FTK实战应用

第一章 FTK Imager健用相关

第一节 FTK Imager关于镜像文件制作的相关功能

一、镜像文件制作流程

二、使用Imager制作镜像文件中的注意事项

第二节 FTK Imager关于镜像文件格式转换与挂载的功能

一、格式转换DD／E01文件互相转换，其他格式文件转换成DD／E

二、FTK Imager关于镜像文件挂载的功能

第三节 FTK Imager与现场取证相关的功能

一、开机状态下，获取目标计算机的注册表文件

二、开机状态下，获取目标计算机内存

三、开机状态下，检测目标计算机上是否含有EFS加密文件

四、重要提示

第二章 FTK注册表分析工具——Registry Viewer

第一节 注册表及注册表文件

第二节 注册表文件的获取

第三节 注册表文件分析

一、启动、加载

二、添加感兴趣的内容

三、制作报告

四、说明

第三章 FTK过滤暑Filter

第一节 过滤器简介

第二节 新建过滤器

第三节 过滤器的分类

第四节 预置过滤

第五节 复合过滤

第六节 嵌套过滤

第七节 搜索过滤

第八节 过滤器的共享

第四章 FTK关键字擅襄

第一节 搜索在证据检验中发挥的作用

第二节 FTK预处理中的设置

一、dtscarch文本索引

二、光学字符识别（OCR）

第三节 FTK搜索功能的应用

一、FTK实时文本搜索

二、实时十六进制搜索

三、实时正则表达式搜索

四、索引搜索

五、TRl正则表达式的应用指南

六、索引搜索数字组合的正则表达式应用

七、FTK中关键词搜索与其他功能的联动

八、如何能够高效找到目标信息

第五章 FTK数据挖掘与元挖掘

第一节 什么是数据挖掘

一、数据丟失或损坏的原因

二、数据挖掘中可能涉及的因素

三、文件签名与数据挖掘

四、数据挖掘与数据恢复

五、FTK中对数据挖掘的处理和管理

第二节 FTK中的数据挖掘模块及其应用

一、数据挖掘处理设置

二、FTK中数据挖掘工具

三、管理数据挖掘工具

四、数据挖掘结果解析

五、高级数据挖掘技巧及应用——手动挖掘模式

六、FTK挖掘优势

第三节 FTK中的元挖掘

第六章 电子邮件检测分析

第一节 概述

一、电子邮件的内容以及地址格式

二、主流电子邮件客户端

三、FTK所适用的电子邮件类型

第二节 如何利用FTK来分析电子邮件

一、电子邮件数据分析选项卡页面布局

二、FTK解析电子邮件目录树分项解释

三、其他标签页

四、文件列表

五、导出电子邮件

第七章 Internet／啊天软件分析

第一节 FTK Internet／聊天软件预处理相关选项

一、展开复合文件

二、数据挖掘选项

三、 Process Internet Browser History for Visualization

第二节 Internet信息展示

第三节 聊天软件检材分析

第八章 FTK可视化及社会化分析

第一节 什么是可视化

一、运行可视化分析

二、可视化分析的界面

第二节 时间线

一、基础时间线

二、设置基础时间线

第三节 可视化文件数据

一、配置可视化文件数据

二、根据文件扩展名创建可视化视图

三、文件种类分布可视化

四、文件数据列表

第四节 邮件数据可视化分析

一、选定邮件时间线

二、查看邮件统计

三、查看邮件细节列表

四、在邮件可视化中分析邮件域

五、可视化中分析单独邮件

六、将邮件分析结果加入到FTK分析中

七、使用细节化时间线

第五节 可视化浏览历史文件数据

第六节 可视化其他种类数据

第七节 可视化热点图

第八节 社会化分析

一、使用社会化分析

二、社会化分析选项

第九节 可视化中的定位信息

一、定位功能使用需求

二、查看带有EXIF信息的数据

三、查看IP地址地理位置数据

第九章 内存分橱与打印文件分析

第一节 内存分析概述

一、Windows操作系统下的hiberfil.sys与pagefile.sys文件

二、hiberfil.sys文件

三、pagefile.sys又件

四、模拟案例分析

第二节 打印文件的分析与取证

一、假打印文件的形成过程

二、Windows系统中假脱机打印文件存放的位置

三、假脱机打印文件的特性

第十章 利用FTK对手机镜像进行分析

第一节 利用FTK对手机镜像文件分析的目的

第二节 FTK处理手机镜像文件示例

一、加载方式

二、典型手机镜像文件加载示例

附录：为FTK建立良好的运行环境

FTK（Forensic Toolkit）由美国AccessData公司开发，业界公认的电子数据检验旗舰产品，在 AccessData公司的支持下，结合中国本地化应用的需求，瑞源公司逐步推进FTK的本地化工作，并融入 EDEC系列化工作站中。通过自主研发、系统集成、售后服务、技术支持等相关工作实践，并结合几十期电子数据检验专业培训班的宣讲，北京瑞源文德科技有限公司技术工程师逐步积累了关于EDEC产品实际应用的经验与技巧，编写成《FTK实战应用》，希望能为业内人员学习提供参考。