X-Ways Forensics

X-Ways Forensics объединяет средства создания образов носителей, низкоуровневого анализа данных и подготовки отчётов. Основные возможности включают:

• клонирование и создание образов дисков — формирование точных посекторных копий физических накопителей, RAID-массивов и файловых образов, включая свободное и скрытое пространство; поддерживаются носители объёмом более 2 ТБ^[2];
• анализ файловых систем — распознаёт FAT12/16/32, exFAT, TFAT, NTFS, Ext2/3/4, CDFS/ISO9660, UDF, HFS/HFS+/HFSJ/HFSX, XFS, Btrfs, ReiserFS/Reiser4, UFS1/2, APFS, QNX и другие, позволяя исследовать удалённые файлы, метаданные и структуру каталогов^[2];
• восстановление данных и карвинг — извлечение потерянных или удалённых файлов, в том числе из повреждённых либо отформатированных носителей, а также карвинг вложенных объектов^[3];
• поиск и фильтрация — полнотекстовый поиск с поддержкой регулярных выражений и динамические фильтры по типу файла, хэш-значениям, временным меткам, размеру и содержимому^[2];
• анализ метаданных — отображение временных меток, владельцев, списков разрешений NTFS и GUID-идентификаторов объектов^[4];
• выявление подозрительных расширенных атрибутов — обнаружение нетипичных $EA-атрибутов в NTFS, используемых вредоносным ПО^[4];
• анализ электронной почты и лог-файлов — работа с базами Outlook, Thunderbird, а также с системными журналами Windows ($LogFile, $UsnJrnl, Prefetch, Event Logs, Task Scheduler и др.)^[5];
• генерация отчётов — формирование настраиваемых отчётов с сохранением хэш-подписей и журналом действий эксперта^[5];
• управление случаями и поддержка нескольких экспертов — коллективная работа над одним делом с разделением или совместным использованием результатов^[2];
• автоматизация — встроенный скриптовый язык для автоматизации рутинных операций и создания пользовательских сценариев^[3];
• интерпретация сложных структур — реконструкция JBOD, RAID 0, RAID 5, RAID 5EE, RAID 6, программных RAID-массивов Linux, динамических дисков Windows и томов LVM2^[6];
• портативность — запуск с USB-накопителя без установки на хост-систему^[2];
• высокая производительность — оптимизированные алгоритмы обеспечивают быстрое исследование больших массивов данных при низком потреблении ресурсов^[2].

X-Ways Forensics применяется в различных сценариях цифровых расследований:

• расследование киберпреступлений — сбор и анализ доказательств при утечках данных, взломах и распространении вредоносного ПО^[7];
• создание и исследование образов дисков — формирование посекторных копий носителей с последующим анализом без риска изменения оригинала^[5];
• восстановление данных — извлечение удалённых или скрытых файлов, включая случаи форматирования или повреждения файловой системы^[4];
• подробный анализ файловой системы — выявление альтернативных потоков данных (ADS), скрытых областей HPA/DCO и иных артефактов, используемых для сокрытия информации;
• анализ интернет-активности — извлечение истории браузеров и преобразование баз SQLite в читаемые таблицы для хронологического анализа действий пользователя^[8];
• построение временных шкал — корреляция событий системы и действий пользователя в единой временной линии^[4];
• анализ оперативной памяти — просмотр и дамп RAM для выявления активного вредоносного ПО и сетевых подключений^[5];
• реконструкция RAID-массивов — виртуальная сборка разрозненных дисков и извлечение данных без оригинального контроллера^[6];
• обработка зашифрованных данных — совместно с X-Ways Capture возможно исследование расшифрованных в момент захвата данных^[9];
• подготовка отчётов для суда — генерация детализированных отчётов, принимаемых в судебной практике как подтверждение неизменности данных^[5].