Belkasoft Evidence Center是一種數(shù)字取證套件，該產(chǎn)品使調(diào)查人員可以輕松執(zhí)行現(xiàn)代數(shù)字調(diào)查的所有步驟，可從各種設(shè)備和云中獲取數(shù)據(jù)、工件提取和恢復(fù)、分析提取的數(shù)據(jù)、報(bào)告、共享證據(jù)等操作，具有移動(dòng)取證、計(jì)算機(jī)取證、內(nèi)存（RAM）取證、云取證、遠(yuǎn)程取證等諸多取證類(lèi)型，可使研究人員輕松獲取，搜索，分析，存儲(chǔ)和共享在計(jì)算機(jī)和移動(dòng)設(shè)備，RAM和云中發(fā)現(xiàn)的數(shù)字證據(jù)。?

軟件特色

1、移動(dòng)和計(jì)算機(jī)采集。

該產(chǎn)品使您可以從計(jì)算機(jī)，筆記本電腦或移動(dòng)設(shè)備獲取數(shù)據(jù)。硬盤(pán)和可移動(dòng)驅(qū)動(dòng)器通過(guò)可選的哈希計(jì)算和驗(yàn)證被獲取為DD和E01格式。對(duì)于運(yùn)行iOS的移動(dòng)設(shè)備，在某些情況下或設(shè)備越獄時(shí)，BEC會(huì)獲取iTunes備份和完整的文件系統(tǒng)副本；對(duì)于Android設(shè)備，有多種格式：標(biāo)準(zhǔn)的ADB或基于代理的備份，EDL以及用于根設(shè)備的物理備份。

2、移動(dòng)和計(jì)算機(jī)設(shè)備考試。

Belkasoft證據(jù)中心支持所有主要的臺(tái)式機(jī)和移動(dòng)操作系統(tǒng)，適用于移動(dòng)和計(jì)算機(jī)取證。它可以解析實(shí)際和邏輯驅(qū)動(dòng)器和驅(qū)動(dòng)器映像，虛擬機(jī)，移動(dòng)設(shè)備備份，UFED和OFB映像，JTAG和碎片轉(zhuǎn)儲(chǔ)。

3、全面的智能分析。

該產(chǎn)品可以完全自動(dòng)在設(shè)備上無(wú)處不在，并且可以成功識(shí)別1000多種數(shù)字工件。便捷的證據(jù)搜索功能有助于使用過(guò)濾器，預(yù)定義的搜索或其他選項(xiàng)來(lái)縮小發(fā)現(xiàn)范圍。

4、強(qiáng)大的雕刻。

數(shù)據(jù)雕刻使您能夠找到已被刪除，破壞或從未存儲(chǔ)在硬盤(pán)驅(qū)動(dòng)器上的證據(jù)（頁(yè)面文件，休眠文件，RAM內(nèi)容）。還支持自定義雕刻，包括對(duì)Scalpel和FTK集的支持。此外，還可以使用稱(chēng)為BelkaCarving?的高級(jí)雕刻模式，從而可以將零碎的塊重構(gòu)為連續(xù)的信息，否則這些信息將根本無(wú)法訪問(wèn)。

5、本機(jī)SQLite解析。

恢復(fù)損壞和不完整的SQLite數(shù)據(jù)庫(kù)，恢復(fù)刪除的記錄和清除的歷史記錄文件。處理空閑列表，預(yù)寫(xiě)日志和日記文件以及SQLite未分配空間。

6、實(shí)時(shí)RAM分析。

證據(jù)中心可以從易失性?xún)?nèi)存中提取潛在的重要信息，例如：私密瀏覽和清除的瀏覽器歷史記錄，在線聊天和社交網(wǎng)絡(luò)，云服務(wù)使用歷史記錄等等。Belkasoft Live RAM Capturer是用于創(chuàng)建內(nèi)存轉(zhuǎn)儲(chǔ)的強(qiáng)大工具，它是免費(fèi)的。

7、遠(yuǎn)程采集。

遠(yuǎn)程采集模塊允許您從遠(yuǎn)程位置執(zhí)行各種數(shù)據(jù)源的采集。可用的數(shù)據(jù)源類(lèi)型包括硬盤(pán)驅(qū)動(dòng)器或可移動(dòng)驅(qū)動(dòng)器，RAM內(nèi)存和移動(dòng)設(shè)備。

借助安裝在遠(yuǎn)程設(shè)備（例如計(jì)算機(jī)或便攜式計(jì)算機(jī)）上的代理程序來(lái)執(zhí)行獲取。

8、事故調(diào)查。

事件調(diào)查模塊旨在幫助用戶(hù)調(diào)查基于Windows的計(jì)算機(jī)的黑客攻擊嘗試。通過(guò)分析注冊(cè)表，事件日志和內(nèi)存轉(zhuǎn)儲(chǔ)等眾多來(lái)源，它可以找到痕跡，這些痕跡是黑客用來(lái)滲透公司基礎(chǔ)結(jié)構(gòu)的各種技巧所特有的。

9、跨案例搜索。

跨案例搜索模塊允許您查找當(dāng)前調(diào)查的案例與其他BEC案例之間的交集。將當(dāng)前案例中找到的信息與所選舊案例中找到的信息進(jìn)行比較，并將報(bào)告所有匹配項(xiàng)。

10、方便的內(nèi)置工具。

PList，注冊(cè)表和SQLite查看器使您可以更徹底地處理特定類(lèi)型的數(shù)據(jù)，并找到比自動(dòng)搜索所能發(fā)現(xiàn)的更多證據(jù)。

