ElPlayer
Analiza nagrań wideo
Odtwarzacz zbudowany pod materiał, który trafia do akt. Oś czasu obsługuje zarówno stałą liczbę klatek na sekundę, jak i zmienną — co ma znaczenie przy nagraniach z rejestratorów monitoringu, gdzie deklarowana długość nagrania często rozmija się z rzeczywistą liczbą klatek.
Znaczniki Od–Do wyznaczają fragment, który następnie da się wyeksportować jako osobny plik albo opisać w formularzu analizy. Adnotacje zapisują się przy nagraniu, nie w osobnym dokumencie, więc nie rozjeżdżają się z materiałem przy przenoszeniu sprawy.
Zastosowanie: Ustalenie momentu zdarzenia na nagraniu z monitoringu, wycięcie fragmentu do opinii i udokumentowanie, na której klatce oparto wniosek.
Granice: Znacznik czasu nagrania pochodzi z rejestratora i bywa niezsynchronizowany z czasem rzeczywistym. Program pokazuje czas zapisany w materiale, nie weryfikuje jego poprawności.
Wymagania: Składnik FFmpeg (około 293 MB). Transkrypcja i wyszukiwanie mowy korzystają ze składnika Whisper (około 191 MB).
ElView
Przegląd i ocena fotografii
Przegląd materiału zdjęciowego z odczytem metadanych EXIF oraz formatu HEIC używanego przez telefony Apple. Każdy plik można zabezpieczyć sumą SHA-256 bezpośrednio z okna podglądu.
Moduł wystawia ocenę pomocniczą autentyczności: wskazuje, czy metadane są obecne i spójne, czy zawierają dane GPS oraz jakie okoliczności obniżają ich wiarygodność. Wynik ma postać przesłanek, a nie wyroku.
Zastosowanie: Wstępna selekcja materiału zdjęciowego, ustalenie urządzenia źródłowego i daty wykonania, przygotowanie interaktywnego raportu ze znacznikami.
Granice: Metadane EXIF da się dowolnie zmienić zwykłym narzędziem. Ich obecność nie dowodzi autentyczności, a brak nie dowodzi manipulacji.
Wymagania: Bez dodatkowych składników.
ElCommander
Inwentaryzacja i zabezpieczanie plików
Dwupanelowy menedżer plików z trybem dowodowym, który liczy sumy kontrolne w locie i wyświetla ostrzeżenie, gdy któryś z nośników jest zapisywalny. Ostrzeżenie pojawia się zanim operator wykona operację, a nie po niej.
Porównanie katalogów wskazuje różnice między nośnikiem a kopią, co pozwala wykazać kompletność zabezpieczenia. Archiwa tworzone są w ZIP z szyfrowaniem AES-256, 7Z albo TAR.GZ.
Zastosowanie: Zabezpieczenie zawartości nośnika do katalogu sprawy, wykazanie zgodności kopii z oryginałem, spakowanie materiału do przekazania.
Granice: Tryb dowodowy ostrzega o zapisywalnym nośniku, ale nie zastępuje sprzętowej blokady zapisu. Przy czynnościach na oryginale blokada sprzętowa pozostaje właściwym rozwiązaniem.
Wymagania: Składnik 7-Zip (około 3 MB). Auto-Blocker wymaga uprawnień administratora — Windows poprosi o zgodę UAC.
ElCarver
Odzyskiwanie skasowanych plików
Tryb szybki czyta struktury systemu plików NTFS, FAT32 i exFAT, dzięki czemu odzyskuje pliki wraz z oryginalną nazwą, datą i rozmiarem. Tryb głęboki szuka sygnatur w surowych danych i działa nawet na uszkodzonym systemie plików, ale odzyskuje pliki bez nazw.
Źródło otwierane jest wyłącznie do odczytu. Wynik przechodzi weryfikację, która odrzuca fałszywe trafienia — fragmenty przypominające nagłówek pliku, lecz niebędące poprawnym plikiem.
Zastosowanie: Odzyskanie skasowanych zdjęć, dokumentów i nagrań z nośnika albo z obrazu RAW, E01 lub AFF4.
Granice: Odzyskany plik nie ma wiarygodnego znacznika czasu ani pewnego umiejscowienia w strukturze katalogów. Nadpisany obszar jest nie do odzyskania żadną metodą.
