基本介紹
- 中文名：手持式硬碟取證設備
- 外文名：Hand-held hard disk forensics equipment
- 特點：體積小、質量輕，便於攜帶和使用
- 速度：3.3GB/min
- 定義：對硬碟數據全面複製
- 套用：司法取證
發展,分類,型號,MD5硬碟拷貝機,Sonix硬碟拷貝機,慧全DD212/D口128硬碟拷貝機,SF-5000硬碟拷貝機,Solitaire Turbo硬碟拷貝機,DriveCopy硬碟拷貝機,Echo硬碟拷貝機,
發展
國際市場上手持式硬碟拷貝機大致可分為兩代產品。以SF-5000、SOLO II、Solitaire Turbo為代表的第一代拷貝機，拷貝速度最高可達1.8GB/min。以Forensic MD5、Sonix、DD-212為代表的第二代硬碟拷貝機，拷貝速度最高可達3.3GB/min。
分類
各種手持式硬碟拷貝機中，通過用途劃分可分為司法專用型和民用型兩種。司法專用型以Forensic MD5、SF-5000、SOLO II為代表。這些設備通過精確的數據校驗機制，實時計算疑犯硬碟和證據硬碟的哈希值，確保疑犯硬碟數據未被改動、疑犯硬碟與證據硬碟完全一致。目前主要的校驗方法有MD5和CRC32，基於此種方法進行校驗，複製的硬碟能夠作為司法證據被部分國家法律認可。但是，由於採用嚴格的數據校驗機制，司法專用型拷貝機的硬碟拷貝速度也因數據校驗時間而受影響。以MD5拷貝機為例，獲取80GB容量硬碟時，拷貝速度達到3GB/min，應該可在30min內完成，但由於額外花費了近一倍的數據校驗時間，導致最終完成時間為55min。
民用型以Sonix、DD-212、Solitaire Turbo、Echo為代表。這些設備突出的特點是速度快、功能多、使用靈活。但因為不具備精確的數據校驗功能，使其無法作為司法取證工具使用。但是如果在一些特殊的條件下，對精確拷貝沒有非常嚴格的要求，那么此類設備將是非常理想的拷貝工具。比如利用Solitaire Turbo複製一個Windows XP作業系統僅需1～2min即可完成，比軟體方式的拷貝速度快數倍。再如Sonix拷貝機具有硬碟直接拷貝、USB接口拷貝、SATA硬碟拷貝、PC—MCIA接口拷貝、雙向拷貝、智慧型拷貝、分區拷貝、硬碟管理等功能，最高拷貝速度可達3.3GB/min，是目前所有產品中功能最強、速度最快的拷貝設備。
型號
MD5硬碟拷貝機
MD5硬碟拷貝機是美國Logicube公司根據法務部門的特殊需求而設計的最新型計算機硬碟取證設備，2004年3月上市，目前已開始套用於各國法務部門。
MD5拷貝機與SF-5000相比速度有明顯的提高，經實際測試，其最高速度達到3GB/min。在拷貝方式上，MD5具有硬碟直接拷貝、USB接口拷貝、PCMCIA接口拷貝、並口拷貝等四種方式。其獨特的dd鏡像捕獲方式支持對疑犯硬碟進行數據鏡像，並可在獲取成功後直接利用FTK、Encase進行數據分析。dd鏡像捕獲方式可在大容量硬碟中保存多個疑犯硬碟的鏡像，解決了疑犯硬碟數量多而證據硬碟數量不足的問題。具備CF卡，預先設定關鍵字，進行關鍵字搜尋。支持對其他作業系統，如Linux、蘋果格式硬碟拷貝。由於採用了MD5和CRC32數據校驗機制，MD5硬碟拷貝機可確保數據位對位的準確，是一種最精確、功能強的專業計算機取證設備。
優勢：啟動時間短、拷貝精度高、速度快、方式多、關鍵字搜尋、USB唯讀保護。
不足：相比SF一5000，拷貝速度提高一倍，但實際完成時間仍然較長。
Sonix硬碟拷貝機
Sonix是美國Logicube公司最新研製並發布的民用型硬碟拷貝機，2004年6月完成。這種硬碟拷貝機具有拷貝速度快、適應範圍廣、功能多樣、體積小巧等特點。
