Yhdysvallat
Department of Justice Office of Justice P810 Seventh Street Nweric H Holder, JMary Lou LearyVt. Apulaisasianajaja GeneraGreg Ridgeway Vt. johtaja, National Institute of Justice Muut julkaisut ja tuotteet oOffice of Justice -ohjelmatSafer Neighborhoods
Vain ensimmäiset 268, 435, 456 sektoria (12&GB) yli 128 Gt:n arele-työkalusta suoritetaan Windows 2000 -ympäristössä (DA-08-DCO:t johtuvat Windows 2000:n rajoituksista käsitellä 8-bittisiä asemia. osoitus Tämä ei ole työkalun ongelma; tämä tulos on huomioitu, jotta lukija olisi tietoinen seurauksista testPlan-asiakirjasta työkalun tarjoamien ominaisuuksien perusteella Kaikki testitapaukset tai testit eivät sovellu kaikille työkaluille
Jokaiselle testatulle työkalulle on leikattu ydinjoukko perustapauksia (DA-06, DA-0d DA-08). Työkalun ominaisuudet ohjaavat valikoituja lisätestitapauksia Jos tietty työkalu toteuttaa tietyn ominaisuuden, siihen liittyvät testitapaukset. ominaisuus suoritetaan Taulukko 1 luettelee testaukseen valitut ominaisuudet ja suoritettaviksi valitut linkitetyt testaukset Taulukossa 2 on luettelo ominaisuuksista, joita ei ole valittu testattavaksi, ja testi-/Baso-tuetut Valinnaiset Suoritukseen valitut ominaisuudet06,07&08Lukuvirhe hankinnan aikana09Kloonin luominen kuvasta tiedosto14&17Kohdelaitteen vaihto13Luo kohdistamaton klooni digitaalisesta lähteestä 02Luo katkaistu klooni fyysisestä laitteesta amp;18Täytä ylimäärä sektorit kloonilaitteessa&23Luo klooni kuvatiedoston osajoukosta tesaa liitin lähdeasemaan (Src-AIMarch 2013X-Ways Forensics 148
hakitun digitaalisen lähteen (DS) objektin tyyppi, sitten (XE) ja levyllä piilotetut sektorit Muut parametrit, joita vaihdeltiin testitapausten ja testitapausten muunnelmien välillä, olivat lasketun hajautusalgoritmin tyypit, kuvatiedostosegmentin koko, laitteiston kirjoituseston käyttö ja käytetyn laitteiston kirjoituseston tyyppiSeuraavat lähdeliitännät testattiin ata28 atA48 SAtA28 SATA4SCSI FW ja usB Nämä on merkitty muunnelmina testitapauksissa dA-O1 DA-06 DA-08ja dA-14Seuraavat digitaaliset lähteet olivat testattu: osiot (FAT12, FAT16, FAT32, FAT32X, NTFS), kompakti flash (CF) ja peukaloasema (Thumb) Molemmista FAT 32 -osiokoodeista OXOB(FAT32) ja OXOC(FAT32Xe) on kaksi FAT 32 -muunnelmaa. tapauksia da-02 ja DA-07 Laitteiston kirjoitusestoja käytettiin da-o1 DA-02 DA-07DA-08 ja dA-09 testitapauksen tietyissä muunnelmissa3 Testiväitteen tuloksetTestiväite on todennettavissa oleva lausunto yhdestä ehdosta testattavan testin suorittamana testitapauksen, joka yleensä tarkistaa väitteet testattavan työkalun suorittamisen jälkeen. Testattavat väitteet määritellään ja linkitetään testitapauksiin Digital Data Acquisition Tool Assertions and Test Plan Version 10 -taulukossa on yhteenveto kaikkien testitapausten testituloksista väitteen mukaan. labeledAssertions Tested antaa jokaisen väitteen tekstin
Testit-sarake ilmoittaa testitapausten lukumäärän, jotka käyttävät annettua väitettä. Sarake Poikkeama antaa näiden tämän raportin osien numeron, jossa käsitellään havaittuja poikkeavuuksia.Katso osa 2, jossa käsitellään lähdeliittymän suoritusympäristöä ja digitaalista lähtettä. Taulukko 3 testatut väitteet. AnomalAM-01 Työkalu käyttää käyttöliittymää SRc-ai päästäkseen digitaSourceAM-02:een. Hankkii digitaalisen lähteen DSAM-03 Työkalu suoritetaan suoritusympäristössä XEAM-04 Jos kloonin luonti on määritetty, työkalu luo kloonin 13digitalAM-05 If -kuvatiedostosta. luominen on määritetty, työkalu luo kuvan 25tiedoston tiedostojärjestelmätyypille FSAM-06 Kaikki näkyvät sektorit hankitaan digitaalisesta lähteestä35LAM-07 Kaikki piilotetut sektorit hankitaan digitaalisesta lähteestä Maaliskuu 2013X-Ways Forensics 148
