FTK實(shí)戰(zhàn)應(yīng)用

第一章 FTK Imager健用相關(guān)
第一節(jié) FTK Imager關(guān)于鏡像文件制作的相關(guān)功能
一、鏡像文件制作流程
二、使用Imager制作鏡像文件中的注意事項(xiàng)
第二節(jié) FTK Imager關(guān)于鏡像文件格式轉(zhuǎn)換與掛載的功能
一、格式轉(zhuǎn)換DD／E01文件互相轉(zhuǎn)換，其他格式文件轉(zhuǎn)換成DD／E
二、FTK Imager關(guān)于鏡像文件掛載的功能
第三節(jié) FTK Imager與現(xiàn)場(chǎng)取證相關(guān)的功能
一、開機(jī)狀態(tài)下，獲取目標(biāo)計(jì)算機(jī)的注冊(cè)表文件
二、開機(jī)狀態(tài)下，獲取目標(biāo)計(jì)算機(jī)內(nèi)存
三、開機(jī)狀態(tài)下，檢測(cè)目標(biāo)計(jì)算機(jī)上是否含有EFS加密文件
四、重要提示

第二章 FTK注冊(cè)表分析工具——Registry Viewer
第一節(jié) 注冊(cè)表及注冊(cè)表文件
第二節(jié) 注冊(cè)表文件的獲取
第三節(jié) 注冊(cè)表文件分析
一、啟動(dòng)、加載
二、添加感興趣的內(nèi)容
三、制作報(bào)告
四、說(shuō)明

第三章 FTK過(guò)濾暑Filter
第一節(jié) 過(guò)濾器簡(jiǎn)介
第二節(jié) 新建過(guò)濾器
第三節(jié) 過(guò)濾器的分類
第四節(jié) 預(yù)置過(guò)濾
第五節(jié) 復(fù)合過(guò)濾
第六節(jié) 嵌套過(guò)濾
第七節(jié) 搜索過(guò)濾
第八節(jié) 過(guò)濾器的共享

第四章 FTK關(guān)鍵字擅襄
第一節(jié) 搜索在證據(jù)檢驗(yàn)中發(fā)揮的作用
第二節(jié) FTK預(yù)處理中的設(shè)置
一、dtscarch文本索引
二、光學(xué)字符識(shí)別（OCR）
第三節(jié) FTK搜索功能的應(yīng)用
一、FTK實(shí)時(shí)文本搜索
二、實(shí)時(shí)十六進(jìn)制搜索
三、實(shí)時(shí)正則表達(dá)式搜索
四、索引搜索
五、TRl正則表達(dá)式的應(yīng)用指南
六、索引搜索數(shù)字組合的正則表達(dá)式應(yīng)用
七、FTK中關(guān)鍵詞搜索與其他功能的聯(lián)動(dòng)
八、如何能夠高效找到目標(biāo)信息

第五章 FTK數(shù)據(jù)挖掘與元挖掘
第一節(jié) 什么是數(shù)據(jù)挖掘
一、數(shù)據(jù)丟失或損壞的原因
二、數(shù)據(jù)挖掘中可能涉及的因素
三、文件簽名與數(shù)據(jù)挖掘
四、數(shù)據(jù)挖掘與數(shù)據(jù)恢復(fù)
五、FTK中對(duì)數(shù)據(jù)挖掘的處理和管理
第二節(jié) FTK中的數(shù)據(jù)挖掘模塊及其應(yīng)用
一、數(shù)據(jù)挖掘處理設(shè)置
二、FTK中數(shù)據(jù)挖掘工具
三、管理數(shù)據(jù)挖掘工具
四、數(shù)據(jù)挖掘結(jié)果解析
五、高級(jí)數(shù)據(jù)挖掘技巧及應(yīng)用——手動(dòng)挖掘模式
六、FTK挖掘優(yōu)勢(shì)
第三節(jié) FTK中的元挖掘

第六章 電子郵件檢測(cè)分析
第一節(jié) 概述
一、電子郵件的內(nèi)容以及地址格式
二、主流電子郵件客戶端
三、FTK所適用的電子郵件類型
第二節(jié) 如何利用FTK來(lái)分析電子郵件
一、電子郵件數(shù)據(jù)分析選項(xiàng)卡頁(yè)面布局
二、FTK解析電子郵件目錄樹分項(xiàng)解釋
三、其他標(biāo)簽頁(yè)
四、文件列表
五、導(dǎo)出電子郵件

第七章 Internet／啊天軟件分析
第一節(jié) FTK Internet／聊天軟件預(yù)處理相關(guān)選項(xiàng)
一、展開復(fù)合文件
二、數(shù)據(jù)挖掘選項(xiàng)
三、 Process Internet Browser History for Visualization
第二節(jié) Internet信息展示
第三節(jié) 聊天軟件檢材分析

第八章 FTK可視化及社會(huì)化分析
第一節(jié) 什么是可視化
一、運(yùn)行可視化分析
二、可視化分析的界面
第二節(jié) 時(shí)間線
一、基礎(chǔ)時(shí)間線
二、設(shè)置基礎(chǔ)時(shí)間線
第三節(jié) 可視化文件數(shù)據(jù)
一、配置可視化文件數(shù)據(jù)
二、根據(jù)文件擴(kuò)展名創(chuàng)建可視化視圖
三、文件種類分布可視化
四、文件數(shù)據(jù)列表
第四節(jié) 郵件數(shù)據(jù)可視化分析
一、選定郵件時(shí)間線
二、查看郵件統(tǒng)計(jì)
三、查看郵件細(xì)節(jié)列表
四、在郵件可視化中分析郵件域
五、可視化中分析單獨(dú)郵件
六、將郵件分析結(jié)果加入到FTK分析中
七、使用細(xì)節(jié)化時(shí)間線
第五節(jié) 可視化瀏覽歷史文件數(shù)據(jù)
第六節(jié) 可視化其他種類數(shù)據(jù)
第七節(jié) 可視化熱點(diǎn)圖
第八節(jié) 社會(huì)化分析
一、使用社會(huì)化分析
二、社會(huì)化分析選項(xiàng)
第九節(jié) 可視化中的定位信息
一、定位功能使用需求
二、查看帶有EXIF信息的數(shù)據(jù)
三、查看IP地址地理位置數(shù)據(jù)

第九章 內(nèi)存分櫥與打印文件分析
第一節(jié) 內(nèi)存分析概述
一、Windows操作系統(tǒng)下的hiberfil.sys與pagefile.sys文件
二、hiberfil.sys文件
三、pagefile.sys又件
四、模擬案例分析
第二節(jié) 打印文件的分析與取證
一、假打印文件的形成過(guò)程
二、Windows系統(tǒng)中假脫機(jī)打印文件存放的位置
三、假脫機(jī)打印文件的特性

第十章 利用FTK對(duì)手機(jī)鏡像進(jìn)行分析
第一節(jié) 利用FTK對(duì)手機(jī)鏡像文件分析的目的
第二節(jié) FTK處理手機(jī)鏡像文件示例
一、加載方式
二、典型手機(jī)鏡像文件加載示例

附錄：為FTK建立良好的運(yùn)行環(huán)境