Wymagania: Bez dodatkowych składników.
ELVoice
Analiza i porównanie nagrań głosowych
Moduł dekoduje nagranie do postaci mono 16 kHz przy pomocy FFmpeg; źródło jest przy tym otwierane wyłącznie do odczytu, a analizie podlega pierwsze pięć minut materiału. Obsługiwanych jest dwadzieścia formatów — WAV, MP3, FLAC, M4A, AAC, Ogg, Opus, AMR i 3GP, a także ścieżka dźwiękowa z MP4, MOV, MKV i WebM, czyli typowe nagrania z telefonu i z komunikatorów.
Dla każdej próbki liczone są parametry akustyczne: szacowana wysokość tonu podstawowego, centroid widmowy, liczba przejść przez zero, udział fragmentów dźwięcznych, wartość skuteczna i szczytowa, współczynnik szczytu oraz udział próbek przesterowanych. Powstają też dwa obrazy — przebieg fali i spektrogram — zapisywane jako osobne pliki, więc trafiają wprost do raportu i do akt.
Porównanie dwóch próbek daje wynik procentowy wraz z progiem słownym: wysokie, umiarkowane albo niskie podobieństwo. Metoda jest wypisana w raporcie, a nie ukryta — to porównanie wektora cech akustycznych. Całość zamyka formularz analizy, znaczniki czasu i raport PDF z sumami SHA-256 obu plików.
Zastosowanie: Wstępne zestawienie nagrania spornego z materiałem porównawczym, opisanie właściwości technicznych nagrania i udokumentowanie, co dokładnie porównano.
Granice: To nie jest identyfikacja mówcy i wyniku nie wolno traktować jako dowodu biometrycznego. Podobieństwo cech akustycznych zmienia się wraz z jakością nagrania, kodekiem, kanałem transmisji, emocjami i stanem zdrowia mówiącego — dwa nagrania tej samej osoby potrafią dać niski wynik, a dwie różne osoby wysoki. To przesłanka do dalszych czynności albo podstawa do powołania biegłego fonoskopa, nigdy ustalenie tożsamości.
Wymagania: Składniki FFmpeg (około 293 MB) oraz Whisper z modelem offline (około 191 MB) do transkrypcji.
ELNetwork
Analiza zrzutów ruchu sieciowego
Moduł uruchamia na zrzucie ruchu dwa niezależne silniki: Suricatę, która dopasowuje ruch do reguł wykrywania, oraz Zeeka, który rozkłada sesje na dzienniki połączeń, zapytań DNS, żądań HTTP, sesji TLS i przesłanych plików. Przyjmowane są formaty PCAP, PCAPNG, CAP oraz zrzuty surowe.
Wyniki obu silników trafiają do wspólnego zestawienia w sześciu kategoriach — alarmy, połączenia, DNS, HTTP, TLS i pliki — scalone i uporządkowane według czasu. Przy każdym rekordzie zapisany jest silnik, który go wytworzył, więc nie ginie informacja o tym, skąd wzięło się ustalenie.
Zrzut nie jest modyfikowany. Każdy przebieg dostaje osobny katalog wynikowy i manifest z sumami SHA-256 zrzutu oraz użytych reguł i skryptów, dzięki czemu analizę da się powtórzyć i wykazać, na jakim zestawie reguł powstała. Wyniki eksportują się do CSV i samodzielnego HTML.
Zastosowanie: Ustalenie, z jakimi adresami łączyło się urządzenie, jakie domeny odpytywało i jakie pliki przeszły przez sieć w zabezpieczonym zrzucie ruchu.
Granice: Analiza obejmuje wyłącznie to, co znalazło się w zrzucie — ruch sprzed rozpoczęcia przechwytywania nie istnieje. Treść połączeń szyfrowanych pozostaje nieczytelna; widoczne są metadane, w tym nazwa serwera z pola TLS SNI. Alarm Suricaty oznacza dopasowanie do reguły, a nie potwierdzony incydent, a zakres wykrycia zależy od tego, jakich reguł użyto.
Wymagania: Składnik TShark/Wireshark (około 236 MB).
