Digital Collector 3.1 取證流程

2021-2-13 by 高田鑑識

Version3.1 | Digital Collector

軟體更新
備份載點
發布通知
官方連接

您是否正在嘗試從 Windows 或 Mac 上提取數位證據，但需要額外的協助？ Cellebrite Digital Collector 3.1 可以幫助鑑識人員最大程度地進行提取和收集，無論資料位於何處。

本次更新後的提取流程工具，可以更輕鬆，更簡易的藉由 Digital Collector 設備提取資料並執行其他任務，例如分類，邏輯或物理提取。另外 Digital Collector 的技術可以快速檢測並通知您 Windows 或 Mac 上的檔案系統加密格式。

Windows 電腦

  • Digital Collector 可在 Windows 10 1909 版本以上的 64 位元架構上執行，並也可在較舊 Windows 系統上執行。
  • 由於檔案系統與加密的排列組合對提取流程沒有影響，因此可以更輕鬆地從 Windows 系統上獲取資料。

Mac Computer

  • Mac 的提取流程稍微複雜一些。 過程會遇到各種不同的檔案系統與藉由軟體或硬體輔助的加密格式。
  • 這些排列組合意味著從 Mac 上獲取資料的流程中會有更多變化。(可參考上篇: FileVault2 密碼與 Recovery 金鑰列表)
  • 支援以下版本
    • macOS Catalina 10.15
    • macOS Mojave 10.14
    • macOS High Sierra 10.13
    • macOS Sierra 10.12
    • OS X El Capitan 10.11

本次更新內容

此版本的 Cellebrite Digital Collector 固態硬碟（SSD）可以在 Windows 和 Mac 電腦上執行。
新的 Digital Collector SSD 容量為 120 GB 或 1 TB，並含兩條傳輸線，USB 3.0 和 USB-C。

  • 符合鑑識科學的開機系統，可將電腦關機進入一個受保護的狀態，以利進行分類與提取。

  • 在已開機狀態的電腦上進行分類和提取。

  • 對於已開機狀態的電腦上，可在提取之前，可先透過瀏覽和搜尋，過濾 metadata 資料，關鍵字等方式查看內容。

  • 可在分流過程選擇預設分類來進行邏輯提取。

  • 支援物理提取電腦系統，包含已刪除和未分配的磁區區域，並可儲存為業界標準格式。

已知限制

  • 2020 版本 Mac 電腦 (Intel 或 M1 晶片版) 尚無支援。

  • macOS 11 Big Sur 作業系統尚未支援。

  • Digital Collector 可提取使用 BitLocker 加密的 Windows 電腦，但須透過 BlackLight 才可進行解密。

  • 在 Windows 電腦上預覽僅支援圖檔格式，並須在 Winodws 開機狀態下才可執行。

  • 當使用 Digital Collector 開機進到 Windows 時:

    • 無法偵測使用 eMMC 的快閃記憶體裝置，例如 Lenovo Ideapad 裝置。需使用 Digital Collector Live 才可進行提取。
    • Intel Rapid Storage Technology (RST) RAID 無法顯示。需使用 Digital Collector Live 才可進行提取。
    • NTFS 重解析點 (NTFS reparse point) 尚無支援，有可能部分檔案無法提取。

  • 當在 Windows 上執行 Digital Collector Updater 進行升級時，MacQuisition 的 MQLICENSE 分區可能無法正常掛載 (mount)，導致更新程式無法偵測到 SSD（Dongle）。 要解決此問題，請打開 [電腦管理 > 磁碟管理]。 在列表中，右鍵點擊 MQLICENSE 分區，選擇分配磁碟代號，然後重新啟動 Digital Collector Updater 即可完成更新。