Просмотр индекса и результатов поиска; формирование отчета

Основы EnCase® Forensic Часть 4: Просмотр индекса и результатов поиска

формирование отчета.

Общие сведения о Encase

В EnCase 7 существует три основных типа поиска в исследуемых данных: поиск по индексу – перед проведением поиска исследуемые данные индексируются посредством EnCase® Evidence Processor; поиск по необработанным данным – поиск выполняется в неиндексированных, необработанных данных; поиск по тегам – поиск выполняется на основе тегов, определенных пользователем.

Поиск по индексу

Общие сведения о Encase

Общие сведения о Encase

Используя Evidence Processor, можно создать индекс – список слов из содержимого устройства. Записи индекса содержат указатели на случаи употребления отдельного слова в данных устройства. Существует два этапа использования индексов: создание индекса (рассмотрено в предыдущем уроке «Обработка файлов исследуемых данных»); выполнение поиска по индексу.

Для создания индекса, по которому будет проводиться поиск, в начале

рабочего процесса EnCase 7 необходимо: убедиться, что дело содержит устройство, которое нужно проиндексировать;

Общие сведения о Encase

Общие сведения о Encase

выбрать пункт «Обработать исследуемый объект» (“Process Evidence…”) в меню «Добавить исследуемый объект» (“Add an Evidence Item”), как описано в предыдущем уроке; o Откроется диалоговое окно Evidence Processor, в котором можно выбрать функцию индексирования текста. следовать инструкциям, подробно описанным в уроке «Обработка файлов исследуемых данных».

Общие сведения о Encase

После того, как в деле создан индекс, выполнен поиск ключевых слов, данные отмечены тегами, или после сочетания любых из этих трех действий можно начать поиск нужной информации. Чтобы создать унифицированный поиск, выполните следующие действия: 1. Перейдите на вкладку «Начало» (“Home”) и нажмите кнопку «Поиск» (“Search”).

Общие сведения о Encase

Общие сведения о Encase

2. Во вкладке «Индекс» (“Index”) введите одно или несколько ключевых слов для запроса по индексу, например, «Tyler». 3. В правой части окна будет открыт динамический список, в котором показаны эти термины в индексе и количество случаев употребления термина. Это чрезвычайно полезная возможность при создании запроса, так как пользователь может тот час же увидеть, присутствует ли термин в индексе.

4. EnCase 7 покажет все слова в индексе, начинающиеся с введенного

термина, и динамически обновит список, как только будут введены дополнительные буквы. Дважды щелкните по термину запроса, чтобы увидеть информацию о нем. 5. Нажмите кнопку «Воспроизвести» (“Play”), чтобы выполнить запрос.

Общие сведения о Encase

Общие сведения о Encase

После выполнения запроса EnCase 7 покажет результаты в панели

табличного представления во вкладке «Поиск» (“Search”).

Общие сведения о Encase

Общие сведения о Encase

Поиск по необработанным данным

Общие сведения о Encase

Общие сведения о Encase

Чтобы выполнить поиск ключевых слов в данных, удостоверьтесь, что дело содержит устройство, в котором нужно провести поиск. Подробные сведения см. в описании функции «Поиск ключевых слов» (“Search for Keywords”) компонента Evidence Processor. Помимо поиска ключевых слов с помощью Evidence Processor, можно запустить поиск ключевых слов в необработанных данных одного или нескольких исследуемых объектов из вкладки «Исследуемые объекты» (“Evidence”).

Общие сведения о Encase

Чтобы запустить такой поиск, выполните следующие действия: 1. Перейдите на вкладку «Исследуемые объекты» (“Evidence”), а затем на верхний уровень этой вкладки (используя раскрывающееся меню «Вид» (“View”) на панели инструментов вкладки). 2. Поставьте в левой части таблицы флажки рядом с устройством или устройствами, в которых нужно выполнить поиск.

3. Нажмите кнопку «Поиск по необработанным данным» (“Raw Search All…”)

на панели инструментов вкладки.

Общие сведения о Encase

Общие сведения о Encase

5. Добавьте необходимые ключевые слова и параметры так же, как в

Evidence Processor, и нажмите кнопку «ОК».

Общие сведения о Encase

Общие сведения о Encase

После того как в деле проведен поиск ключевых слов в необработанном

тексте, можно выполнить поиск нужной информации. 1. Нажмите кнопку «Поиск» (“Search”) на странице «Начало» (“Home”).

Общие сведения о Encase

Общие сведения о Encase

2. Перейдите на вкладку «Ключевые слова» (“Keywords”), чтобы

просмотреть результаты поиска.

Общие сведения о Encase

Общие сведения о Encase

3. Щелкните по имени нужного ключевого слова в виде ссылки, чтобы

увидеть результаты в панели табличного представления.

Общие сведения о Encase

Общие сведения о Encase

!

Общие сведения о Encase

Ключевые слова дела и исследуемого объекта Параметры поиска ключевых слов, запущенного не из Evidence Processor, хранятся вместе с делом и относятся к делу. Параметры поиска ключевых слов, проведенного с помощью Evidence Processor, хранятся с файлами кэша устройства и могут быть использованы с любым количеством дел.

Поиск по тегам

Общие сведения о Encase

Общие сведения о Encase

EnCase 7 также предоставляет возможность выполнять поиск экземпляров отдельного тега, созданного ользователем. Предположим, вы создали набор из трех тегов, связанных с элементами исследуемых данных, и один из тегов называется «Submit to National Child Victim Identification Program» (рус. Отправить в национальную программу выявления детей- жертв).

