B-) の独り言

■FTK Imager 3 と LEFファイル

FTK Imager 3 では EnCase LEF（論理証拠ファイル）を取り扱えるようになっているので、これは便利かも！と思ってちょっと確認してみたのですがまだ完全ではないようです。

EnCase LEF ではファイルを論理証拠ファイル内に収容する段階で、すでに収納済みの重複するファイルがあると、重複排除のような仕組みを持っているようです。LEF ファイルの詳細な仕様が公開されていないので勝手な推測ですが、例えば対象データが 1GB あっても半分重複していると 500MB の LEF が生成されます（もちろん非圧縮のオプションを選択している場合）。

例えば、LEF 内に重複しているファイルがある場合、FTK Imager からそれらのファイルを参照すると、ファイルのコンテンツが適切に表示されません。この為、そのまま Native ファイルを Export しても例えば 500MB 分しか出ないというか、重複処理されているファイルの中身については正しく取り出すことができません。

Twitter でも確か関連する話題が流れていた気がするので、そのうち修正されるのではないかと思いますが、現在の Ver 3.0.0.1443 では LEF の取り扱いについては問題があるということで注意が必要ですね。

Permalink | コメント(0) | トラックバック(0) | 11:26