获取硬盘驱动器后，最常需要取证图像来验证图像的完整性。通常，这是由执法部门为法院执行的，因为在创建法医图像之后，可以检查其完整性以验证其未被篡改。法医成像被定义为用于复制电子介质(例如硬盘驱动器)以进行调查和收集可在法院法律中陈述的证据的过程和工具。该副本不仅包括操作系统可见的文件，还包括数据的每一位，每个扇区，分区，文件，文件夹，主引导记录，已删除的文件和未分配的空间。该映像是所有驱动器结构和内容的相同副本。
此外，可以备份和/或测试法医图像，而不会损坏原始副本或证据。
另外，您可以从运行中的机器或停运的机器中创建取证图像。它是在具有完整性检查时一个字面量快照。
需要取证图像
- 在当今的犯罪世界中，使用此技术已解决了许多案件，因为使用此技术发现了除可通过操作系统获得的证据以外的其他证据，因为可能删除了犯罪数据以防止在调查过程中被发现。除非安全地覆盖和删除该数据，否则可以将其恢复。
- 优点之一包括防止丢失关键文件。
- 当您怀疑是管理员删除或更改文件时。完整的取证图像将在一定程度上允许您恢复已删除的文件。它也可能用于标识已重命名或隐藏的文件。
- 当您预计以后的调查范围可能会扩大时。如果您不确定项目的范围，请始终收集。最好有太多的数据而不是没有足够的数据，并且您不能获得比取证图像更多的数据。
- 当您期望您或组织中的某人可能需要对收藏的司法鉴定进行证明或作证时。在大多数情况下，这种需求永远不会出现，但几乎可以肯定会在任何刑事或潜在的刑事诉讼中发挥作用。
- 可以通过使用实时成像来启用随机存取存储器(RAM)的成像。实时成像可以绕过大多数加密。
什么是FTK成像仪?
FTK Imager是用于创建磁盘映像的工具，并且完全免费使用。它是由The Access Data Group开发的。这是一个有助于预览数据和成像的工具。
使用FTK Imager，您可以：
- 在不更改原始证据的情况下，创建取证图像或本地硬盘驱动器，软盘和Zip磁盘，DVD，文件夹，单个文件等的完美副本。
- 预览本地硬盘驱动器，网络驱动器，软盘，Zip磁盘，CD和DVD上的文件和文件夹。
- 您还可以预览可能存储在本地计算机或驱动器上的取证图像的内容。
- 您还可以为只读视图安装映像，也可以完全按照用户在原始驱动器上看到的方式查看取证图像的内容。
- 从法医图像中导出文件和文件夹。
- 查看和恢复已从回收站中删除但尚未在驱动器上覆盖的文件。
创建法医图像的方法有很多。但是，下面说明其中之一。
方法：
要使用FTK成像器创建取证图像，我们将需要以下内容：
- 来自Access Data的FTK Imager，可以使用以下链接下载：来自Access Data的FTK Imager
- 您要为其创建映像的硬盘驱动器。
方法 ：
步骤1：将FTK成像仪下载并安装到您的计算机上。
步骤2：安装后，单击并打开FTK Imager。您应该会看到FTK Imager仪表板。
步骤3：在菜单导航栏中，您需要单击File(文件)选项卡，这将为您提供一个下拉菜单(如下图所示)，只需单击第一个表示Add Evidence Item (添加证据项)。
步骤4：之后，将出现一个弹出窗口，要求您选择证据来源。如果您已将物理硬盘驱动器连接到用于制作取证图像的膝上型计算机/计算机，则将在此处选择物理驱动器。单击下一步。现在，选择要使用的物理驱动器。请确保选择正确的驱动器，否则将浪费时间导出自己的OS驱动器的取证映像。
步骤5：现在，我们将导出取证图像。
- 在FTK Imager窗口中右键单击要导出的物理驱动器。在此处选择导出磁盘映像。
- 单击图像目标的添加按钮。
- 选择您要导出的取证图像的类型。选择.E01 ，然后单击下一步。
- 之后，您将必须立即输入有关此案的信息。您可以将它们保留为空白，也可以保留为空白，这部分完全由您决定。
- 接下来，您将需要选择要导出法医图像的目的地，并选择该图像。
最后，您将需要等待创建取证图像然后进行验证。创建取证图像的速度将根据您的硬件而有所不同。两者都发生后，就可以准备好取证图像了。
FTK Imager的优点
- 它具有简单的用户界面和高级搜索功能。
- FTK支持EFS解密。
- 它产生一个案例日志文件。
- 它具有重要的书签和突出的报告功能。
- FTK Imager是免费的。
FTK成像仪的缺点
- FTK不支持脚本功能。
- 它不具有多任务处理功能。
- 没有进度条可以估计剩余时间。
- FTK没有时间表视图。