Функция создания тегов в EnCase 7 позволяет помечать элементы

исследуемых данных, на которые следует обратить внимание. Пользователь определяет теги в каждом отдельном деле, а теги по умолчанию могут быть частью шаблона дела.

Общие сведения о Encase

Общие сведения о Encase

Общие сведения о Encase

Общие сведения о Encase

Общие сведения о Encase

Можно выполнить поиск всех случаев использования этого тега в

исследуемых данных, и в результатах поиска будут показаны только данные, содержащие этот тег.

Общие сведения о Encase

Общие сведения о Encase

Сводка о поиске

Общие сведения о Encase

Чтобы увидеть описание критериев всех активных операций поиска,

перейдите на вкладку «Сводка» (“Summary”).

Общие сведения о Encase

Общие сведения о Encase

Создание отчета

Общие сведения о Encase

Общие сведения о Encase

Последний этап судебной экспертизы – создание отчета о результатах, который должен быть хорошо организован и представлен в формате, понятном для целевой аудитории. В EnCase® 7 были улучшены некоторые возможности создания отчета, чтобы облегчить реализацию этого этапа процесса экспертизы.

Общие сведения о Encase

К этим улучшениям относятся: дополнительные шаблоны отчета, которые можно использовать как есть или настраивать в соответствии с вашими потребностями; возможность управлять форматированием, структурой и стилем отчета; возможность добавлять примечания и теги в отчет.

Общие сведения о Encase

Отчеты в EnCase 7 состоят из двух частей: 1. Шаблоны, содержащие форматирование, структуру и стиль отчета. 2. Папки закладок, в которых хранятся ссылки на отдельные элементы и примечания. Шаблон отчета связывается с папками закладок, чтобы добавить их содержимое в отчет.

Общие сведения о Encase

Перед тем как просмотреть готовый отчет, вам нужен шаблон отчета, или общий план того, как будет выглядеть отчет. Шаблон отчета также определяет форматирование и стиль данных дела. Его структура включает в себя: 1. разделы отчета – разделы содержат группы похожей информации и похожего форматирования и предоставляют возможность организовывать отчет;

2. Форматирование отчета – разметка страницы, схема раздела и стили

текста; 3. Элементы отчета – коллекции закладок, которые являются ключевым элементом структуры отчета (в отчет вставляются не закладки, а ссылка на содержимое папки закладок).

Общие сведения о Encase

Общие сведения о Encase

Общие сведения о Encase

Для организации данных и гибкости при создании отчета компоненту отчета можно назначить тип «Отчет» (“Report”) или «Раздел» (“Section”), который указан в столбце «Тип» (“Type”) каждой строки таблицы. Компоненты типа «отчет» обычно содержат только информацию о форматировании для компонентов, находящихся ниже их, а компоненты типа «раздел» содержат информацию о форматировании и элементы отчета.

Столбцы справа от столбца «Тип» (“Type”) показывают, определен ли

отдельный параметр форматирования пользователем или он унаследован от компонента типа «отчет» или «раздел», находящегося выше в иерархической структуре шаблона.

Общие сведения о Encase

Общие сведения о Encase

Чтобы добавить новые отчеты или разделы в шаблон: 1. Выделите строку

выше нового элемента, который нужно добавить. 2. Во вкладке «Таблица» (“Table”) щелкните правой кнопкой мыши и выберите пункт «Создать» (“New…”).

Общие сведения о Encase

Общие сведения о Encase

3. Появится диалоговое окно «Новый шаблон отчета» (“New Report

Template”).

Общие сведения о Encase

Общие сведения о Encase

Общие сведения о Encase

4. Введите имя для нового компонента шаблона отчета. 5. Выберите тип, «Отчет» (“Report”) или «Раздел» (“Section”), нового компонента шаблона. 6. Настройте стиль формата, поставив флажки рядом с соответствующими параметрами в окне «Формат» (“Format”), или используйте стиль формата по умолчанию.

7. Нажмите кнопку «OK»

Новый компонент шаблона появится ниже выделенной ранее строки.

Общие сведения о Encase

Общие сведения о Encase

После настройки шаблона отчета и добавления закладок в соответствующие

папки можно просмотреть отчет двумя способами: 1. На панели инструментов вкладки «Шаблоны отчета» (“Report Templates”) нажмите кнопку «Просмотреть отчет» (“View Report”).

Общие сведения о Encase

Откроется меню со списком всех отчетов, в которых установлен параметр

«Показать в виде вкладки» (“Show Tab”). Выберите отчет в меню, чтобы перейти на вкладку «Отчеты» (“Reports”) и просмотреть выбранный отчет.

Общие сведения о Encase

Общие сведения о Encase

Общие сведения о Encase

2. Можно также перейти на вкладку «Отчеты» (“Reports”), выбрав соответствующий пункт на странице «Начало» (“Home”) или в меню «Вид» (“View”). Во вкладке «Отчеты» (“Reports”) будет показана вкладка для каждого отчета, в котором установлен параметр «Показать в виде вкладки» (“Show Tab”).

Общие сведения о Encase

Общие сведения о Encase

Отчеты динамически создаются каждый раз, когда пользователь переходит к отдельному отчету во вкладке «Отчеты» (“Reports”). Чтобы сохранить отчет, щелкните в отчете правой кнопкой мыши и выберите пункт «Сохранить как» (“Save As…”). Доступны следующие форматы выходных данных: TEXT; RTF; HTML; XML; PDF.

Общие сведения о Encase

Общие сведения о Encase

Общие сведения о Encase