FTK Imager

FTK Imager è uno strumento di imaging forense progettato per creare copie verificabili di media di prova e mantenere la catena di custodia delle prove. Supporta diversi formati di immagine, tra cui RAW, E01 e AFF, e può generare hash criptografici durante l’imaging. L’utente target è costituito da investigatori digitali, team di risposta agli incidenti, laboratori e consulenti che richiedono un’acquisizione riproducibile delle prove senza modificare il supporto originale. Trasmettendo i dati dalla sorgente alla destinazione, si riducono i rischi correlati alle prove e si ottengono risultati tracciabili idonei per tribunale o audit.

Il concetto prevede che l’imaging sia una copia in sola lettura che calcola gli hash in parallelo, suddivide eventualmente immagini di grandi dimensioni in parti gestibili ed esporta un manifesto. Se si sceglie E01, lo strumento scrive segmenti in formato EnCase con metadati. Funzionalità opzionali come compressione e algoritmi di hash selezionabili consentono di adattare il progetto. Dopo l’imaging, un passaggio di verifica può ricalcolare gli hash sulla destinazione e confrontarli con la sorgente per rilevare deviazioni.

Destinatari includono laboratori forensi, agenzie governative, team di sicurezza e risponditori agli incidenti che devono preservare l’integrità pur accelerando l’indagine. Il valore unico risiede nel supporto multi-formato, verifica integrità integrata e la possibilità di produrre manifesti strutturati per l’elaborazione delle prove. Le capacità chiave includono validazione degli input, imaging in streaming, gestione degli errori e registrazione dettagliata per audit e riproducibilità. I casi d’uso includono l’acquisizione di un disco sospetto per analisi offline, la generazione di un’immagine forense pronta per il tribunale o la creazione di un pacchetto di analisi portatile con hash. Lo strumento è pensato come utilità di acquisizione non distruttiva, non come strumento di estrazione dati o analisi dei contenuti di file.