Belkasoft Evidence Center是一種數(shù)字取證套件，該產(chǎn)品使調(diào)查人員可以輕松執(zhí)行現(xiàn)代數(shù)字調(diào)查的所有步驟，可從各種設(shè)備和云中獲取數(shù)據(jù)、工件提取和恢復(fù)、分析提取的數(shù)據(jù)、報(bào)告、共享證據(jù)等操作，具有移動取證、計(jì)算機(jī)取證、內(nèi)存（RAM）取證、云取證、遠(yuǎn)程取證等諸多取證類型，可使研究人員輕松獲取，搜索，分析，存儲和共享在計(jì)算機(jī)和移動設(shè)備，RAM和云中發(fā)現(xiàn)的數(shù)字證據(jù)。?

軟件特色

1、移動和計(jì)算機(jī)采集。

該產(chǎn)品使您可以從計(jì)算機(jī)，筆記本電腦或移動設(shè)備獲取數(shù)據(jù)。硬盤和可移動驅(qū)動器通過可選的哈希計(jì)算和驗(yàn)證被獲取為DD和E01格式。對于運(yùn)行iOS的移動設(shè)備，在某些情況下或設(shè)備越獄時，BEC會獲取iTunes備份和完整的文件系統(tǒng)副本；對于Android設(shè)備，有多種格式：標(biāo)準(zhǔn)的ADB或基于代理的備份，EDL以及用于根設(shè)備的物理備份。

2、移動和計(jì)算機(jī)設(shè)備考試。

Belkasoft證據(jù)中心支持所有主要的臺式機(jī)和移動操作系統(tǒng)，適用于移動和計(jì)算機(jī)取證。它可以解析實(shí)際和邏輯驅(qū)動器和驅(qū)動器映像，虛擬機(jī)，移動設(shè)備備份，UFED和OFB映像，JTAG和碎片轉(zhuǎn)儲。

3、全面的智能分析。

該產(chǎn)品可以完全自動在設(shè)備上無處不在，并且可以成功識別1000多種數(shù)字工件。便捷的證據(jù)搜索功能有助于使用過濾器，預(yù)定義的搜索或其他選項(xiàng)來縮小發(fā)現(xiàn)范圍。

4、強(qiáng)大的雕刻。

數(shù)據(jù)雕刻使您能夠找到已被刪除，破壞或從未存儲在硬盤驅(qū)動器上的證據(jù)（頁面文件，休眠文件，RAM內(nèi)容）。還支持自定義雕刻，包括對Scalpel和FTK集的支持。此外，還可以使用稱為BelkaCarving?的高級雕刻模式，從而可以將零碎的塊重構(gòu)為連續(xù)的信息，否則這些信息將根本無法訪問。

5、本機(jī)SQLite解析。

恢復(fù)損壞和不完整的SQLite數(shù)據(jù)庫，恢復(fù)刪除的記錄和清除的歷史記錄文件。處理空閑列表，預(yù)寫日志和日記文件以及SQLite未分配空間。

6、實(shí)時RAM分析。

證據(jù)中心可以從易失性內(nèi)存中提取潛在的重要信息，例如：私密瀏覽和清除的瀏覽器歷史記錄，在線聊天和社交網(wǎng)絡(luò)，云服務(wù)使用歷史記錄等等。Belkasoft Live RAM Capturer是用于創(chuàng)建內(nèi)存轉(zhuǎn)儲的強(qiáng)大工具，它是免費(fèi)的。

7、遠(yuǎn)程采集。

遠(yuǎn)程采集模塊允許您從遠(yuǎn)程位置執(zhí)行各種數(shù)據(jù)源的采集?？捎玫臄?shù)據(jù)源類型包括硬盤驅(qū)動器或可移動驅(qū)動器，RAM內(nèi)存和移動設(shè)備。

借助安裝在遠(yuǎn)程設(shè)備（例如計(jì)算機(jī)或便攜式計(jì)算機(jī)）上的代理程序來執(zhí)行獲取。

8、事故調(diào)查。

事件調(diào)查模塊旨在幫助用戶調(diào)查基于Windows的計(jì)算機(jī)的黑客攻擊嘗試。通過分析注冊表，事件日志和內(nèi)存轉(zhuǎn)儲等眾多來源，它可以找到痕跡，這些痕跡是黑客用來滲透公司基礎(chǔ)結(jié)構(gòu)的各種技巧所特有的。

9、跨案例搜索。

跨案例搜索模塊允許您查找當(dāng)前調(diào)查的案例與其他BEC案例之間的交集。將當(dāng)前案例中找到的信息與所選舊案例中找到的信息進(jìn)行比較，并將報(bào)告所有匹配項(xiàng)。

