FTK Imager — Acquisition et analyse de preuves

Présentation

FTK Imager (AccessData) crée des images disque forensiquement saines (E01, raw/dd) et permet de prévisualiser le contenu, monter des images et extraire des fichiers sans altérer la source.

Workflow

1. Create Disk Image -> source physique/logique
2. Format E01 (compressé, métadonnées + hash intégrés)
3. Vérification automatique MD5/SHA1 source vs image
4. Add Evidence Item pour explorer (MFT, fichiers supprimés)
5. Export Files / Export File Hash List

Bonnes pratiques

Toujours travailler via un bloqueur d'écriture (write-blocker) matériel ou logiciel, conserver l'image E01 originale intacte, et documenter les hashes dans le rapport (intégrité de la preuve).