AM-0S Kaikki digitaalisesta lähteestä hankitut sektorit hankitaan/-sts PoikkeavuusVaatimat testattuAM-09 Jos ratkaisemattomia virheitä tapahtuu luettaessa valitusta digitaalisesta lähteestä, työkalu ilmoittaa käyttäjälle virheen tyypistä ja sijainnista digitaalisessa lähteessäAM-10 Jos ratkaisemattomia virheitä tapahtuu luettaessa valitusta työkalu käyttää hyvänlaatuista täyttöä saavuttamattomien tietojen kohdeobjektissaAO-01 Jos työkalu luo kuvatiedoston, 2AO-04:n edustamat tiedot Jos työkalu luo kuvatiedostoa ja on kuvan kohdelaitteessa ei ole tarpeeksi tilaa kuvatiedoston tallentamiseen, siitä tulee ilmoittaa käyttäjälle AO-05 Jos työkalu luo usean tiedoston pyydetyssä koossa, 2 yksittäiset tiedostot eivät saa olla suurempia kuin pyydetty koko AO-10 Jos tilaa ei ole riittävästi sisältää kaikki monitiedostoisen kuvan tiedostot, ja jos kohdelaitteen vaihtoa tuetaan, kuva jatkuu toisella laitteella pyydetty, klooni luodaan digitaalisen lähteen hankinnan aikana AO-12 Pyydettäessä luodaan klooni kuvatiedostostaAo-13 A klooni luodaan käyttämällä käyttöliittymää DSt-Al kloonilaitteen kirjoittamiseen
AO-14 Jos luodaan kohdistamaton klooni, kukin sektorille kirjoitettu sektori kirjoitetaan tarkasti samaan kloonin levyosoitteeseen, jonka sektori varattu digitaalisessa lähteessäAO-17 Pyydettäessä kloonin kohdelaitteen 12 ylimääräisiä sektoreita ei kirjoiteta. modifiedAO-19 Jos tila ei riitä täydellisen kloonin luomiseen, katkaistu klooni luodaan käyttämällä kaikkia saatavilla olevia clorAO-20:n sektoreita. Jos katkaistu klooni luodaan, työkalu ilmoittaa käyttäjälleAO-23tiedot on tallennettu tarkasti lokitiedostoonAO-24. Jos työkalu suoritetaan rikosteknisesti turvallisessa suoritusympäristössä, hankinnan jumittaa digitaalinen lähde. Taulukko 4 Väitteet ei testattu Väitteet Ei testattuAO-02 Jos kuvatiedostomuoto on määritetty, työkalu luo kuvatiedoston määritetyssä Ao-03 Jos virhe kuvaa kirjoitettaessa tiedosto, työkalu ilmoittaa käyttäjälle March 2013X-Ways Forensics 148
Väitteet, joita ei ole testattuAO-06 Jos työkalu suorittaa kuvatiedoston eheyden tarkistuksen kuvatiedostolle, jota ei ole muutettu tiedoston luomisen jälkeen, työkalun tulee ilmoittaa käyttäjälle, että kuvatiedosto Ao-07 Jos työkalu suorittaa kuvatiedoston tiedoston luomisen jälkeen muuttuneen kuvatiedoston eheystarkistus, työkalu ilmoittaa käyttäjälle, että kuvatiedostossa on Ao-08. Jos työkalu suorittaa kuvatiedoston eheyden tarkistuksen kuvatiedostolle, jota on muutettu tiedoston luomisen jälkeen, työkalun tulee ilmoittaa käyttäjälle vaikutuksen alaisista paikoistaAo-09 Jos työkalu muuntaa lähdekuvatiedoston yhdestä muodosta kohdekuvatiedostoksi toisessa muodossa, kohdekuvatiedostossa esitetyt hankitut tiedot ovat samat kuin vaadittu datakohdistettu klooni luodaan. sektori peräkkäisen sektorivälin sisällä lähde kirjoitetaan tarkasti samaan levyosoitteeseen kloonilaitteessa suhteessa jakson alkuun kuin