FTK Imager

 FTK Imager bu gereksinimleri karşılayan ve dijital delil dosyaları üzerinde ön inceleme yapıp bu dosyaların forensically sound imajını almaya imkan tanıyan, AccessData firması tarafından geliştirilip ücretsiz şekilde kullanıma sunulan bir yazılımdır. Bu yazılım ile lokal sabit sürücülerin, USB hafıza kartlarının, Zip sürücülerin, CD ve DVD'lerin, dizinleri yada tek bir dosyanın imajını alabilir. Aynı zamanda FTK Imager bu ortamlardaki dijital delillerin imajını almadan önizlenmesine de imkan tanır.

FTK Imager'ın bir özelliği de başka bir adli bilişim yazılımı kullanılarak alınan disk imajları üzerinde temel manada analiz yapılmasına imkan tanımasıdır. Aynı zamanda ilgili disk imaj dosyalarını Read-only olarak mount edip, Windows Explorer üzerinden bu imajların bir sabit disk sürücüsüymüş gibi işlem görmesine de ortam hazırlar ve imaj dosyaları içinden dizin yada dosyaların dışarı kopyalanmasına imkan tanır. Her ne kadar silinmiş dosyaları kurtarma yeteneğine sahip olmasa da silinerek çöp kutusuna gönderilmiş fakat üzerine henüz başka dosya tarafından yazılmamış dosyaları da kurtarabilir.

FTK Imager analiz edilecek dosyaların Message Digest 5 (MD5) ve Secure Hash Algorithm (SHA-1) hashleri oluşturma yeteneğine de sahiptir.Bununla birlikte normal dosyalar ve disk imajları için hash raporları çıkartabilir ve daha sonrasında bu hash değerleri bütünlük doğrulamasında kullanılabilir.

Genel Özellikleri;

• Medyalar içerisinde bulunan verilerin ön izlemesi yapılabilir,
• Birebir kopyası alınmış olan medyaların kopyalarının ön izlemesi yapılabilir,
•  Alınmış olan birebir kopyalar sadece okuma modunda (read-only) görüntülenebilir
• (mount),
• Kopyalar içerisinden veriler dışarı Windows ortamına aktarılabilir,
• Silinmiş ve çöp kutusuna atılmış olan dosyalar görüntülenebilir,
• MD5 ve SHA-1 algoritmalarını kullanarak hash değeri üretilebilir,
• Birebir kopyalar ile normal dosyalar için hash raporları üretilebilir.

FTK Imager arayüzü:

Menülerin görünümü:

File Menu:Dosya menüsü araç çubuğu kullanabileceğimiz bütün dosyalara erişim sağlar.

View Menu: Programın genel görünümünde görünmesi istenen pencerelerin aktif veya pasif edildiği bölümdür.

Mode Menu:Önizleme modu seçmemizi sağlar.

Help Menu: Yardım menüsü FTK Imager Kullanıcı Kılavuzu erişim sağlar ve program sürümü ve hakkında bilgi verir.

Toolbar:  Araç Çubuğu Exit hariç, Dosya menüsünden ulaşılabilir tüm araçlar, işlevler veya özellikler içerir. Aşağıdaki tabloda, her özelliği temel bilgiler sağlar.

FTK Imager dügmelerinin işlevi:

FTK Imager Disk İmajı Alma

File menüsünden Create Disk Image seçeneğini seçip disk imajı oluşturma aşaması.

Bir sonra ki adım için ilk seçenek olan Physical Drive seçeneğini seçip ilerlemeniz yeterli olacaktır.

İmaj almak istedigimiz diski seçiyoruz:

Aşağıda ki pencerede Add butonuna basılarak imaj dosyasının formatını belirtiriz.

Yukarıdaki pencerede Add butonuna basarak oluşturacağımız imaj dosyasının formatını

belirteceğimiz ve örneği aşağıda gösterilen bir sonraki pencereyi açıyoruz. FTK Imager dört

farklı formatta disk imajı oluşturmaya imkan tanır. Bunlar raw (dd) formatı, SMART

formatı, E01 formatı ve AFF formatıdır.

Uygun formatı seçip ilerlediğimizde bir sonraki pencerede ise oluşturduğumuz imaj dosyası

ile ilgili olarak dava numarası, delil numarası, açıklama vs gibi bilgileri girmemizi isteyen

aşağıdaki pencere ile karşılaşırız. Bu bilgiler imaj dosyasının oluşturulduğu dizinde yer alan

ve imaj alma işlemi hakkında özet bilginin yer aldığı text dosyasında yer alacaktır.

Sonraki aşamada imaj dosyasının nereye yazılacağını belirleyeceğimiz aşağıdaki pencere

çıkar karşımıza.

İmaj alma işlemi hakkında özet bilgilerin yer aldığı ve örneği aşağıda gösterilen bir

pencere çıkar karşımıza: