EnCase
EnCase — проприетарный пакет программных продуктов для цифровой криминалистики и реагирования на инциденты, первоначально выпущенный компанией Guidance Software в 1998 году под названием «Expert Witness (for Windows)». В 2017 году Guidance Software была приобретена корпорацией OpenText, которая продолжает развивать линейку EnCase[1][2]. Платформа признана де-факто отраслевым стандартом для сбора, сохранения, анализа и представления цифровых доказательств в судах[3].
Общие сведения
| EnCase | |||
|---|---|---|---|
| Тип | Программное обеспечение для цифровой криминалистики | ||
| Разработчики | Guidance Software (до 2017) / OpenText | ||
| Первый выпуск | 1998 | ||
| |||
| Состояние | Активно разрабатывается и обновляется | ||
| Лицензия | Проприетарное программное обеспечение (Per Copy, подписочная модель) | ||
| Сайт | opentext.com | ||
Функции
EnCase охватывает полный цикл работы с цифровыми доказательствами — от их получения до подготовки отчётности. К основным возможностям пакета относятся[4][5][6][7][8]:
- Сбор данных (Acquisition). Программа создаёт побитовые образы носителей (формат Expert Witness — E01/Ex01), извлекая информацию с жёстких дисков, мобильных устройств, сетевых ресурсов и облачных сервисов при строгом соблюдении целостности доказательств.
- Анализ данных (Analysis).
- построение удобных временных шкал для реконструкции последовательности событий;
- глубокий анализ файлов и их метаданных, восстановление удалённых и скрытых объектов, поиск по ключевым словам и регулярным выражениям;
- поддержка широкого спектра файловых систем (NTFS, FAT, exFAT, EXT4, HFS+, APFS и др.), а также артефактов браузеров, реестра Windows, социальных сетей и почтовых клиентов;
- «data carving» — извлечение данных с повреждённых или частично перезаписанных носителей;
- автоматизация рутинных задач с помощью встроенного языка сценариев EnScript.
- Сохранение доказательств (Preservation). Контрольные суммы MD5/SHA-1 и цепочка сохранения (chain of custody) гарантируют юридическую приемлемость материалов.
- Отчётность (Reporting). EnCase формирует подробные отчёты, фиксирующие найденные факты, действия следователя и применённые методики, что облегчает представление результатов в суде или перед заказчиком.
Примеры использования
EnCase применяется как правоохранительными органами, так и корпоративными исследователями по всему миру[9][10].
- Расследование взлома нефтяной компании. Используя EnCase Cybersecurity, специалисты просканировали около 3000 систем и обнаружили шесть ранее неизвестных экземпляров модифицированного вредоносного ПО, после чего автоматически удалили их[11].
- Борьба с сетевыми червями у крупного ритейлера. Путём параллельного сканирования 465 удалённых офисных машин были выявлены 16 заражённых устройств; ИТ-служба затем использовала EnCase для удаления вредоносного кода[11].
- Громкие судебные дела. Доказательства, извлечённые EnCase, фигурировали в делах BTK-убийцы, Кейси Энтони, Унабомбера и «Бойни в Уэйкфилде»[10].
- Анализ конфискованных носителей. В классических сценариях программа позволяет восстановить документы, изображения, историю браузера и записи реестра с изъятых жёстких дисков или ноутбуков[12].
- Обработка большого массива почтовых данных. Европейское полицейское агентство проиндексировало 75 ГБ почтовых архивов (500 000 писем) за 2,5 часа, тогда как конкурентное ПО потребовало более 10 часов[13].
- Автоматизированный сбор данных при реагировании на инциденты. Решение EnCase Endpoint Security выполняет централизованный захват волатильных артефактов с рабочих станций, устраняя пробелы в ходе расследований[14].
Примечания
|
Правообладателем данного материала является АНО «Интернет-энциклопедия «РУВИКИ». Использование данного материала на других сайтах возможно только с согласия АНО «Интернет-энциклопедия «РУВИКИ». |