Image MASSter Solo-IV取证系统

Image MASSter Solo-IV取证系统1、快速启动（1）将IMSolo-IV取证系统放置于水平面。

（2）在系统的背面，DC Power-In端口处插入电源适配器，另一头连接电源。

电压为110V 或220V。

电源适配器将自动调整电压。

（3）按下系统前面的开关按钮，屏幕上将会显示IMSolo-IV取证系统高级接口控制台界面。

（4）将ICS提供的SATA/SAS硬盘数据电源线插入系统的和SATA或SAS硬盘的相应接口处。

PATA硬盘使用ICS SATA-to-PATA 适配器连接PATA数据线。

（5）从操作菜单下选择操作模式。

（6）从硬盘选择区域选择将要执行操作的硬盘。

（7）检测所有存在的应用设置，有选择的进入案件信息使用的案件日志界面功能。

这里建议开启目标哈希功能。

选择目标哈希功能，将会在从源盘中读数据和向证据盘中写数据的过程中计算哈希值，并保存在证据盘中。

（8）选择START开始操作。

操作过程中会显示操作的状态信息。

（9）操作完成后，硬盘将会自动断电，此时该盘可以被安全地移除。

硬盘状态指示灯将同步显示，绿色为操作成功，红色为操作失败。

日志文件将自动存储在内部，可通过系统背后的USB接口外接存储介质导出。

注释：释放系统电源按钮，系统将会断电。

2、操作过程（1）准备工作这部分描述推荐当硬盘已经直接连接到系统时，你准备执行操作的遵循过程。

这部分参照P-ATA硬盘安装，需要S-ATA-to-PATA适配器。

A、准备源盘当使用PATA硬盘时，确保源盘跳转模块已被正确设置为“单/主”。

而如果源盘是SAS或者SATA，则建议使用源盘的默认设置。

用SAS/SATA或者USB数据线将源盘连接到设备的左边面板。

PATA硬盘在连接时需要使用SATA-PATA适配器进行转接。

根据需要，设备右边面板可供连接另一块源盘。

B、准备证据盘用SAS/SATA或者USB数据线将源盘连接到设备的前方面板。

PATA硬盘在连接时需要使用SATA-PATA适配器进行转接。

根据需要，设备右边面板可供连接另一块源盘。

证据盘在获取前需被确保已经查无病毒。

注：默认状态下，包括证据盘端口在内的所有端口都是写保护的。

如果所选操作模式需要写证据盘，则所有针对证据盘的写保护特征都会被自动关闭。

C、配置系统设置在高级接口控制面板的下拉菜单上选择所需操作，详见表二：D、移除硬盘硬盘选择菜单为每个硬盘提供一个电源指示。

灰色代表正在检测，绿色代表检测所需硬盘成功，红色代表检测失败或者操作过程有误。

操作成功后，硬盘被自动断电、移除。

当然，也可以在操作结束后从硬盘激活状态面板中手动移除硬盘。

（2）使用单独获取模式获取硬盘接下来这节描述使用单独获取模式从硬盘中获取已经被笔记本或PC机删除的数据。

1)高级接口控制台在系统启动后出现在屏幕上。

2)按照“快速开始”和“准备获取”章节中的指导连接并配置硬盘。

3)从主界面操作下拉菜单中选择单独获取。

4)设置操作模式配置，此界面在操作主界面动态显示。

详见表三：5)验证设置界面中的常见设置。

详见表二的推荐。

6)从主界面选择CASE INFO键入需要的信息。

7)在硬盘选择界面选择硬盘。

8)在硬盘选择界面选择硬盘操作。

9)从主界面选择START开始操作。

显示请求的操作将及时验证检测驱动器中列出适当的硬盘状态。

源盘必须在源盘目录中，证据盘在目标盘目录中。

10)如果从2个源盘中获取数据，打开另一个IMSolo-IV取证获取程序，然后按2-9步骤操作。

（3）使用LinuxDD获取模式获取硬盘接下来这节描述使用LinuxDD获取模式从硬盘中获取已经被笔记本或PC机删除的数据。

1)按照“快速开始”和“准备获取”章节中的指导连接并配置硬盘。

2)从主界面操作下拉菜单中选择LinuxDD获取。

3)设置操作模式配置，此界面在操作主界面动态显示。

详见表四：4)选择File Name并键入文件名以形成LinuxDD分割文件的目录。

5)从Capture File Size下拉菜单中选择镜像文件分割单位大小。

6)验证设置界面中的常见设置。

详见表二的推荐。

7)从主界面选择CASE INFO键入需要的信息。

8)在硬盘选择界面选择硬盘。

9)从主界面选择START开始操作。

显示请求的操作将及时验证检测驱动器中列出适当的硬盘状态。

源盘必须在源盘目录中，证据盘在目标盘目录中。

10)如果从2个源盘中获取数据，打开另一个IMSolo-IV取证获取程序，选择导航栏上的NewCopy Session，然后按2-9步骤操作。

（4）审计日志信息转储接下来这节描述如何将设备内部存储的审计文件和事件日志转储到USB存储设备上。

1)选择高级接口控制面板上的日志标签功能。

2)选择“Copy Logs to a Removable Device”。

这时会弹出一条信息，提示用户接入USB设备。

