Windows FE (Forensic Environment)

forensics tools

Windows FE (Forensic Environment)というのを知っているでしょうか？フォレンジック用のWindowsベースの LiveCD環境(USBでもいいですが)のことです。Microsoftの Troy Larsonさんが発案者らしく、構築方法を解説したドキュメントが公開されています。実はこれ Windows PEにちょっとだけレジストリ設定を変更すればよく、Automated Installation Kit (AIK)を利用すれば誰でも作成できます。似たような商用の製品にSAFE boot diskというのがありますが、フリーで手軽に作成できるのが Windows FEのいいところでしょうか。

Windows用のドライバでないとうまく証拠の収集ができない場合など、用途は限定されそうですが、Live Responseで Windows用ツールを使いたい時などに意外に威力を発揮するかもしれません。

ちなみに変更するレジストリ設定というのは次の2つです。

  • HKEY_LOCAL_MACHINE\ControlSet001\Services\MountMgr の NoAutoMount(dword)を 1にする
  • HKEY_LOCAL_MACHINE\ControlSet001\Services\partmgr\Parameters の SanPolicy(dword)を 3にする

これでディスクを勝手にマウントしなくなります。*1

下のスクリーンショットは Windows FEで起動して FTK Imagerでディスクにアクセスしたところ。GUIがないといやな人は VistaPEがおすすめです。

(参考)
grand stream dreams: Windows FE – Details Teased out of the Web
=> この人のブログの情報量はすごいです。要チェック。

*1:実はココちょっと正確じゃありませんが、続きは次のエントリで。