ELSandbox
Izolowane uruchamianie nieznanych plików
Moduł przygotowuje sesję w natywnej Piaskownicy Windows — nie emuluje jej i nie uruchamia badanego pliku na systemie gospodarza. Diagnostyka sprawdza wersję i edycję Windows, składnik systemowy, wirtualizację, pamięć, wolne miejsce oraz obecność WindowsSandbox.exe; brakujący składnik da się włączyć jawnie przez DISM, z podniesieniem uprawnień i informacją o wymaganym restarcie.
Materiał nigdy nie jest otwierany wprost z katalogu sprawy. Dla każdej sesji powstaje osobny katalog roboczy, pliki są do niego kopiowane, a SHA-256 źródła i kopii liczone są niezależnie — rozbieżność przerywa operację. Do gościa mapowana jest wyłącznie zweryfikowana kopia, jako C:\EvidLock\Input z atrybutem tylko do odczytu. Katalog sprawy, baza sprawy i pierwotna ścieżka materiału nie są mapowane.
Profil ochrony wyłącza schowek, mikrofon, kamerę, drukarki i vGPU oraz włącza chronionego klienta Piaskownicy. Sieć ma trzy tryby: offline (domyślny), bezpośredni i przez proxy. Wskazane narzędzia lokalne — Process Monitor i Wireshark — dostają osobne mapowania tylko do odczytu, a jedynym katalogiem z prawem zapisu może być wskazany katalog wyników.
Po zamknięciu sesji moduł inwentaryzuje zachowane wyniki ze ścieżkami, rozmiarami, czasami i sumami SHA-256. Raport HTML zbiera identyfikator sesji, sygnaturę sprawy, operatora, stanowisko, wersję Windows, wymagania, ustawienia ochrony i sieci, listę kopii wejściowych i wynikowych oraz chronologiczny dziennik zdarzeń. Działa offline, pozwala filtrować, drukować do PDF i wyeksportować dane jako JSON.
Zastosowanie: Obejrzenie podejrzanego załącznika, instalatora albo dokumentu z makrem bez uruchamiania go na stanowisku badawczym — wraz z udokumentowaniem, co i w jakich warunkach otwarto.
Granice: Piaskownica ogranicza ryzyko przypadkowego uruchomienia pliku na systemie gospodarza, ale nie jest gwarancją braku ucieczki ze środowiska. Proxy jest ustawieniem wewnątrz gościa, które badany program może pominąć. Raport dokumentuje zastosowane zabezpieczenia, a nie brak działań niewidocznych dla użytych mechanizmów — materiał wysokiego ryzyka nadal wymaga odseparowanego stanowiska i procedur organizacyjnych.
Wymagania: Windows 10 w wersji 1903 (kompilacja 18362) lub nowszy, w edycji Pro, Enterprise albo Education — edycje Home nie mają Piaskownicy Windows. Wymagany włączony składnik Containers-DisposableClientVM i wirtualizacja w firmware; włączenie składnika wymaga uprawnień administratora i ponownego uruchomienia systemu.
Analiza sprawy
Wspólna baza znalezisk
Siedem niezależnych skanów zapisuje wyniki do jednej bazy sprawy: sygnatury plików, wykrywanie szyfrowania, zbiory hashy, reguły YARA, odzysk z dzienników SQLite, kopie telefonów i Sleuth Kit. Znaleziska da się przeszukiwać wspólnie, niezależnie od tego, który skan je znalazł.
Pozycje istotne oznacza się i eksportuje do raportu HTML, JSON albo XLSX wraz z sumami SHA-256. Baza jest zwykłym plikiem SQLite w katalogu sprawy, więc podlega tym samym regułom zabezpieczania co reszta materiału.
Zastosowanie: Odsianie plików znanych, wskazanie niezgodności typu z rozszerzeniem i zebranie wszystkich znalezisk w jednym raporcie.
Granice: Skany wskazują miejsca warte uwagi, a nie rozstrzygają. Trafienie reguły YARA oznacza zgodność ze wzorcem, nie potwierdzenie złośliwości pliku.
Wykrywanie szyfrowania
Kontrola pierwszego kontaktu
Rozpoznaje szyfrowanie na poziomie woluminu — BitLocker, BitLocker To Go, LUKS i FileVault — oraz na poziomie pojedynczych plików: archiwa ZIP, 7z i RAR chronione hasłem, dokumenty PDF i Office, a także zaszyfrowane klucze prywatne.
