Digital Collector 3.1 取證流程
2021-2-13 by 高田鑑識
Version3.1 | Digital Collector
您是否正在嘗試從 Windows 或 Mac 上提取數位證據,但需要額外的協助? Cellebrite Digital Collector 3.1 可以幫助鑑識人員最大程度地進行提取和收集,無論資料位於何處。
本次更新後的提取流程工具,可以更輕鬆,更簡易的藉由 Digital Collector 設備提取資料並執行其他任務,例如分類,邏輯或物理提取。另外 Digital Collector 的技術可以快速檢測並通知您 Windows 或 Mac 上的檔案系統加密格式。
Windows 電腦
- Digital Collector 可在 Windows 10 1909 版本以上的 64 位元架構上執行,並也可在較舊 Windows 系統上執行。
- 由於檔案系統與加密的排列組合對提取流程沒有影響,因此可以更輕鬆地從 Windows 系統上獲取資料。
Mac Computer
- Mac 的提取流程稍微複雜一些。 過程會遇到各種不同的檔案系統與藉由軟體或硬體輔助的加密格式。
- 這些排列組合意味著從 Mac 上獲取資料的流程中會有更多變化。(可參考上篇: FileVault2 密碼與 Recovery 金鑰列表)
- 支援以下版本
- macOS Catalina 10.15
- macOS Mojave 10.14
- macOS High Sierra 10.13
- macOS Sierra 10.12
- OS X El Capitan 10.11
本次更新內容
此版本的 Cellebrite Digital Collector 固態硬碟(SSD)可以在 Windows 和 Mac 電腦上執行。
新的 Digital Collector SSD 容量為 120 GB 或 1 TB,並含兩條傳輸線,USB 3.0 和 USB-C。
符合鑑識科學的開機系統,可將電腦關機進入一個受保護的狀態,以利進行分類與提取。
在已開機狀態的電腦上進行分類和提取。
對於已開機狀態的電腦上,可在提取之前,可先透過瀏覽和搜尋,過濾 metadata 資料,關鍵字等方式查看內容。
可在分流過程選擇預設分類來進行邏輯提取。
支援物理提取電腦系統,包含已刪除和未分配的磁區區域,並可儲存為業界標準格式。
已知限制
2020 版本 Mac 電腦 (Intel 或 M1 晶片版) 尚無支援。
macOS 11 Big Sur 作業系統尚未支援。
Digital Collector 可提取使用 BitLocker 加密的 Windows 電腦,但須透過 BlackLight 才可進行解密。
在 Windows 電腦上預覽僅支援圖檔格式,並須在 Winodws 開機狀態下才可執行。
當使用 Digital Collector 開機進到 Windows 時:
- 無法偵測使用 eMMC 的快閃記憶體裝置,例如 Lenovo Ideapad 裝置。需使用 Digital Collector Live 才可進行提取。
- Intel Rapid Storage Technology (RST) RAID 無法顯示。需使用 Digital Collector Live 才可進行提取。
- NTFS 重解析點 (NTFS reparse point) 尚無支援,有可能部分檔案無法提取。
當在 Windows 上執行 Digital Collector Updater 進行升級時,MacQuisition 的 MQLICENSE 分區可能無法正常掛載 (mount),導致更新程式無法偵測到 SSD(Dongle)。 要解決此問題,請打開 [電腦管理 > 磁碟管理]。 在列表中,右鍵點擊 MQLICENSE 分區,選擇分配磁碟代號,然後重新啟動 Digital Collector Updater 即可完成更新。