alkuperäisen digitaalisen lähteen sektori. Ajanjakso määritellään joko sektorien mountabof-osaksi, ei osaksi asennettavaa osiota Laajennettu osiot, jotka voivat sisältää sekä mountableL-osioita että allokoimattomia sektoreita, eivät ole liitettävät osiotAO-16 Jos kuvan tai hankinnan osajoukko on määritetty, kaikki osajoukko kloonataan -21 Jos kirjoitusvirhe kloonin luomisen aikana työkalu ilmoittaa käyttäjälleA0-22sted, työkalu laskee lohkohajautusarvot fod-lohkon koon lukituksen aikana, joka on hankittu digitaalisesta lähteestä3
1 metatietomuutoksia järjestelmän palauttamisen tai kloonauksen aikana voi tapahtua, kun loogisen FAT32- tai NTFS-aseman kuva FAT32-tiedostojärjestelmissä ei yleensä ole enempää kuin kolme sektoria, joissa on muutoksia, mitä monimutkaisemmissa ntf:issä voi olla yli 200 metatietosektoria, ainakin yksi bvte on muuttunut ( DA-02-CF DA-02-F32 DA-02nade käyttöjärjestelmän toimesta Joskus muutokset voidaan estää poistamalla laite noudattamatta normaalia sammutusmenettelyä3 2 HPa:n ja dco:n hankinta Työkalu ei poista HPA:ta tai DCO:ta Työkalu teki älä hanki HPA:n tai dco:n piilottamia sektoreita testitapauksissa DA-08-DCO, DA-08-AtA28 ja da08-ATA48 HPA:n poistamiseen voidaan käyttää erillistä työkalua, X-ways Replicaa. Työkalu näyttää seuraavan ponnahdusikkunan. windan hpa tai dco havaitaan maaliskuu 2013X-Ways Forensics 148
X-Ways ForensicsAconfguration-peittokuva [DOK3 3 NTFS-osion looginen hankinta hankkii vain27744 184 sektoria skviimeiset kahdeksan sektoria Kuitenkin viimeisiä kahdeksaa sectoNT-tiedostojärjestelmää ei käytetä käyttäjän tietojen sisältämiseen. Kahdeksan sektoria jätetään pois, koska työkalun käyttäjä valitsi hankkimaan loogisen aseman fyysisen aseman sijaan Jos fyysinen asema on valittu, kaikki sektorit osion tulee hankkia Tämä ei ole ongelma, koska tämä tulos on saanut lukijan tietoiseksi erosta loogisen vS:n valinnan välillä, fyysinen hankinta3
4 48-bittisen osoiteaseman hankinta Windows 2000:sta Vain ensimmäiset 268, 435, 456 sektoria asemasta, joka vaatii 48-bittisen osoitteen (eli larg08-DCO) Windows 2000:ta ei tule käyttää suurempien asemien hankkimiseen, joiden koko on 12G8(DAthan 128Gt) hankitaan, jos työkalu suoritetaan Windows 2000 -ympäristössä35 Viallisten sektoreiden hankinta Työkalu sallii useiden sektoreiden määrittelyn, jotka ohitetaan, kun sektorin suorituskyky on viallinen, mutta joitain luettavia sektoreita hankitaan, kun ohitusominaisuutta käytetään (DA-09-FW, DA -09-FW-XP ja DA-09-USBng-ympäristöTestit suoritettiin nist cftt -laboratoriossa. Tässä osiossa kuvataan testaukseen käytettävissä olevat testitietokoneet tukiohjelmiston avulla sekä huomautuksia muista testilaitteistoista41 Testitietokoneet Käytettiin kolmea testitietokonetta Freddy, Frank ja Joella on seuraavat kokoonpanotIntel Desktopin emolevy D865GB/D865PERC (jossa on ATA-6 IDE -ohjain)BIOS VOBF86510A86A0053P13Adaptec SCSI BIOS V3100Intel@B Pentium M 4 prosessori 3 4Ghz25779 ForkWW-4ayss8X7
SONY DVD RW DRU-530A, ATAPI CD/DVD-ROM-asema44 MB flottia irrotettavalle kiintolevylle driKaksi paikkaa irrotettaville sata-kiintolevyasemilleKaksi sl