Kontenery, które celowo nie mają sygnatury, takie jak VeraCrypt i TrueCrypt, są zgłaszane osobno jako podejrzenie. Podstawą jest entropia zbliżona do szyfrogramu, rozmiar będący wielokrotnością sektora i brak jakiegokolwiek znanego nagłówka.
Kontrola uruchamia się także w ramach One-Click, czyli przy pierwszej czynności na materiale. To celowe: wykryty zaszyfrowany wolumin zmienia sposób postępowania, a hasło bywa możliwe do uzyskania wyłącznie przed odłączeniem zasilania.
Zastosowanie: Ustalenie na wstępie, czego w materiale nie da się odczytać, i odnotowanie tego w dokumentacji czynności.
Granice: Poziom „podejrzenie” nie jest potwierdzeniem i nie da się go potwierdzić bez hasła. Ukryte woluminy VeraCrypt są zaprojektowane tak, żeby nie dało się wykazać ich istnienia.
Odzysk z dzienników SQLite
Zapisy jeszcze nieprzeniesione do bazy
Przeglądarki i komunikatory trzymają dane w bazach SQLite. Skasowanie wpisu nie usuwa go natychmiast — zmiana trafia najpierw do dziennika WAL albo rollback journal, a stara zawartość zostaje na zwolnionych stronach.
Moduł wydobywa z tych plików adresy, adresy e-mail, numery telefonów i ścieżki. Sprawdza też kompletność zabezpieczenia: czy obok pliku bazy zabrano również towarzyszące mu pliki dziennika.
Zastosowanie: Odzyskanie ostatnich odwiedzonych adresów albo wiadomości, które nie zdążyły trafić do właściwej bazy przed zabezpieczeniem nośnika.
Granice: Odzyskany rekord nie ma gwarancji kompletności ani pewnego umiejscowienia w czasie. To materiał do dalszej weryfikacji, a nie gotowy dowód.
Kopie telefonów
Rozpoznanie źródeł w materiale
Rozpoznaje katalog kopii iTunes lub Finder oraz plik utworzony przez adb backup. Dla kopii iOS odczytuje nazwę urządzenia, model, wersję systemu, numer seryjny i datę wykonania, a pliki zlicza w podziale na domeny.
Wykrywa również, czy kopia jest zaszyfrowana. Warto wiedzieć, że zaszyfrowana kopia iTunes zawiera więcej danych niż niezaszyfrowana — obejmuje między innymi hasła Wi-Fi, historię zdrowia i pęcherz kluczy.
Funkcja jest częścią podglądu struktury materiału, bo odpowiada na pytanie „co tu w ogóle jest”. Znaleziona kopia dostaje akcję otwarcia w Analizie sprawy jako źródło pozostałych skanów.
Zastosowanie: Ustalenie, że w zabezpieczonym komputerze znajduje się kopia telefonu — czyli osobne źródło dowodowe z wiadomościami i historią połączeń.
Granice: Moduł rozpoznaje i inwentaryzuje kopię, ale nie parsuje treści aplikacji. Bazy komunikatorów są plikami SQLite i podlegają odrębnemu skanowi.
Oś czasu i graf dowodów
Korelacja zdarzeń
Profilowanie aktywności zestawia w jednej osi czasu UTC zdarzenia z dzienników EVTX, rejestru, Prefetch, LNK, Jump Lists, ShellBags, USBSTOR, Amcache, ShimCache, SRUM, listy procesów, połączeń sieciowych i przeglądarek.
Nad znormalizowanymi rekordami pracuje deterministyczny graf z piętnastoma jawnymi regułami korelacji. Kliknięcie krawędzi pokazuje regułę, poziom pewności, wyjaśnienie, ograniczenia i identyfikatory dowodów, na których oparto powiązanie.
Zastosowanie: Odtworzenie przebiegu zdarzeń na stanowisku i wykazanie, na jakiej podstawie połączono konkretne artefakty.
Granice: Graf nie przypisuje działań osobie. Zdarzenie w koncie użytkownika dowodzi użycia konta, a nie tożsamości osoby przy klawiaturze.
Plaso
Pełna oś czasu z obrazu nośnika
Plaso to standardowe narzędzie do budowania tak zwanej super osi czasu: przechodzi przez obraz nośnika i wyciąga znaczniki czasu ze wszystkiego, co je ma — systemu plików, rejestru, dzienników zdarzeń, przeglądarek, plików LNK i dziesiątek innych źródeł. Wynikiem są setki tysięcy rekordów uporządkowanych w czasie.
