E01/EWF e DD/raw
Legge le immagini EnCase E01/EWF (decomprimendo i chunk) e le immagini raw dd, con un motore pure-Rust senza librerie native.
Analisi
Immagine forense
Il modulo Immagine forense apre le immagini di dischi e supporti in formato E01/EWF (multi-segmento) e DD/raw, ricalcola l'hash del flusso logico e lo confronta con l'hash di acquisizione memorizzato e/o con un hash atteso: è la prova che l'acquisizione è intatta.
Cosa fa
Cosa fa il modulo Immagine forense
Integrità dell'acquisizione
Ricalcola MD5/SHA-1 del flusso logico e li confronta con gli hash memorizzati nell'E01 (sezioni hash/digest): una manomissione di un solo byte viene rilevata.
Catena di custodia
Confronto opzionale con un hash atteso (dal verbale o dal report di acquisizione) per chiudere la catena di custodia.
Metadati e settori danneggiati
Estrae caso, esaminatore, descrizione, date, software di acquisizione e il numero di settori danneggiati (error2).
Passo per passo
Come funziona
- Carica l'immagine E01/EWF (anche multi-segmento) o DD/raw.
- Opz.: incolla l'hash atteso del verbale per la catena di custodia.
- Avvia la verifica: Probatio ricalcola l'hash e mostra il verdetto e i metadati.
FAQ
Domande frequenti
Che formati di immagine forense apre Probatio?
EnCase E01/EWF (anche multi-segmento, con chunk compressi) e immagini DD/raw (dd, img), con un motore pure-Rust senza librerie native.
Come verifica l'integrità dell'acquisizione?
Ricalcola MD5/SHA-1 del flusso logico e li confronta con gli hash memorizzati nell'E01; puoi anche incollare un hash atteso dal verbale. Una manomissione di un solo byte viene rilevata.
I risultati sono affidabili?
Sì: gli hash coincidono con quelli di
ewfverify (libewf), lo strumento di riferimento; la verifica è stata validata su immagini reali.
Moduli correlati