ots irrotettavalle scsi-kiintolevyasemalle42 TukiohjelmistoKäytettiin testianalyysin tukemiseen tarkoitettua ohjelmapakettia, FS-TST Release 20. Ohjelmistoa voi saada osoitteesta http://wwwcfttnistgov/diskimaging/fs-tst20zip4 3 Testiaseman luominenKiintolevyä voidaan käyttää kolmella tavalla työkalun testitapauksessa: lähteenä, jota viivästää testissä luotu toolmedia-asema thafiles tai kohdeasemana, jolle testattava työkalu luo lähteen aseman kloonin Käyttöjärjestelmän aseman muotoilutyökalujen lisäksi joitakin työkaluja (levypyyhintä ja diskhash) FS-TST-paketista käytetään testiaseman määrittämiseen. Media-aseman määrittäminen edellyttää, että asema alustetaan jollakin tuetuista tiedostojärjestelmistä. Asemaa voidaan käyttää useissa testitapauksissa. Useimpien lähdeasemien asennus noudattaa samaa yleistä menettelyä. , mutta on sevesteppejä, jotka voivat vaihdella testitapauksen tarpeiden mukaan, levynpyyhintäohjelma täyttää tunnetut tiedot FS-TST:stä. Diskwipe-ohjelma kirjoittaa sektoriosoitteen jokaiseen sektoriin sekä C/H/S:ssä että lBaormatissa. loput sektoritavuista asetetaan vakiotäyttöarvoon, yksilöllinen forach-asematäyttöarvo merkitään levypyyhintätyökalun lokitiedostoon. Asema voidaan alustaa partit3:lla Käyttöjärjestelmä voidaan asentaa valinnaisesti4 Joukko viitehajautusarvoja luodaan FS-tST diskhash-työkalu Nämä sisältävät sekä shal- että mds-tiivisteet. Täydellisten asemahajautusten lisäksi jokaisen artion tiivisteet ehkä5 Jos asema on tarkoitettu piiloalueen testeihin (Da-08), luodaan HPa, dco tai molemmat. Diskhash-työkalu on sitten käytetään laskemaan viitetiivisteet vain aseman näkyvissä sektoreissa. DA-09:n lähdeasemat luodaan siten, että asemassa on johdonmukainen joukko viallisia. Jokainen näistä lähdeasemista alustetaan levypyyhkimällä ja niiden vialliset sektorit aktivoidaan. kukin näistä lähdeasemista, toinen asema viallisena sektoriasemana, mutta jossa ei ole viallisia sektoreita, toimii vertailuasemana viallisesta asemasta tehdyille kuville. Kohdeaseman määrittämiseksi levynpyyhintäohjelma FS täyttää aseman tunnetuilla tiedoilla. -TST-osiot voidaan luoda, jos imasogical hankinnasta maaliskuu 2013 X-Ways Forensics 148 saatu testi
4 4 Testiaseman analyysi Testitapauksissa, jotka luovat fyysisen laitteen kloonin (esim. DA-Ol ja DA-04), kohdeasemaa verrataan lähdeasemaan TST-paketin diskemp-ohjelmalla Testitapauksissa, jotka luovat loogisen laitteen (esim. osion, esim. DA-02 ja DA-20) klooni, kohdeosiota verrataan lähdeosioon partcmp-ohjelmalla. Tiedostosta luodulle kohteelle (esim. DA-14) kohdetta verrataan käyttämällä joko diskcmp (fyysisille laiteklooneille )tai partcmpor partilones) lähteeseen, joka hankittiin kuvatiedoston luomiseksi. Sekädiskemp että partemp huomaa erot lähteen ja kohteen välillä.Jos kohde on suurempi kuin lähde, ylimääräiset kohdesektorit luokitellaan joko häiriötön (sisältää edelleen diskwipeeron kirjoittaman täyttökuvion täytettynä tai muutettuna joksikin muuksi
työkalu voi sisältää toiminnon pyyhkiä ylimääräisen partitdiskemp- ja partemp-ohjelmat raportoivat lopputilan ylimääräiset sektorit NTFS-osioille metatiedot voidaan kirjoittaa ylimääräisiin elementteihin, jotka korvaavat levypyyhkäisyllä asetetut täyttöarvot. Erityistä menettelyä käytetään määrittämään ylimääräisten sektoreiden tila NTfs-osion palauttamisen jälkeen, kuten testitapaus DA-14-NTFS, kohdeasema täytetään ensin levynpyyhintäkuviolla, jonka jälkeen ennen osiota lasketaan tiiviste sen jälkeen kun työkalua on käytetty osion