W EvidLock wskazujesz obraz i uruchamiasz przetwarzanie z poziomu programu. Postęp widać na bieżąco, bo przy dużych nośnikach jest to praca liczona w godzinach. Gotowa oś czasu wczytuje się wprost do grafu powiązań — bez eksportu do CSV i przeklejania między narzędziami, gdzie najczęściej gubi się strefa czasowa.
Źródło otwierane jest wyłącznie do odczytu, a funkcja działa niezależnie od wybranego wariantu instalacji.
Zastosowanie: Odtworzenie pełnego przebiegu zdarzeń z zabezpieczonego obrazu dysku, gdy nie wiadomo z góry, którego artefaktu szukać.
Granice: Super oś czasu zawiera ogromną liczbę rekordów technicznych, które nie mają związku ze sprawą. To materiał do zawężania, a nie gotowe ustalenie. Znaczniki czasu pochodzą z badanego systemu i dziedziczą jego błędy — przestawiony zegar przesunie całą oś.
Wymagania: Zainstalowany Docker Desktop — przetwarzanie uruchamiane jest w kontenerze.
Pamięć operacyjna
Materiał ulotny
Zrzut wykonywany narzędziem WinPmem, z sumą SHA-256 liczoną od razu po zakończeniu. Opcjonalnie pozyskiwane są pagefile.sys, swapfile.sys i hiberfil.sys, które zawierają fragmenty pamięci zapisane na dysku.
Analiza uruchamiana jest wprost na pozyskanym obrazie przez Volatility 3. Podgląd HEX czyta obraz stronicowo, więc plik o rozmiarze kilkudziesięciu gigabajtów otwiera się natychmiast, a wyszukiwarka przeszukuje całość jako ASCII, UTF-16 LE i bajty HEX.
Menadżer obrazów zestawia dwa zrzuty i porównuje ich sumy kontrolne, co pozwala wykazać wierność kopii.
Zastosowanie: Zabezpieczenie zawartości pamięci działającego stanowiska, w tym kluczy szyfrujących i połączeń, które znikną po odłączeniu zasilania.
Granice: Moduł jest w wersji beta. Zrzut wymaga uprawnień administratora i zawsze zmienia stan badanego systemu — nie da się go wykonać bez śladu, co należy odnotować.
Wymagania: Składnik Volatility 3 z WinPmem (około 19 MB). Zrzut pamięci działającego systemu wymaga uprawnień administratora.
Edytor HEX
Przeszukiwanie zrzutu bajt po bajcie
Zrzut pamięci ma zwykle tyle bajtów, ile stanowisko miało RAM-u — kilkanaście albo kilkadziesiąt gigabajtów. Zwykły edytor próbuje wczytać taki plik w całości i albo trwa to kwadrans, albo kończy się brakiem pamięci. Podgląd w EvidLock czyta obraz stronicowo, więc otwiera się natychmiast niezależnie od rozmiaru.
Wyszukiwarka przechodzi przez całość w trzech trybach jednocześnie: jako tekst ASCII, jako UTF-16 LE (tak Windows trzyma ciągi znaków w pamięci) i jako surowe bajty HEX. Ten trzeci tryb jest potrzebny, gdy szukasz nagłówka formatu albo fragmentu klucza, a nie słowa.
Lista trafień pokazuje adres, tryb dopasowania i podgląd kontekstu. Skok pod dowolny adres pozwala wrócić do miejsca wskazanego przez inne narzędzie — na przykład przez wtyczkę Volatility.
Zastosowanie: Potwierdzenie obecności konkretnego ciągu w pamięci: adresu, nazwy pliku, fragmentu rozmowy albo nagłówka kontenera, którego nie wykryła żadna wtyczka.
Granice: Trafienie w pamięci dowodzi, że ciąg tam był w chwili zrzutu. Nie mówi, który proces go zapisał ani kiedy — obszar mógł zostać zwolniony i pochodzić z programu zamkniętego wiele godzin wcześniej.
Menadżer obrazów pamięci
Porównanie dwóch zrzutów
Zestawia dwa obrazy pamięci obok siebie: nazwę, ścieżkę, rozmiar i daty. Dla obu liczy sumy SHA-256 i pokazuje je wprost jedna pod drugą, razem z jednoznaczną informacją, czy są zgodne.