Sonix拷貝機是目前市場上拷貝速度最快的產品，最高可達3.3GB/min，複製完成80GB硬碟僅需30min。拷貝方式支持硬碟直接拷貝、USB接口拷貝、PCM—CIA接口拷貝，並口拷貝，且所有接口均設計於拷貝機內部，無需再外接任何如USB適配器、SATA適配器等額外配件，減少了所需攜帶的設備數量。數據獲取功能方面，Sonix支持雙向拷貝方式，既可以從內向外方向拷貝數據，以可以從外向內拷貝數據，增加使用靈活性，快速拷貝各種品牌、型號、容量的2.5in和3.5inIDE，EIDE和Ultra—DMA硬碟。具有選擇性拷貝分區功能，允許選擇性拷貝如第一個、第八個分區。支持對所有類型分區進行扇區對扇區的全面拷貝，包含對Mac，Linux，Unix，Sun的支持。Sonix拷貝機具有智慧型拷貝功能，可跳過硬碟剩餘空間，僅拷貝數據區域，加快拷貝速度。拷貝過程中，可自動根據目標盤容量調整各分區比例。NTFS智慧型拷貝方式支持所有基於NT的檔案系統，如Windows2000/XP。
在使用方面，Sonix具有獨特的硬碟管理功能，其內置的主盤能夠在Windows環境下直接使用和管理。可利用Windows環境下的工具軟體對主盤調整分區、重新格式化；利用Windows資源管理器對主盤中的數據拷貝或刪除；對主盤中的數據進行刪除與恢復；對主盤中的數據進行備份或恢復。可將不同來源的硬碟分區組合於一塊硬碟中，既可替換現有分區，也可將分區添加到主盤不同位置。
Sonix；是--款適合民用的計算機拷貝工具，但其3.3GB/min的拷貝速度和靈活的使用方式，特別適宜某些特殊環境、特殊需要的情況。因此，該設備可以作為計算機取證輔助工具。
優勢：啟動時間短，拷貝速度快、拷貝方式多，SATA硬碟、拷貝無需額外配件、雙向拷貝、磁碟管理。
不足：拷貝精度同司法專業性設備相比略有差距，雙向拷貝使用不當可能造成意外損失。
慧全DD212/D口128硬碟拷貝機
DD-212和DD-128是台灣慧全公司研製生產的兩款不同的民用型硬碟拷貝機。主要特點是拷貝速度快，實測為2.8GB/min。DD-212型拷貝機可以實現一次同時拷貝2個IDE目標硬碟，DD-128支持SCSI硬碟和IDE硬碟的互換拷貝。兩款拷貝機同時支持5.25in、3.5in、2.5inIDE硬碟和SATA硬碟，DD-128額外增加了SCSI I/II、Ultra-SCSI和SCA-SCSI硬碟的支持。
兩款拷貝機適用於MS-DOS，IBM-DOS，0S/2，NEC，Windows NT/2000/XP，Windows 95/98/ME，Macintosh，Unix/Xenix，Novell，Linux，FreeBSD格式及非FAT格式等不同作業系統。拷貝方式採用同步獨立式，硬碟的格式化、複製、快速複製、比較、校驗、數據擦除等功能可同時完成。數據拷貝、數據比較和校驗功能可單獨進行。拷貝功能方面，可選擇完全複製、快速複製、分區複製。
優勢：拷貝速度快，使用簡單，處理壞扇區較好，SCSI硬碟拷貝，1對2拷貝。
不足：體積較大，拷貝精度不足，硬碟電源線定義不同，絕不可與其他廠商硬碟電源線互換使用。
SF-5000硬碟拷貝機
SF-5000硬碟拷貝機是美國Logicube公司研製的司法專業型硬碟取證設備。雖然MD5拷貝機必將逐步取代SF-5000拷貝機成為今後司法取證的主流產品，但由於其具有較高的性能價格比，SF-5000將繼續在世界計算機取證領域中扮演重要的角色。
SF-5000拷貝機包含有MD5拷貝機的許多功能，只是拷貝速度相比稍慢，僅達到2GB/min。此外，不具備MD5拷貝機的關鍵字搜尋功能、CF卡插槽和dd鏡像拷貝方式。其獨特的CRC32校驗機制(軟體方式和硬體方式)能同時計算疑犯硬碟和證據硬碟的CRC32校驗值，並通過印表機現場輸出報告。SF一5000拷貝機能夠與USB防寫適配器、Desktop防寫適配器和CloneCard配合使用，是一種使用靈活，安全可靠的計算機取證設備。目前，世界各地有幾千台SF-5000拷貝機被法務部門大量使用，在國內，它也是法務部門打擊計算機犯罪活動最廣泛的武器。
優勢：啟動時間短，拷貝精度高、拷貝方式多、USB接口唯讀保護、PCMCIA接口拷貝。