3)在设备后面的面板上的闲置USB接口处外接一个USB移动存储设备。

选择“OK”继续。

4)该设备会被加载进去，并被列示在“Other Detected Drives Panel”上。

忽略Windows弹出的自动播放提示信息，等待“Select Files to Copy”提示框出现。

选择事件日志和审计文件以供Copy。

5)在“Select Files to Copy”提示框选择OPEN，继续。

6)在USB设备上选择目标文件夹以存储所选文件，选择“OK”。

7)当设备从“Other Detected Drives Panel”上被卸载后，就可以被移除。

（5）预览读取写保护硬盘数据接下来这节主要描述的是安全浏览连接到IMSolo-IV端口上硬盘数据的一般流程。

1)按照“准备获取”章节中的指导连接并配置硬盘。

2)从硬盘选择面板操作下拉菜单中选择想要进行的操作的硬盘。

3)从面板主菜单选择检测硬盘。

4)在高级接口控制面板上选择加载硬盘。

5)在硬盘状态面板中高亮选中需要预览的硬盘。

6)确认加载硬盘屏幕菜单上的写保护功能没有打开。

7)选择（检查）加载硬盘屏幕菜单上卷标的设置。

8)选择APPLY。

这将会在设备自带操作系统或第三方应用程序下实现预览操作。

9)从导航栏上选择DESKTOP以预览硬盘卷标。

10)从硬盘选择面板中选择移除设备，硬盘就会被卸载。

（6）对证据盘执行写入操作接下来这节主要描述的是对证据盘执行写入操作的一般流程。

1)按照“准备获取”章节中的指导连接并配置硬盘。

2)从硬盘选择面板操作下拉菜单中选择想要进行的操作的硬盘。

3)从面板主菜单选择检测硬盘。

4)在高级接口控制面板上选择加载硬盘。

5)在硬盘状态面板中高亮选中需要写入的硬盘。

6)选择（检查）加载硬盘屏幕菜单上写保护的设置。

7)选择（检查）加载硬盘屏幕菜单上加载卷标的设置。

8)选择APPLY。

这将会在设备自带操作系统或第三方应用程序下实现写入操作。

9)从导航栏上选择DESKTOP以预览硬盘卷标。

10)从硬盘选择面板中选择移除设备，硬盘就会被卸载。

附：功能详解向导-获取硬盘菜单IMSolo-IV 取证系统向导获取硬盘菜单界面是从向导主菜单界面进入的。

它提供单元的拷贝模式功能。

下面列出拷贝模式功能选项：单个获取（对拷）单个获取操作模式将源盘上的所有内容全部拷贝到证据盘上。

这项操作将建立一个十分精确的拷贝，源盘上的已被分区的及为被分区的扇区和已被使用的及为被使用的扇区都将被拷贝到证据盘中。

从源盘上获取数据的过程是有条理的，并具有相同的结构，从硬盘的第一个扇区的第一个字节开始到硬盘的最后一个扇区的最后一个字节结束。

数据被拷贝到证据盘上相对应的各扇区中。

同一块证据盘一次只能进行一个获取操作。

LinuxDD获取LinuxDD获取操作模式将源盘上的所有内容全部拷贝到证据盘上。

所拷贝的数据将被写成一个单独的被隔离的LinuxDD文件并被保存在证据盘上的一个独立的子目录中。

单独的LinuxDD 文件的大小可以在Fragment下拉菜单中设定具体值。

默认的设定是650MB（CD）。

LinuxDD 文件保存路径的子目录名与用户输入的案件名称相同。

与获取数据相关的所有LinuxDD文件的文件名命名方式为在案件名之后增加“001”,其他文件已相同方式递增命名。

只要证据盘有足够的空间存储拷贝的数据，LinuxDD获取支持在同一块证据盘上同时进行多个获取操作。

向导-擦除硬盘菜单IMSolo-IV 取证系统向导擦除硬盘菜单界面是从向导主菜单界面进入的。

它提供单元的擦除模式功能。

下面列出擦除模式功能选项：WipeOut-DODWipeOut-DOD操作模式提供满足美国国防部DOD 5220-22M文件标准的擦除硬盘的方法。

使用普通的“删除”和“擦除”，硬盘上的数据仍可被接入的各种程序获取。

WipeOut-DOD擦除技术提供了解决这个问题的方法：通过在硬盘上三次写0XFF，三次写0x00，一次写0xF6，还有一次读回校验，将原有数据彻底从硬盘移除。

Wipeout-Fast快速擦除模式提供一个快速的non-DoD的擦除先前数据的擦除方法。

写一个用户定义的16进制数去覆盖相关的目标位置。

从源盘上擦除数据的过程是有条理的，并具有相同的结构，从硬盘的第一个扇区的第一个字节开始到硬盘的最后一个扇区的最后一个字节结束。

向导-源盘选择菜单IMSolo-IV 取证系统向导-源盘选择菜单界面是通过在向导获取硬盘菜单中可操作的模式。

它以图像化界面向用户提供源盘位置，用户可以通过触摸屏进行选择。

被选定的硬盘位置的图像颜色由灰色变为黄色，标明该部分已经被激活，可以使用。

灰色表示该部分没有被激活。

向导-证据盘选择菜单IMSolo-IV 取证系统向导-证据盘选择菜单界面在设置完源盘选择操作后自动出现。

它以图像化界面向用户提供源盘位置，用户可以通过触摸屏进行选择。

被选定的硬盘位置的图像颜色由灰色变为黄色，标明该部分已经被激活，可以使用。

灰色表示该部分没有被激活。