FEX Triage

概述

关于FEX Triage™

FEX Triage是一种便携式计算机取证现场分析工具。它使调查人员能够就扣押、取证和处理嫌疑人做出实时决定。

 

 

 

FEX Triage被设计用于接受有限计算机取证培训的调查人员（基本模式），以及现场或实验室使用的有经验的法医检查人员（高级模式）。

FEX Triage可以在实时机器上运行，也可以利用法医引导USB。

FEX Triage使用可定制的搜索配置文件，可以将任何复杂任务简化为一次单击。

 

报告概要包括：

• 搜索并报告虐待儿童材料的存在
• 将所选文件导出到L01或磁盘
• 注册表分析（例如用户信息和使用信息）
• 互联网浏览器和聊天记录
• Windows缩略图
• 定位并提取电子邮件和附件

 

主要特点

 

易用性

FEX Triage易于使用，只需少量培训即可有效。高级模式选项也使其成为经验丰富的法医从业人员的宝贵工具。

 

现场套件

随时可用的FEX Triage现场套件。

 

 

与Forcensic Explorer集成

FEX Triage扫描会创建一个法医探索者案例文件。它以法医声音的方式保存用户操作，并使法医工作人员能够直接在法医浏览器GUI中立即进一步检查分类结果。

 

便携式的

FEX Triage是便携式的，专为从USB运行而设计。它通常可以在以下情况下运行：

 

法医引导扫描

启动扫描是指使用启动介质（即FEX Triage 加密狗）启动目标计算机。引导扫描是一个取证合理的过程，因为它是控制目标系统的调查者介质。

 

实时扫描

实时扫描指的是在目标实时Microsoft Windows计算机上运行FEX Triage。在许多情况下，这将是最合适的操作，因为担心关闭对业务至关重要的运行系统，或者可能调用加密。

可有效用于通过网络文件共享进行文件收集（例如，按名称或内容收集.docx文件，并导出为L01法医图像格式）。

 

Forensic桌面扫描

可以从调查人员计算机的桌面上运行，以扫描硬盘或法医图像文件。

 

其他关键功能

• FEX Triage配有坚固的Wibu编码器USB3 CMU BMC-1011，存储容量为16 GB。它包含软件许可证，但也充当USB引导和数据采集设备。
• 支持从Windows和MacOS（通过USB引导）收集数据，包括iOS备份。
• 检测受BitLocker和FileVault 2保护的驱动器。
• 在搜索过程中查看搜索结果。
• 将数据直接导出到磁盘或法庭.L01文件。
• 创建CSV、PDF和RTF报告。查看图片和视频关键帧。
• 搜索配置文件是高度可配置的，可以为组织定制。默认配置文件包括：

 

基本的

相机按模型制作

儿童保护——图片和视频

加密文件

文件名搜索

文件名搜索–个人

互联网浏览器

网络聊天

互联网-移动

ITunes备份

随机样本-图形

随机样本-视频

注册表-当前

 

中间的

Windows–缩略图

电子邮件–附件（EDB、Mbox、OST、PST）

电子邮件–查找邮件

电子邮件-关键字搜索（EDB、Mbox、OST、PST）

导出-扩展（复选框）

导出–Windows系统（复选框）

文件名搜索（精确）

Hash Match（自动）-图形和视频

关键词搜索–MS Office

操作系统工件

随机样本-图形

Windows–快捷方式（.lnk）

 

高级的

电子邮件–查找邮件（Regex）

导出–自定义全局搜索

文件名搜索（Regex）

Hash Match（复选框）-图形和视频

Hash Match（硬编码）-图形和视频

将文件列表到CSV–自定义全局搜索

 

技术特点

 

支持的文件系统

Forensic Explorer支持以下分析：

• Windows FAT12/16/32、exFAT、NTFS、，
• Macintosh HFS、HFS+、APFS
• EXT 2/3/4

 

加密支持

解锁以下内容（需要密码或恢复密钥）：

• Bitlocker（Microsoft Windows）
• FileVault 2（MAC）

 

支持的位图像格式

FEX Triage支持常见图像和法医图像格式，包括：

AD1、AFF、DD、DMG、BIN、RAW、E01、Ex01、L01、Lx01、VMD、VHD、VHDX。

 

支持的电子邮件格式

支持分析PST、OST、EDB和MBOX邮件格式。

 

脚本语言

FEX Triage脚本是用Delphi Pascal编写的。

 

Wibu码表USB

Wibu编码器16 GB USB3数据表

 

搜索配置文件

搜索配置文件是在中创建的。TXML（XML）格式。配置文件使用TCommandTasks来启动处理，包括调用和运行脚本和过滤器的功能。

 

屏幕截图

 

添加案例信息的开始窗口：

 

 

选择要搜索的设备、文件夹或法医图像：

 

 

选择将保存搜索结果的目标：

 

 

如果需要，请使用可用的筛选选项选择搜索配置文件：

 

 

开始搜索。完成的报告可以在完成时查看：

 

 

购买和授权常见问题解答

 

许可证类型

FEX Triage许可证是一种定期许可证，将在有效期（通常为1年）到期。

 

Wibu码表激活加密狗（Wibu加密狗）

该软件由Wibu加密狗上的许可证激活。FEX Triage加密狗具有存储容量（16或32 GB），可以用作引导USB。

 

许可证管理

Wibu加密狗许可证使用GetData License Manager软件进行管理。许可证管理器用于：

• 查看许可证信息。
• 向Wibu加密狗添加许可证。
• 重命名加密狗。
• 应用固件更新。