低級(jí)調(diào)查。Belkasoft證據(jù)中心配備了文件系統(tǒng)資源管理器，十六進(jìn)制查看器和類(lèi)型轉(zhuǎn)換器，可讓您對(duì)設(shè)備上文件和文件夾的內(nèi)容進(jìn)行深入檢查。

可通過(guò)BelkaScript擴(kuò)展。免費(fèi)的腳本模塊允許用戶(hù)編寫(xiě)自己的自定義腳本，以使某些例程自動(dòng)化并進(jìn)一步擴(kuò)展產(chǎn)品的功能。

軟件功能

1、BEC支持移動(dòng)和計(jì)算機(jī)取證以及遠(yuǎn)程取證，RAM和云取證

2、BEC恢復(fù)所有可用數(shù)據(jù)。不管數(shù)據(jù)是仍然保留在文件中還是被刪除，隱藏在未分配或松弛的空間中，產(chǎn)品都可以通過(guò)在現(xiàn)有文件中進(jìn)行搜索，使用文件進(jìn)行雕刻或記錄簽名，分析“卷影復(fù)制”以及許多其他法醫(yī)重要區(qū)域來(lái)輕松地顯示數(shù)據(jù)（例如SQLite自由列表）。

3、BEC支持調(diào)查的所有階段。從獲取階段開(kāi)始，該產(chǎn)品可幫助您復(fù)制硬盤(pán)驅(qū)動(dòng)器，創(chuàng)建智能移動(dòng)設(shè)備轉(zhuǎn)儲(chǔ)，捕獲RAM內(nèi)存甚至下載Google Drive或iCloud，并以多種格式創(chuàng)建報(bào)告，該產(chǎn)品可簡(jiǎn)化以下操作：您的調(diào)查。

4、BEC可以直接提取1000多種工件。自動(dòng)提取應(yīng)用程序數(shù)據(jù)（我們稱(chēng)其為“低掛式數(shù)字水果分析”）足以解決絕大多數(shù)正在調(diào)查互聯(lián)網(wǎng)通信，文檔或照片的情況。該產(chǎn)品知道所有流行（甚至鮮為人知）的應(yīng)用程序，例如WhatsApp，WeChat，Snapchat，Skype，主要瀏覽器和郵件應(yīng)用程序（例如Outlook），辦公格式（例如MS Word或Open Office Spreadsheet），因此您不必知道數(shù)據(jù)格式，文件位置，雕刻文件或單個(gè)記錄的簽名，加密架構(gòu)等。此外，產(chǎn)品將在所有可能的位置找到這些數(shù)據(jù)，即不僅在現(xiàn)有文件中，而且在Live RAM內(nèi)存，頁(yè)面文件或休眠文件，虛擬機(jī)，VCS快照，未分配或松弛的空間等中。

5、BEC易于使用。使用“低落的水果分析”獲得第一個(gè)結(jié)果很容易，如1-2-3。您需要做的僅有的幾件事是：

o將設(shè)備或轉(zhuǎn)儲(chǔ)添加到您的案例中（或使用內(nèi)置的獲取功能獲取）

o選擇要查找的工件類(lèi)型

o欣賞檢查發(fā)現(xiàn)的結(jié)果！

軟件完成搜索后，所有數(shù)據(jù)將以不同的角度方便地呈現(xiàn)：按文件系統(tǒng)位置，按應(yīng)用程序配置文件和按數(shù)據(jù)類(lèi)型。時(shí)間軸將顯示按時(shí)間戳分類(lèi)的設(shè)備內(nèi)部的所有事件；書(shū)簽將有助于標(biāo)記重要項(xiàng)目;基于索引的搜索將找到關(guān)鍵字，包括GREP搜索和預(yù)定義的搜索（例如信用卡，SSN號(hào)，MAC或IP地址等）。產(chǎn)品界面是如此簡(jiǎn)單直觀，您可以在安裝后立即開(kāi)始使用它，而無(wú)需數(shù)周的培訓(xùn)就可以使其他產(chǎn)品有效運(yùn)行。

6、BEC中提供了高級(jí)低級(jí)分析。盡管在大多數(shù)情況下，自動(dòng)提取就足夠了，但是更復(fù)雜的調(diào)查可能需要對(duì)有問(wèn)題的設(shè)備進(jìn)行手動(dòng)分析。

對(duì)于此類(lèi)調(diào)查，BEC提供了功能強(qiáng)大的文件系統(tǒng)資源管理器，其中顯示了設(shè)備中的所有卷和分區(qū)，現(xiàn)有和已刪除的文件夾，VCS快照，現(xiàn)有和已刪除的文件?？梢栽贖ex Viewer中查看每個(gè)分區(qū)或文件，該窗口可幫助您調(diào)查單個(gè)字節(jié)，進(jìn)行自動(dòng)類(lèi)型轉(zhuǎn)換，創(chuàng)建書(shū)簽，運(yùn)行自定義雕刻并應(yīng)用各種編碼。

7、BEC更具成本效益。該產(chǎn)品以比競(jìng)爭(zhēng)對(duì)手更低的價(jià)格提供了更多功能。它不僅可以在購(gòu)買(mǎi)時(shí)節(jié)省您的錢(qián)，而且還可以幫助您節(jié)省成本低廉的續(xù)訂費(fèi)用。此外，我們的免費(fèi)證據(jù)閱讀器使您可以完全免費(fèi)地與同事共享部分工作，從而為您節(jié)省了更多！最后，Belkasoft客戶(hù)在購(gòu)買(mǎi)合作伙伴的數(shù)字取證產(chǎn)品時(shí)可以享受各種各樣的折扣。