用于法医磁盘图像的Clonezilla

Question

我在想，使用Clonezilla作为被攻击机器的图像是否合理，并且在法律上是正确的。由于一些商业产品非常昂贵，所以我转而使用开源解决方案。

但条件是：

• 是脱机副本(已损坏的磁盘没有活动)
• 它是基于Linux的，并且使用了partclone (或dd，但我不确定)
• 在高级选项的帮助下，您可以对副本进行加密、散列和复制“空”扇区。

在鉴证学中，图像的原始文件系统是必需的还是不重要？

Answer 1

没有Clonezilla不是法医工具。甚至不建议将其用于事件分析。它会有用吗，是的，但有更好的免费工具可用于法医和事件分析。

是的，原始文件系统很重要。所有被删除的文件和片段都在这里。

Answer 2

不，Clonezilla不是一个有法律依据的工具。如果有的话，它将跳过空闲空间中的信息。试试Guymager这是有声的，易于使用的GUI。多线程确实节省了很多时间。

https://guymager.sourceforge.io/