Typowy powód, żeby to zrobić, jest prozaiczny: zrzut trafia na inny nośnik albo do akt jako kopia i trzeba wykazać, że kopia jest wierna. Drugi powód to weryfikacja obrazu przekazanego przez kogoś innego — zanim oprzesz na nim opinię.
Z tego samego okna wybiera się obraz przekazywany do dalszej analizy, więc nie trzeba wpisywać ścieżki ręcznie w kolejnym module.
Zastosowanie: Wykazanie, że kopia zrzutu jest identyczna z oryginałem, oraz wybór obrazu do analizy w Volatility.
Granice: Zgodność sum dowodzi identyczności dwóch plików. Nie mówi nic o tym, czy pierwszy zrzut wykonano poprawnie ani w jakich warunkach powstał.
Obrazy nośników
Praca na kopii zamiast na oryginale
Obrazowanie dysków i woluminów do formatu RAW lub ISO, z sumą kontrolną liczoną w trakcie. Obraz jest kopią sektor po sektorze, więc obejmuje również obszar nieprzydzielony — czyli to, z czego ElCarver odzyskuje skasowane pliki.
EvidLock czyta także formaty używane przez inne narzędzia śledcze: E01 i Ex01 z pakietu EnCase oraz AFF4. Dzięki temu obraz zabezpieczony cudzym oprogramowaniem można analizować bez konwersji.
Obraz da się zamontować w systemie do przeglądania oraz porównać z drugim obrazem, jeśli trzeba wykazać zgodność kopii.
Zastosowanie: Wykonanie kopii binarnej zabezpieczonego nośnika i prowadzenie wszystkich dalszych czynności na niej, nie na oryginale.
Granice: Obrazowanie oryginalnego nośnika wymaga sprzętowej blokady zapisu — programowe zabezpieczenia jej nie zastępują. Uszkodzony fizycznie nośnik może dać obraz niekompletny; program zgłosi błędy odczytu, ale nie naprawi nośnika.
Wymagania: Składnik ImDisk (około 1 MB) do montowania obrazów. Odczyt dysku fizycznego wymaga uprawnień administratora.
Integralność i One-Click
Podstawa każdej czynności
Sumy SHA-256 liczone są dla pojedynczych plików i całych katalogów, a wynik zapisywany do manifestu o deterministycznej postaci — ten sam katalog daje ten sam manifest przy każdej weryfikacji. BLAKE3 służy do szybkiej inwentaryzacji dużych zbiorów, a MD5 występuje wyłącznie jako wartość zgodnościowa liczona razem z SHA-256.
One-Click wykonuje pełną sekwencję pierwszej czynności jednym poleceniem: nadanie atrybutu tylko do odczytu, kontrolę szyfrowania, sumy kontrolne, manifest, raport i hasłowane archiwum.
Zastosowanie: Zabezpieczenie materiału na początku sprawy w sposób powtarzalny i możliwy do wykazania.
Granice: Suma kontrolna dowodzi niezmienności od momentu jej policzenia. Nie mówi nic o tym, co działo się z materiałem wcześniej.
Artefakty przeglądarek
Aktywność użytkownika w sieci
Odczyt historii, zakładek, listy pobranych plików, ciasteczek i pamięci podręcznej. Osobno wyciągane są metadane zapisanych haseł — czyli informacja, dla jakich serwisów użytkownik zapisał poświadczenia, bez odczytywania samych haseł.
Wyniki przechodzą przez filtr treści ryzykownych, który wyróżnia wpisy warte obejrzenia w pierwszej kolejności. To wyłącznie kolejność przeglądania, nie ocena.
Dane trafiają do wspólnej osi czasu, więc wejście na stronę zestawia się z uruchomieniem programu, podłączeniem nośnika i zdarzeniem z dziennika systemowego.
Zastosowanie: Ustalenie, z jakich serwisów korzystano na stanowisku, kiedy i co pobrano — oraz powiązanie tego z pozostałymi artefaktami.
Granice: Wpis w historii dowodzi, że przeglądarka wczytała adres. Nie rozstrzyga, czy zrobił to człowiek — mogło to być przekierowanie, reklama, wtyczka albo skrypt. Tryb prywatny nie zostawia większości tych śladów.
