Získání obrazu disku pomocí nástroje FTK Imager

Praktický příklad vytvoření obrazu disku pomocí nástroje FTK Imager z disku bezpečně připojeného k separátní stanici.

Příprava

Stáhněte si FTK imager
Vyjměte disk z podezřelé stanice
Připojte disk pomocí writeblockeru nebo USB-SATA/IDE převodníku
- Pokud používáte pouze USB-SATA/IDE převodník, nezapomeňte si před připojením ještě upravit registry (zabrání zápisu na USB zařízení):
```
reg add "HKLM\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies" /v “WriteProtect” /t REG_DWORD /d 1 /f
```

Separátní stanice.
Externí nebo interní disk s větší kapacitou než disk, ze kterého bude vytvářen obraz.
Write-blocker nebo USB-SATA/IDE převodník.
- Poznámka: při interním připojení nelze zajistit read-only režim.
Dostatek času k vytvoření obrazu disku (jednotky až desítky hodin).

Spuštění FTK Imager.exe.
Výběr možnosti File > Create Disk Image ….
Výběr možnosti Logical Drive ….
Výběr disku pro vytvoření obrazu (zde disk G: (NTFS)).
Výběr cílového umístění obrazu - přidáváno tlačítkem Add ….
Výběr typu obrazu Raw (dd).
Vyplnění identifikačních údajů případu.
Výběr specifikace umístění obrazu - cesta (pomocí Browse …) a jméno souboru.
Vybrané umístění bylo přidáno. Zaškrtněte ještě Verify images after they are created, pro ověření dokonalosti kopie.
Po stisknutí tlačítka Start se spustí vytváření obrazu.
Následně se spustí verifikace (byla-li zaškrtnuta).
Zobrazí se informace o výsledku verifikace (byla-li zaškrtnuta).
Zobrazí se informace o dokončení tvorby obrazu.
Tlačítkem Image Summary … v předchozím dialogu lze ještě zobrazit souhrnné informace o vytvořeném obrazu.
Odpojení disku z podezřelé stanice (bezpečně odebrat zařízení).
Nyní je na zvoleném disku uložen obraz disku původního.