FTK Imager: メモリデータ取得 - ナレッジ＆テクニック
ホーム > 記事 > ナレッジ＆テクニック > FTK Imager: メモリデータ取得
FTK Imager: メモリデータ取得
本項では、AccessData 社製証拠保全・データ取得ツール FTK Imager を用いたメモリデータ取得の方法について解説します。
以下、FTK Imager v4.1.1 を使用していますが、基本的な操作方法は他のバージョンでも同様です。
FTK Imager は、以下の方法で入手可能です。
- 当社からの納品ディスク
- AccessData 社のサポートページ
https://accessdata.com/product-download
FTK Imager は、FTK のインストーラー、もしくはFTK Imager 単体のインストーラーとして入手可能です。
※ FTK Imager は、無料で入手・使用することが可能です。
FTK Imager を管理者権限で起動し、メニューバー「File」の「Capture Memory」もしくはツールバーの「Capture Memory」アイコンを押下します。
「Capture Memory」ダイアログが表示されます。
- 「Destination path」：取得するメモリデータの保存場所を指定します。
- 「Destination filename」：取得するメモリデータのファイル名を指定します。デフォルトで「memdump.mem」が指定されています。
- 「Include pagefile」：チェックを付けると、メモリデータに「Pagefile.sys」を加えて取得します。
- 「Create AD1 file」：チェックを付けると、AD1形式で出力されます。
「Capture Memory」を押下してメモリデータの取得を開始します。
取得時間はメモリの容量によって前後しますが、通常、数分程度で完了します。FTK Imager でのメモリデータの取得は、Raw 形式で行われます。
FTK Imager がサポートするOSは、以下の通りです：
- OS: Windows 7, 8, 10, 2012, 2016 (64 bit のみ)