palauttamiseen, toinen tiiviste lasketaan kohteen ylimääräisten sektoreiden yli, jos kaksi tiivistettä täsmäävät, niin mikään ylimääräisistä sektoreista ei ole vaikuttanut. Testitapauksessa DA-09, joka kuvaa asemaa tunnetuilla viallisilla sektoreilla, ohjelma käytti vertaamaan viallista sektorin viiteasemaa Kloonattua versiota viallisista sektoreista, kuten dA-06 ja DA-0-hankintahajautus, joka on laskettu alla testillä, verrataan lähteen viitehajautusarvoon sen varmistamiseksi, että lähde on hankittu täysin ja tarkasti toimittajien hera ety SATA tunnistaa asemat jotka on täytetty lähde- ja kohdetäyttöarvoilla kohteessa, joka on suurempi kuin alkuperäinen lähde. Taulukko 5 luettelee käytetyt lähdetestiasemat Mallit ja sarjanumerot on lueteltu hämmästyneenä ata IdEntify -laitteen commanTaulukko 5 testiasematDriveSerial#Size (sektoritO1-IDEI WDC WD400BB-0OJHCO WD-WMAMC7417100 78165360 maaliskuu 201310 / 109X-Ways Forensics 148
MAALISKUUN 2013 parhaat tulokset Digital Data Acquisition ToolX-Ways Forensics 14:stä
8NcJ236224
N丿Greg Ridgeway Vt. johtaja, National Institute of JustiStandards of the nattute of standards and teagency Agreethe offPrograms, joka sisältää Nuorten oikeuden ja rikollisuuden ehkäisyn, rikoksen uhrien toimiston ja toimiston
Maaliskuu 2013 Tulokset digitaaliselle datalle Acquisition Toolays Forensics 14
8andards and Tech
JohdantoTämän raportin lukeminenTulokset2 Testitapauksen valinta3 Tulokset testivahvistuksen mukaan3 1 Metatietojen muutokset palautuksen aikana tai Clone3,2AHPA ja dco33 Looginen hankinta NTFS-osionf 48-bittinen osoiteasema Windows 20004 Testaus-avain Raportti er41 Test8 Result2458 Testitiedot521DA- 01-ATA28ATA28524DA-01-SATA48525DA-01-SCSI526DA-01-USB27DA-02CF529DA-02-F165210DA-02-F32211DA-02-F32X212 DA-042-THUM28
13DA-045214DA-06-Fw5215DA-06-ATA285217DA-06CF5218 DA-06-FLOPPY5219DA-06PART5220DA-06-SATA285221DA-06-SATA485221DA-06-SATA485221DA-06-SATA4852221-DA-06-SATA4852222-DA-6-26US3-DA-06-210 25225DA-07F16X-Ways Forensics 148
5226DA-07-F325227DA-07-F32X5228DA-07NTFS5229 DA-O7-THUMB5230DA-08-ATA285231DA-08-ATA485233DA09-ATA5234DA-09PW-DA09-09FWDA09257W58P-09233 2
38DA-13239DA-14-ATA25240DA-14-ATA485241DA-14CF5242DA-14-F12243DA-14-F165245DA-14F32X5246 DA-14-FLOPPY5247DA-4DASATAS2-42815 485251 DA-14-THUMB5252DA-14-USB5253DA-1X -Ways Forensics 148
johdantoComputer Forensics Tool Testing (CFTT) -ohjelma on National Institute of Justice (ND), USA:n oikeusministeriön sekä National Institute of Standards and Technologyn säännöstöstandardien toimiston ja tietotekniikan laboratorion CFTT:n yhteinen hanke. muut organisaatiot, mukaan lukien Federal Bureau of Investigation, UsDepartment of Defense Cyber Crime Center, US Internal Revenue Service CriminalProgram ja US Departmelomeland Securitys Bureau of Immigration and Customs Enforcement, US Customs and Border Protection ja US Secret Service (USSS) Tavoite CFTT:t edellyttävät tietokonerikosteknisten työkalujen eritelmien ja testausmenetelmien kehittämistä ja erityisten työkalujen myöhempää testausta niitä vastaan.Testitulokset tarjoavat kehittäjille tarvittavat tiedot työkalujen parantamiseksi, käyttäjille tietoon perustuvien valintojen tekemiseksi ja oikeusyhteisön ja muiden työkalujen ominaisuuksien ymmärtämiseksi. lähestymistapa tietokonerikosteknisten työkalujen testaamiseen perustuu hitsin laadun testaukseen Tekniset tiedot ja menetelmät julkaistaancFtt-Web-sivustolla (http://wwwcfttnist
