8 bits: December 2007
AFF open source tegenhanger van EWF
In mijn bericht over Photorec heb ik de term EWF (Expert Witness File formaat) al eens aangehaald. EWF wordt door forensische softwareprogramma's als Encase gebruikt. Er blijkt ook een open source variant te bestaan: AFF (Advanced Forensic Format).
Continue reading "AFF open source tegenhanger van EWF" »
Posted in EWF, Forensics | Permalink | Comments (2) | TrackBack (0)
Maak je eigen Linux Live CD
Het samenstellen van een Linux Live CD (die je overal mee naartoe kunt nemen zodat je overal je eigen programma's bij je hebt) was nog nooit eenvoudiger als nu. Neem maar eens een kijkje op Custom Nimblex. Via een eenvoudig keuzemenu kun je de programma's kiezen die je op je Live CD wilt hebben staan. Na het kiezen van de programma's wordt een en ander voor je samengesteld en kun je de ISO downloaden.
Als je gewend bent aan Ubuntu dan is het ook mogelijk om gebruik te maken van
Minibuntu: een volledig functionele, doch minimake installatie van Ubuntu in de vorm van een Live CD. De ISO is slechts 138 MB. Na het downloaden van de ISO kun je gebruik maken van de Ubuntu Customization Kit of Reconstructor om alle pakketjes toe te voegen die je graag op de CD wilt hebben.
Posted in Linux | Permalink | Comments (0) | TrackBack (0)
Posted in Ubuntu | Permalink | Comments (0) | TrackBack (0)
libewf installeren onder Ubuntu
Als je libewf onder Ubuntu wilt installeren, dan is dat het meest eenvoudig via een .deb archief. Je vindt het meest recente .deb archief hier. Het is niet de meest recente uitgave van libewf (deze is helaas alleen in tar.gz formaat beschikbaar). Als je het .deb archief hebt gedownloadt en vervolgens dubbelklikt onder Ubuntu, dan wordt het direct door Package Installer van Ubuntu uitgepakt en geinstalleerd. Hierna heb je de beschikking over de command line versie van ewfacquire, ewfverify, ewfinfo en ewfexport (met deze tools is het bijvoorbeeld mogelijk om Encase E01 bestanden te maken).
Posted in EWF | Permalink | TrackBack (0)
Windows restore points bekijken
Een van de mogelijkheden om informatie uit Windows restore points te bekijken:
Gebruik FTK Imager om de inhoud te kopieren van
c:\System Volume Information\_restore*
(als het goed is bestaat de inhoud van die map uit een of meerdere mappen waarvan de naam begint met RP, of je deze data nu haalt uit een live systeem of uit een image van een harddisk, dat maakt voor de onderzoeksprocedure verder niet uit)