フォレンジック調査における保全手順（起動中のWindowsマシン編） - Qiitaはじめに 前回の記事の続きです。今回は起動中のWindowsマシンに対する保全を行います。 主にWindowsを起動せざるを得ないケース、ディスク全体やパーティションが暗号化されている場合に採用する方法です。フォレンジックツールによっては暗号化された状態で保全しても、後から復号することもできるそうですが、本記事の手順が最も簡単でしょう。OSが起動した状態での保全になるため、Chain of Custodyを厳密に要求される調査では使用できないかもしれませんが、一般的なインシデントレスポンスではほとんど問題にならないと思います。 FTK Imager Liteの準備 起動中のWindowsマシンに対して保全を行う場合、事前に保全用のツールをUSBメモリやHDDに用意しておく必要があります。このツールは保全先となるHDDに入れておくのが良いと思います。 保全にはFTK Imager Liteを