不足：拷貝完成時間相比其他設備較慢。
ICS Solo 2 Forensics硬碟拷貝機
Solo 2 Forensics是美國ICS公司研製的司法專用型硬碟取證設備。從疑犯硬碟到證據硬碟的拷貝速度可以達到1.8GB/min，具有CRC32校驗機制，可確保數據位對位的準確。由於該公司的Solo 3尚在開發中，沒有成品問世，但由於具有較高的性能價格比，因此Solo 2目前仍是ICS公司在各國法務部門中主要推廣的產品。
Solo 2可對各種IDE硬碟進行快速拷貝，配合PCMCIA SCSI適配器可對SCSI硬碟進行拷貝。能夠複製基於任何作業系統的硬碟，如DOS、Windows3．X、Windows95/98/2000、WindowsNT、OS/2、Macintosh、Unix、Novell等。可通過並口與計算機連線，適應硬碟無法拆卸的計算機取證問題。具備壞扇區跳過功能，可加快硬碟的複製完成時間。具有智慧型拷貝功能，可跳過硬碟空白區域，僅對數據區域進行拷貝。具備硬碟數據擦除功能。配合ICS公司提供的東芝1.8in硬碟適配器，可直接拷貝1.8in硬碟。配合各種筆記本計算機硬碟轉接卡，無需將筆記本計算機的專用轉接卡卸除，即可直接利用拷貝機進行快速拷貝。
優勢：拷貝精度高、SCSI接口拷貝、壞扇區跳過、1．8in硬碟拷貝、硬碟轉接卡品種多。
不足：啟動時間相對比較長，靈活件不夠。
Solitaire Turbo硬碟拷貝機
Solitaire Turbo是美國Logicube公司研製的一款民用型硬碟拷貝機，能夠高速進行硬碟數據的複製工作，速度可達1.8GB/min。
該設備主要特點：支持雙向拷貝，可從內部硬碟向外部連線埠拷貝，或從外部連線埠向內部硬碟拷貝，增加了使用靈活性；具備智慧型拷貝功能，拷貝單獨的WindowsXP系統不到2min，非常適於進行系統日常維護；可配合USB Adaptor和CloneCard，無需拆卸硬碟直接對計算機硬碟進行拷貝。配合USB Adaptor，可作為USB硬碟盒使用，直接察看硬碟數據，進行硬碟維護。
由於系統默認從內部向外部連線埠拷貝，這與所有司法專用型拷貝機使用方式相反，一旦操作失誤將會覆蓋疑犯硬碟，因此如使用此種設備必須謹慎，或配合硬碟防寫設備以便保護疑犯硬碟數據安全。
優勢：拷貝速度高、使用靈活、智慧型拷貝、USB接口拷貝、USB硬碟管理、CloneCard。
不足：雙向拷貝使用不當可能造成意外損失。
DriveCopy硬碟拷貝機
DriveCopy是美國MyKey公司研製的一種司法專用型硬碟取證設備，拷貝速度約為1.5GB/min。該設備的優點是簡單易用，只需連線好硬碟，開啟電源，即可自動對疑犯硬碟和證據硬碟進行複製，並在拷貝結束後自動提示。拷貝機具備硬碟唯讀功能，可保護疑犯硬碟數據不被改動。整個拷貝機體積只有兩塊硬碟大小，有效地節省了空間。由於操作簡單，可由任何非專業人員使用。
優勢：操作簡單，數據唯讀。
不足：無進度顯示。
Echo硬碟拷貝機
Echo是美國Logicube公司研製的一種民用型硬碟拷貝設備，拷貝速度接近900MB/min。Echo是目前國內外市場上所能見到的體積最小的硬碟拷貝設備，雖然拷貝速度在所評測的所有拷貝機中相對比較慢，但是利用其默認的智慧型拷貝方式，拷貝Windows 98/ME/2000/XP的數據檔案仍比軟體方式快許多，對於系統維護、硬碟數據備份等任務非常有效。Echo以單向傳輸數據拷貝，操作非常簡單，僅需簡單按動幾下按鈕，即可根據需要以智慧型拷貝或以全盤拷貝方式進行硬碟複製。同時支持與CloneCard配合使用，無需拆卸筆記本計算機硬碟，即可通過PCMCIA接口傳輸數據。
Echo作為一款簡單易用的硬碟拷貝設備，其1GB的智慧型拷貝速度相對於低廉的售價來說，應該具有極高的性價比。
優勢：體積最小，操作簡單，智慧型拷貝，CloneCard拷貝，有拷貝速度和進度顯示。
不足：速度較低，無時間顯示。