Rejestr i dzienniki Windows
Ślady po stronie systemu
Eksport gałęzi rejestru do plików .hiv oraz do postaci czytelnej: CSV, XLSX, TXT i PDF. Plik .hiv jest kopią binarną nadającą się do analizy w innym narzędziu, pozostałe formaty służą do akt.
Dzienniki zdarzeń — aplikacji, zabezpieczeń, ustawień i systemu — eksportowane są z wybranym zakresem czasu i limitem rekordów, do XLSX, EVTX, PDF i TXT w jednym przebiegu. EVTX zachowuje oryginalną postać zdarzeń, reszta służy do czytania i załączania.
Pliki wynikowe dostają sumy SHA-256 i atrybut tylko do odczytu od razu przy zapisie.
Zastosowanie: Udokumentowanie logowań, podłączenia nośników USB, instalacji oprogramowania i zmian konfiguracji w wybranym przedziale czasu.
Granice: Dzienniki są rotowane i nadpisywane — brak zdarzenia nie dowodzi, że nic się nie wydarzyło. Zdarzenia da się też skasować przy uprawnieniach administratora, co samo zostawia ślad, ale ślad również usuwalny.
Wyszukiwanie treści
Frazy w całym materiale
Wielowątkowe przeszukiwanie nazw plików oraz ich wnętrza. Program zagląda do dokumentów tekstowych, PDF, formatów Office i OpenDocument oraz do wiadomości EML — czyli tam, gdzie wyszukiwarka systemowa najczęściej nie sięga, bo indeks jej nie obejmuje albo indeksu w ogóle nie ma.
Wyniki pokazują ścieżkę, miejsce trafienia i fragment kontekstu, więc widać od razu, czy trafienie jest tym, o co chodziło.
Zastosowanie: Odnalezienie w zabezpieczonym materiale nazwiska, numeru rachunku, adresu albo frazy z zawiadomienia — bez otwierania plików po kolei.
Granice: Wyszukiwanie działa na treści możliwej do odczytania. Skany i zdjęcia dokumentów bez warstwy tekstowej, pliki zaszyfrowane oraz formaty własne aplikacji pozostaną poza wynikiem.
Wymagania: Bez dodatkowych składników. Odczyt tekstu ze skanów i zdjęć wymaga składnika Tesseract (około 246 MB).
Dziennik zdarzeń
Zapis przebiegu własnej pracy
Każda operacja wykonana w programie trafia do dziennika z czasem, poziomem ważności, numerem porządkowym, nazwą modułu i czasem wykonania. Numer porządkowy jest istotny: pokazuje kolejność czynności nawet wtedy, gdy dwie zdarzyły się w tej samej sekundzie.
Zapis prowadzony jest na bieżąco, w trakcie pracy. To różnica praktyczna, nie kosmetyczna — dokumentacja odtwarzana z pamięci na koniec dnia jest zawsze uboższa i zawsze podatna na pytanie, skąd wiadomo, że tak właśnie było.
Dziennik da się filtrować na żywo po treści wpisu i wyeksportować do PDF, XLSX oraz interaktywnego raportu HTML z sortowaniem. Raport końcowy sprawy zbiera całość czynności w jednym dokumencie.
Zastosowanie: Wykazanie, co dokładnie zrobiono z materiałem, w jakiej kolejności i z jakim wynikiem — w postaci nadającej się do załączenia do akt.
Granice: Dziennik odnotowuje operacje wykonane w EvidLock. Czynności wykonane innym narzędziem albo ręcznie w systemie nie zostaną w nim uwzględnione i trzeba je opisać osobno.
Raporty i dziennik
To, co zostaje w aktach
Dziennik rejestruje każdą operację z czasem, poziomem, numerem porządkowym, modułem i czasem wykonania. Zapis prowadzony jest na bieżąco, więc dokumentacja powstaje razem z pracą, a nie po niej.
Raporty wychodzą w formatach PDF, CSV, TXT i XLSX, a dziennik dodatkowo jako interaktywny raport HTML z filtrowaniem i sortowaniem. Raport końcowy zbiera całość czynności wykonanych w sprawie.
Zastosowanie: Załączenie do akt dokumentacji przebiegu czynności, którą da się odtworzyć i zweryfikować.
Granice: Dziennik odnotowuje operacje wykonane w programie. Czynności wykonane poza nim nie zostaną w nim uwzględnione.