govd)tietokonerikosteknisen yhteisön arvioitavaksi ja kommentiksiTämä asiakirja on tulos X-Ways Forensicsin version 148 testaamisesta digitaalisten Data ATool -väitteiden ja testisuunnitelman veLO:n kanssa, jotka ovat saatavilla CfttWebsite-sivustolla (http://wwwcfttnistgov/da-atp-pc-01pdiTest tulokset muista työkaluista ja cftt-työkalun metodologiasta löytyvät nijsCFTT:n verkkosivulta http://wwwniigov/nii/topics/forensics/evidence/digital/standards/cftthtmow, jotta voit lukea tämän raportinTämä raportti on jaettu viiteen osaan Ensimmäinen osa on yhteenveto testiajojen tuloksista ja riittää useimmille lukijoille arvioimaan työkalun soveltuvuutta määrättyyn käyttöön. Raportin loput osat kuvaavat testien suorittamista, keskustelevat havaituista poikkeavuuksista ja tarjoavat dokumentaatiota testitapauksen ajon yksityiskohdista, jotka tukevat raporttia. tiivistelmä Osa 2 perustelee testitapausten valintaa mahdollisista digitaalisten tiedonhankintatyökalujen testisuunnitelmassa määritellyistä tapauksista Testitapaukset valitaan yleensä työkalun tarjoamien ominaisuuksien perusteella. Osa 3 kuvaa tarkemmin mahdollisia poikkeavuuksia, jotka on tiivistetty Ensimmäisessä osiossa 4 luetellaan testitapausten suorittamiseen käytetyt laitteistot ja ohjelmistot sekä linkit additicase-ajoon. Jokaisen testiajon kuvauksessa luetellaan kaikki testitapauksessa käytetyt testivahvistukset, odotetut
tulos ja todellinen tulos Lisätietoja ominaisuuksista ja uX-waysForensicsseethevendorWeb-sivustosta (http://wwwx-ways
comMaaliskuu 2013 X-Ways Forensics 148
Digital Data Acquisition ToolTool Tested ForensicsRun -ympäristöt: Windows: 2000 XPX-Ways Software Technology AGA-osoite:ⅹ- Ways AG50676 Köln+49221-4204865mail@x-wayscomWWWWFSNT-hyväksyttyihin logeihin,joihin ositettu tai piilotettuja sektoreita sisältävä lähdeasema, Device Configuration Overlay (dco) -palvelimen isäntäsuojattu alue (HPa) kuvattiin. Työkalu palautettiin, ja se loi kloonit tarkasti, paitsi kloonaus- tai palautusoperaatioissa siirrettävällä tietovälineellä, jossa pieniä muutoksia tiedostojärjestelmän metatietoihin oli joitakin luettavia sektoreita. voidaan tarkoituksella ohittaa parametriasetuksen avulla suorituskyvyn parantamiseksi hankittaessa taajuusmuuttajaa viallisilla sektoreilla DA-09-FW, DA-09-FW-XP ja DA-09-USB) Kahdeksan käyttämätöntä sektoria osion lopussa, joka sisältää NT-tiedostojärjestelmää ei vaadita (DA-07-NTFS) Tämä johtuu siitä, että työkalun käyttäjä valitsi hankkia loogisen aseman fyysisen aseman sijaan
Jos fyysinen asema on valittuna, osion sektorit tulee hankkia. Tämä on työkaluun liittyvä huomautus. Tulos huomioidaan, jotta lukija tulee tietoiseksi eroista logisen vS fyysisen hankinnan välillä. Työkalu ei hanki HPA:n piilottamia sektoreita tai DCO Kuitenkin piilotetut sektorit näkyvät ja sitten hankkivat aiemmin piilotetut sektorit (DA- f takeXWays voidaan käyttää uudelleensiirrä hpaDCOATA28, DA-08-ATA48 ja DA-08-DCO) käyttöjärjestelmä voi tehdä pieniä muutoksia tiedostojärjestelmään metadataFAT32 tai NTFSe(DA-02CF DA-02-F32 DA-02-F32X DA-14-CF DA-14-F32 DA-14-F32X ja DA14-NTFS) Työkalu ei hallitse näitä muutoksia maaliskuu 20133 109X-Ways Oikeuslääketieteen 148