EnCase Forensic から以下のソーシャルメディアに関するアーティファクトの解析が可能になりました。

Evidence Processor で行う自動処理オプションには予め以下のモジュールが用意されています。

• Indexing Compound Files Emails
  ファイルシグネチャ解析や圧縮ファイルの展開、電子メール・インターネットアーティファクトの検索、テキストやメタデータなどのインデクシングを行う、汎用的な処理オプションです。
• Linux/macOS/Windows  All Options
  上記に加え、Recover Folders、暗号化ファイルの解析、サムネイル作成、Exif 解析、ハッシュ解析、システム情報の解析を行う解析オプションです。解析対象 OS に応じて以下の3つのバリエーションがあります。
  • Linux All Options
    Unix Login、Linux Syslog Parser などの Linux 環境向けの処理を追加した解析オプションです。
  • OSX All Options
    Unix Login、OS X Artifact Parser などの macOS 環境向けの処理を追加した解析オプションです。
  • Windows All Options
    Windows Event Log Parser、Windows Artifact Parser などの Windows 環境向けの処理を追加した解析オプションです。
• トリアージ用オプション
  • Windows Triage
    ファイルシグネチャ解析、インターネットアーティファクトの解析、システム情報の解析だけを行うインシデントレスポンスや緊急対応用の解析オプションです。
  • Windows Triage Hash
    上記処理にハッシュ解析を追加した解析オプションです。

本バージョンより、以下の2つの仮想ディスクイメージをサポートします。

既存の VMWare file format (.vmdk) のサポートも拡充しました。RAW/スパースデータファイルへの対応やVMDK descriptorのテキストファイルの解析が可能になりました。

EnCaseに新たに追加されたEnCert license management utility (encert.exe) を使用することで、既存ライセンスの一覧化や削除、ライセンス要求ファイルの (再) 作成といったライセンス管理をコマンドラインから行うことができるようになりました。

EnCertはデフォルトで以下の場所に配置されます。

C:\Program Files\EnCase21\License

各種コマンド、オプションの詳細は、encert.exe 実行時に表示される HELP をご参照ください。

以下の画像データおよびPDFがOCRに対応しました。OCRで読み取られたデータはインデックシング処理後、検索することが可能です。

証拠処理の効率化のためエビデンスキャッシュの保存方法が変更されます。本バージョンより前の EnCase で処理されたデータは 、EnCase v21.2 以降とは互換性がないためご注意ください。
(以前のバージョンの EnCase で処理されたデータに対しては警告が表示されます。EnCase v21.2 以降でも使用する場合は再処理が必要になります)

データ取得時、iOS/iPadOS の暗号化バックアップが有効でない場合、自動的に有効化できるようになりました。これにより取得可能なデータが増大します。(取得完了時に暗号化バックアップは元の状態に戻ります)

Android のバックアップ取得時の挙動も改善されました。

iOS では、以下のアプリの解析をサポートしました。