの作成••

ツールバーから「Create Disk Image」をクリック「Select Source」ダイアログで「Physical Drive」を選択し，「次へ」をクリック

①②

P 24

ドライブの選択•「Select Drive」ダイアログで，調査対象ディスクを選択し，「Finish」をクリック– ドロップダウンリストには，パソコンに接続されている全てのストレージが表示されます。
（USBメモリも表示されます）– メーカー名，型番，容量などを参考に，ディスクを選択します。

①②

P 25

ディスクイメージ形式の指定••「Create Image」ダイアログで「Add…」をクリック「Select Image Type」ダイアログで「Raw(dd)」を選択し「次へ」をクリック

①②

P 26

事案情報の入力•「Evidence Item Information」ダイアログに，任意の情報を入力して，「次へ」をクリッ
ク– ここで入力した情報が，ディスクイメージのログファイルに記録されます。
– 何も入力しなくとも問題ありません。

P 27

保存先の指定•

保存先フォルダ，ファイル名，およびファイル分割サイズを指定し，「Finish」をクリック– デフォルトでは，1.5GBごとにファイルが分割されます。
– 分割されたファイルは，拡張子として数字の連番が付定されます。

保存先フォルダ
ファイル名

P 28

ディスクイメージ作成の開始•••「Start」ボタンをクリック
容量の大きなディスクイメージの作成は，かなり時間がかかるので気長に待ちます。
作成したディスクイメージは，前述「エビデンスの追加」手順で閲覧できます。

DP 29

メモリイメージの作成

P 30

メモリイメージの作成••

ツールバーから「Capture Memory」をクリック「Memory Capture」ダイアログで保存先フォルダ，ファイル名を入力して「CaptureMemory」をクリック①

保存先フォルダ
ファイル名②

P 31