Forensic Explorer:Forensic分析软件

适用于新的或有经验的调查人员，Forensic Explorer结合了灵活和易于使用的GUI与先进的排序，过滤，关键字搜索，数据恢复和脚本技术。快速处理大量数据、自动化复杂的调查任务、生成详细的报告并提高生产效率。管理调查的各个方面，包括：

 

 

• 文件系统分析
• 关键词和索引搜索
• 实时引导虚拟化
• 电子邮件
• 登记处
• 报告

 

主要特点

• Forensic Explorer包含Mount Image Pro的独立许可证。
• 无重大版本升级成本（有效维护允许访问最新版本）。

 

此软件功能包括：

反病毒：

内置Cisco Clam反病毒软件。

 

书签：

标记、标记或分类潜在证据。

 

病例管理：

创建、保存和加载案例文件。

 

数据访问：

以文件、文本或十六进制级别访问物理或图像媒体的所有区域。查看和分析系统文件、文件和磁盘空闲、交换文件、打印文件、引导记录、分区、文件分配表、未分配的群集等。

 

数据雕刻：

内置数据雕刻工具，可雕刻300多种已知文件类型。

 

数据视图：

强大的数据视图包括：

• 文件列表：按属性对文件进行排序和多个排序，包括扩展名、签名、哈希、路径以及创建、访问和修改日期。
• 磁盘：通过图形视图导航磁盘及其结构。放大和缩小以图形方式映射磁盘使用情况。
• 图库：缩略图照片和图像文件。
• 显示：显示300多种文件类型。缩放、旋转、复制、搜索。播放视频和音乐。
• 文件系统记录：轻松访问和解释FAT和NTFS记录。
• 文本和十六进制：以文本或十六进制访问和分析数据。使用数据检查器自动解码值。
• 文件范围：通过开始和结束扇区运行，快速定位磁盘上文件的位置。
• 字节图和字符分布：使用字节图和ASCII字符分布检查单个文件。

 

电子邮件：

电子邮件支持PST、OST、EDB和MBOX格式。电子邮件的完整关键字和索引搜索功能。

 

导出：

将文件导出到磁盘，或直接导出到.L01法医证据文件。

 

图形用户界面：

在多个监视器上分离自定义工作空间的拖放视图。保存并加载个人工作空间配置，以满足调查需求。

 

散列：

将哈希集应用于案例，以识别或排除已知文件。散列单个文件进行分析。

• 加密：MD5，SHA1，SH256，CRC
• 相似性：模糊，微分
• ProjectVic，ProjectVic

 

索引：

内置DTSearch索引功能。

 

关键词搜索：

使用文本、正则表达式或十六进制表达式对整个媒体进行群集、扇区或字节级关键字搜索。

 

语言：

Forensic Explorer符合Unicode标准。调查人员可以搜索和查看母语格式的数据，如荷兰语或阿拉伯语。

 

语言GUI：

FEX GUI语言可以在安装时设置为EN、DE、ES、FR、ID、TR、ZH（语言选项在注册表中设置）。

 

元数据：

提取和报告文件元数据，包括EXIF、GPS、MS Office等。

 

安装（MIP）：

将法医图像文件作为Windows驱动器号装入（Mount image Pro）。完全访问已删除、系统、未分配等。完全CLI功能。

 

RAID：

使用物理或取证成像的RAID介质，包括软件和硬件RAID、JBOD、RAID 0、RAID 5、RAID 6。

 

恢复：

恢复已删除的文件夹和分区。

 

注册表：

打开并检查Windows注册表配置单元。筛选、分类和关键字搜索注册表项。自动化注册表分析。

 

报告：

带有预定义报告模板的自定义报告生成器。

 

脚本编写：

内置强大的Delphi脚本语言。内置脚本用于：

• 元数据
• 登记处
• 肤色
• 时间线

 

网络服务：

使用可部署的网络服务连接并检查远程驱动器。

 

卷影副本：

轻松添加和分析卷影复制文件。了解有关Forensic Explorer卷影复制卷的详细信息。

 

签名：

Forensic Explorer可以自动验证案件中每个文件的签名，并识别那些不匹配的文件扩展名。

 

分类：

自动分类并报告常见的法医搜索标准。

 

虚拟实时启动：

使用VirtualBox或VMWare虚拟化Windows和MAC取证映像和物理磁盘。

 

系统要求

Forensic Explorer软件包括Mount Image Pro（Mount Image Pro是作为单独的独立产品安装的）。建议在满足以下最低系统要求的情况下运行Forensic Explorer和Mount Image Pro：

• 英特尔®Core i7或i9
• 16 GB内存
• 64位Windows 10
• 以本地管理员用户身份安装和运行。

虚拟实时引导需要VirtualBox或VMWare作为虚拟化过程的一部分。

 

激活

• Forensic Explorer和Mount Image Pro通过Wibu Codemeter（www.wibu.com）USB加密狗激活（加密狗可以包含一个或多个许可证）。加密狗可以是本地的，也可以是远程的（通过IP地址访问）。
• 支持网络许可，例如，单个加密狗包含多个许可证，可根据需要激活实验室计算机。

 

支持的文件格式

Forensics Explorer支持分析以下图像格式：

• AFF v4
• Apple DMG
• DD（RAW、BIN、IMG）
• EnCase®（E01、L01、Ex01）
• FTK®（E01、AD1格式）
• ISO（CD和DVD图像文件）
• Macquisition
• NUIX File Safe（MFS01）
• Oxygen Backups（OCB）
• ProDiscover®
• SMART®
• 虚拟磁盘映像（VDI）
• 虚拟硬盘（VHD、VHDX）
• VMWare®（VMDK）
• XWays（E01、CTR）
• ZIP

 

支持的文件系统

Forensic Explorer支持以下分析：

• Windows FAT12/16/32、exFAT、NTFS、，
• Macintosh HFS、HFS+、APFS
• EXT 2/3/4
• 硬件和软件RAID：JBOD、RAID 0、RAID 5、RAID 6

 

加密支持

解锁以下内容（需要密码或恢复密钥）：

• Bitlocker
• FileVault 2

 

处理

• 全线程应用
• 多核处理

 

截图

 

证据模块

添加和管理证据源，包括设备、取证图像、文件和远程数据：

 

 

文件系统模块

文件系统模块是进行大量分析的地方。使用过滤、排序和数据视图（显示视频视图）快速定位证据：

 

 

报告模块

快速生成可另存为模板并用于未来调查的复杂报告：

 

 

购买和授权常见问题解答

 

许可证类型

Forensic Explorer许可证是永久许可证*。许可证不会过期。

购买包括12个月的软件维护和支持（SMS）。SMS提供定期软件更新和技术支持。

 

Wibu码表激活加密狗（Wibu加密狗）

该软件由Wibu加密狗上的许可证激活。Wibu加密狗可以持有一个或多个许可证。它可以是：

• 本地连接（即插入正在使用的计算机）；或
• 连接到远程计算机并通过网络访问。

 

许可证管理

Wibu加密狗许可证使用GetData License Manager软件进行管理。许可证管理器用于：

• 查看许可证信息。
• 向Wibu加密狗添加许可证。
• 重命名加密狗。
• 应用固件更新。

 

GetData产品中安装了Wibu CodeMeter软件的精简版。Windows CodeMeter用户运行时的完整版本可从Wibu网站获得。它可用于：

• 将计算机和加密狗配置为许可证服务器；
• 配置用作网络客户端的计算机；
• 重命名加密狗、应用固件更新和其他维护功能。