ImDiskと devioの最強コンビ

forensics tools

VMwareなどの仮想ディスクをマウントするツールとしては、Virtual Disk Driver(VDK)が古くから有名ですが、似たようなツールにImDiskがあります。コントロールパネルからイメージ操作ができるなど、VDKより使い勝手がいいのが特徴です。ただ VDKと機能的には大差ないものだと思っていたので、もっぱら私は VDKを愛用していました。つい最近までは。

ところで Live Responseツールとしてこのところよく話題にでる F-Responseは、ターゲットPCに接続されたディスクをローカルPCのディスクのように扱う機能があります。(Ji2さんのニュースレター参照。iSCSIで通信するらしい。)

実は ImDiskには Proxyモードという機能があって、これを使うとなんと F-Responseとほぼ同じことができるのです。*1全然知りませんでした。しかも使い方はいたって簡単。

  1. ターゲットPCで WindowsFE(or PE)を起動する
  2. diskpartでディスクを確認する
  3. devio.exeを起動する（オリジナルはコレなのかな？）
  4. ローカルPCから ImDiskを Proxyモードで起動する

これで、ローカルPCのドライブにターゲットPCのディスクがマウントされます。ImDiskでマウントしたドライブのディスクイメージ作成などもできるので、なかなかこれは強力なツールですよ。

以下のスクリーンショットは、ターゲットPC側とローカルPC側でコマンドを実行したところ。ターゲットPCの PhysicalDrive0がローカルPC上で Rドライブとしてマウントされています。



（参考）
http://grandstreamdreams.blogspot.com/2009/08/devio-remote-drive-access-and.html

*1:ちょっと言い過ぎかも。F-Response使ったことないのでよくわかりません。