Windows FE (Forensic Environment)
Windows FE (Forensic Environment)というのを知っているでしょうか?フォレンジック用のWindowsベースの LiveCD環境(USBでもいいですが)のことです。Microsoftの Troy Larsonさんが発案者らしく、構築方法を解説したドキュメントが公開されています。実はこれ Windows PEにちょっとだけレジストリ設定を変更すればよく、Automated Installation Kit (AIK)を利用すれば誰でも作成できます。似たような商用の製品にSAFE boot diskというのがありますが、フリーで手軽に作成できるのが Windows FEのいいところでしょうか。
Windows用のドライバでないとうまく証拠の収集ができない場合など、用途は限定されそうですが、Live Responseで Windows用ツールを使いたい時などに意外に威力を発揮するかもしれません。
ちなみに変更するレジストリ設定というのは次の2つです。
- HKEY_LOCAL_MACHINE\ControlSet001\Services\MountMgr の NoAutoMount(dword)を 1にする
- HKEY_LOCAL_MACHINE\ControlSet001\Services\partmgr\Parameters の SanPolicy(dword)を 3にする
これでディスクを勝手にマウントしなくなります。*1
下のスクリーンショットは Windows FEで起動して FTK Imagerでディスクにアクセスしたところ。GUIがないといやな人は VistaPEがおすすめです。
(参考)
grand stream dreams: Windows FE – Details Teased out of the Web
=> この人のブログの情報量はすごいです。要チェック。
*1:実はココちょっと正確じゃありませんが、続きは次のエントリで。