EnCase® Field Intelligence Model

法執行機関用ライブ収集可能ツール

法執行機関限定のフォレンジック調査ツールです。休止中の端末やハードディスクのみでなく、稼働中のPCやサーバーに対してネットワーク越しにデータの保全や調査を行うことがます。また、稼働中のマシンを対象とすることにより、ハードディスクに保存された静的データのみでなく、メモリ上の揮発性データも調査対象とすることが可能となっています。

構成

EnCase® Field Intelligence Model は主に

Examinaer : 保全 / 調査実行端末上での調査実行環境
SAFE : 保全 / 調査実行端末上での認証ステート付与
Servlet : ターゲットマシン

の3つのプログラム（複数動作可）により構成されます。

情報システム管理者 / 調査員はExaminerとSAFEが動作する端末から暗号化通信下でネットワーク越しに、Servletが動作するターゲットマシンに対して監査 / 調査を実行します。Examinarにはコンピューター・フォレンジクスツールの世界標準となっているEnCase® Forensicの多彩な調査機能が搭載されており、多角的な監査 / 調査を行うことが可能となっています。

特長

メモリ情報取得

ハードディスク単体や停止中のマシンからLinuxブートして収集するEnCase® Forensicと違い、EnCase® Snapshot™によりメモリ展開中の情報を取得し解析することが可能です。

その他ライブ収集によるメリット

RAIDアレイや暗号化されたハードディスクを解析するのは難問ですが、動作中のマシンからの取得により克服することができます。
また、ハードディスクの取り外しにより修理保証対象外となる事が無いため、被害者や協力者への任意調査依頼もスムーズになります。

多数の証拠採用実績

米国の法廷において、EnCase® のE01 / LEF形式の証拠ファイルは証拠として採用された実績が多数あり、信頼性を裏付けています。

部分取得可能

必要なデータのみを改竄不能なLEF形式として取得することが可能で、よりピンポイントの調査が可能となります。

主要なOS / ファイルシステムに対応

ServletプログラムはWindowsだけでなくUnixやLinuxの主要ディストリビューション、Mac OS Xなど主要なOSに対応しています。各OSのファイルシステムを適切にパースし、個別に特別な操作をすることなくデータを収集 / 解析することが可能です。

日本語対応

Unicodeや主要文字コードには全て対応しています。また日本語インターフェイスGUIも用意しています。

多彩なビュースタイル

ファイルの各種プロパティを一覧表示するTable View（テーブルビュー）、選択されたディスク / フォルダ内の画像ファイルのみを選択して一覧表示するGallary View（ギャラリービュー）、ハードディスク上のセクター位置を直観的に確認できるDisk View（ディスクビュー）など多彩なビュースタイルで調査をサポートします。