The Official ENCE Encase Certified Examiner Study Guide

EnCase® Computer Forensics The Official EnCE: EnCase® Certified Examiner Study Guide......Page 0
Frontmatter......Page 1
Acknowledgments......Page 6
Foreword......Page 8
William Wei, Coauthor......Page 9
Development for Guidance Software......Page 10
Contents at a Glance......Page 11
Contents......Page 12
What Is the EnCE Certification?......Page 17
How to Become EnCE Certified......Page 18
How to Use This Book and DVD......Page 19
Tips for Taking the EnCE Exam......Page 21
Assessment Test......Page 22
Answers to Assessment Test......Page 27
Ch 01: Computer Hardware......Page 30
Computer Hardware Components......Page 31
The Boot Process......Page 40
Partitions......Page 45
File Systems......Page 48
Summary......Page 49
Exam Essentials......Page 50
Review Questions......Page 51
Answers to Review Questions......Page 55
Ch 02: File Systems......Page 58
FAT Basics......Page 59
The Physical Layout of FAT......Page 60
The Function of FAT......Page 79
NTFS (New Technology File System)......Page 94
CD File Systems......Page 97
Summary......Page 98
Exam Essentials......Page 99
Review Questions......Page 100
Answers to Review Questions......Page 104
Ch 03: First Response......Page 106
Planning and Preparation......Page 107
Personnel......Page 108
Computer Systems......Page 109
Deciding What to Take with You Before You Leave......Page 111
Search Authority......Page 113
Shutting Down Computers......Page 114
Bagging and Tagging......Page 121
Exam Essentials......Page 124
Review Questions......Page 126
Answers to Review Questions......Page 130
Ch 04: Acquiring Digital Evidence......Page 132
Creating EnCase Forensic Boot Disks......Page 134
Booting a Computer Using the EnCase Boot Disk......Page 136
Steps to Follow......Page 137
Steps to Follow......Page 139
Supplemental Information......Page 143
Network and Parallel Cable Acquisitions......Page 145
Steps to Follow......Page 148
Steps to Follow......Page 158
LinEn Acquisitions......Page 164
Steps to Follow......Page 166
Enterprise and FIM Acquisitions......Page 169
Helpful Hints......Page 173
Summary......Page 174
Exam Essentials......Page 175
Review Questions......Page 177
Answers to Review Questions......Page 181
Ch 05: EnCase Concepts......Page 184
EnCase Evidence File Format......Page 185
CRC and MD5......Page 186
Evidence File Components and Function......Page 187
Evidence File Verification......Page 190
Hashing Disks and Volumes......Page 196
EnCase Case Files......Page 198
EnCase Backup File (cbak)......Page 199
EnCase Configuration Files......Page 202
Summary......Page 205
Exam Essentials......Page 206
Review Questions......Page 207
Answers to Review Questions......Page 211
Ch 06: EnCase Environment......Page 212
EnCase Layout......Page 213
Creating a Case......Page 214
Tree Pane Navigation......Page 218
Table View Tab......Page 223
Gallery Tab......Page 231
Disk Tab......Page 233
Timeline Tab......Page 235
Hex View......Page 238
Picture View......Page 240
Console View......Page 241
Dixon Box......Page 242
Navigation Data (GPS)......Page 244
Find Feature......Page 245
Other Views......Page 246
Adjusting Panes......Page 247
Other Case-Level Views......Page 251
Global Views......Page 253
EnCase Options......Page 257
Summary......Page 262
Exam Essentials......Page 263
Review Questions......Page 265
Answers to Review Questions......Page 268
Ch 07: Understanding, Searching for, and Bookmarking Data......Page 270
Binary Numbers......Page 272
Hexadecimal......Page 278
ASCII......Page 281
Unicode......Page 282
Searching for Data......Page 283
Creating and Managing Keywords......Page 284
GREP Keywords......Page 293
Starting a Search......Page 301
Viewing Search Hits and Bookmarking your Findings......Page 304
Bookmarking......Page 308
Summary......Page 326
Exam Essentials......Page 328
Review Questions......Page 329
Answers to Review Questions......Page 333
Ch 08: File Signature Analysis and Hash Analysis......Page 336
Understanding Application Binding......Page 337
Creating a New File Signature......Page 339
Conducting a File Signature Analysis......Page 342
Hash Analysis......Page 347
Hash Sets and Hash Libraries......Page 348
Hash Analysis......Page 351
Summary......Page 357
Exam Essentials......Page 358
Review Questions......Page 359
Answers to Review Questions......Page 362
Ch 09: Windows Operating System Artifacts......Page 364
Dates and Times......Page 365
Time Zones......Page 366
Windows 64-Bit Time Stamp......Page 367
Adjusting for Time Zone Offsets......Page 371
Recycle Bin......Page 376
Link Files......Page 386
Windows 2000 and XP Folders......Page 392
Recent Folder......Page 395
Desktop Folder......Page 396
Send To Folder......Page 397
Favorites Folder......Page 398
Cookies Folder......Page 400
History Folder......Page 401
Temporary Internet Files......Page 405
Swap File......Page 409
Hibernation File......Page 410
Print Spooling......Page 411
Legacy Operating System Artifacts......Page 415
Summary......Page 419
Exam Essentials......Page 422
Review Questions......Page 424
Answers to Review Questions......Page 428
Ch 10: Advanced EnCase......Page 430
Locating and Mounting Partitions......Page 432
Mounting Files......Page 441
Registry History......Page 446
Registry Organization and Terminology......Page 447
Using EnCase to Mount and View the Registry......Page 452
Registry Research Techniques......Page 454
EnScript and Filters......Page 466
EnScript Navigation and Paths......Page 467
Editing, Copying, Moving, and Deleting EnScripts......Page 468
Filters, Conditions, and Queries......Page 469
E-mail......Page 471
Base64 Encoding......Page 478
EnCase Decryption Suite (EDS)......Page 485
Virtual File System (VFS)......Page 487
Exporting Applications......Page 491
Restoration......Page 494
Physical Disk Emulator (PDE)......Page 497
Putting It All Together......Page 501
Summary......Page 504
Exam Essentials......Page 507
Review Questions......Page 508
Answers to Review Questions......Page 512
Appendix A: Creating Paperless Reports......Page 514
Exporting the Web Page Report......Page 516
Creating Your Container Report......Page 519
Bookmarks and Hyperlinks......Page 523
Burning the Report to CD or DVD......Page 526
Glossary......Page 528
Index......Page 535