10、方便的內(nèi)置工具。

PList，注冊表和SQLite查看器使您可以更徹底地處理特定類型的數(shù)據(jù)，并找到比自動搜索所能發(fā)現(xiàn)的更多證據(jù)。

低級調(diào)查。Belkasoft證據(jù)中心配備了文件系統(tǒng)資源管理器，十六進(jìn)制查看器和類型轉(zhuǎn)換器，可讓您對設(shè)備上文件和文件夾的內(nèi)容進(jìn)行深入檢查。

可通過BelkaScript擴(kuò)展。免費(fèi)的腳本模塊允許用戶編寫自己的自定義腳本，以使某些例程自動化并進(jìn)一步擴(kuò)展產(chǎn)品的功能。

軟件功能

1、BEC支持移動和計(jì)算機(jī)取證以及遠(yuǎn)程取證，RAM和云取證

2、BEC恢復(fù)所有可用數(shù)據(jù)。不管數(shù)據(jù)是仍然保留在文件中還是被刪除，隱藏在未分配或松弛的空間中，產(chǎn)品都可以通過在現(xiàn)有文件中進(jìn)行搜索，使用文件進(jìn)行雕刻或記錄簽名，分析“卷影復(fù)制”以及許多其他法醫(yī)重要區(qū)域來輕松地顯示數(shù)據(jù)（例如SQLite自由列表）。

3、BEC支持調(diào)查的所有階段。從獲取階段開始，該產(chǎn)品可幫助您復(fù)制硬盤驅(qū)動器，創(chuàng)建智能移動設(shè)備轉(zhuǎn)儲，捕獲RAM內(nèi)存甚至下載Google Drive或iCloud，并以多種格式創(chuàng)建報(bào)告，該產(chǎn)品可簡化以下操作：您的調(diào)查。

4、BEC可以直接提取1000多種工件。自動提取應(yīng)用程序數(shù)據(jù)（我們稱其為“低掛式數(shù)字水果分析”）足以解決絕大多數(shù)正在調(diào)查互聯(lián)網(wǎng)通信，文檔或照片的情況。該產(chǎn)品知道所有流行（甚至鮮為人知）的應(yīng)用程序，例如WhatsApp，WeChat，Snapchat，Skype，主要瀏覽器和郵件應(yīng)用程序（例如Outlook），辦公格式（例如MS Word或Open Office Spreadsheet），因此您不必知道數(shù)據(jù)格式，文件位置，雕刻文件或單個記錄的簽名，加密架構(gòu)等。此外，產(chǎn)品將在所有可能的位置找到這些數(shù)據(jù)，即不僅在現(xiàn)有文件中，而且在Live RAM內(nèi)存，頁面文件或休眠文件，虛擬機(jī)，VCS快照，未分配或松弛的空間等中。

5、BEC易于使用。使用“低落的水果分析”獲得第一個結(jié)果很容易，如1-2-3。您需要做的僅有的幾件事是：

o將設(shè)備或轉(zhuǎn)儲添加到您的案例中（或使用內(nèi)置的獲取功能獲?。?/p>

o選擇要查找的工件類型

o欣賞檢查發(fā)現(xiàn)的結(jié)果！

軟件完成搜索后，所有數(shù)據(jù)將以不同的角度方便地呈現(xiàn)：按文件系統(tǒng)位置，按應(yīng)用程序配置文件和按數(shù)據(jù)類型。時間軸將顯示按時間戳分類的設(shè)備內(nèi)部的所有事件；書簽將有助于標(biāo)記重要項(xiàng)目;基于索引的搜索將找到關(guān)鍵字，包括GREP搜索和預(yù)定義的搜索（例如信用卡，SSN號，MAC或IP地址等）。產(chǎn)品界面是如此簡單直觀，您可以在安裝后立即開始使用它，而無需數(shù)周的培訓(xùn)就可以使其他產(chǎn)品有效運(yùn)行。

6、BEC中提供了高級低級分析。盡管在大多數(shù)情況下，自動提取就足夠了，但是更復(fù)雜的調(diào)查可能需要對有問題的設(shè)備進(jìn)行手動分析。

對于此類調(diào)查，BEC提供了功能強(qiáng)大的文件系統(tǒng)資源管理器，其中顯示了設(shè)備中的所有卷和分區(qū)，現(xiàn)有和已刪除的文件夾，VCS快照，現(xiàn)有和已刪除的文件?？梢栽贖ex Viewer中查看每個分區(qū)或文件，該窗口可幫助您調(diào)查單個字節(jié)，進(jìn)行自動類型轉(zhuǎn)換，創(chuàng)建書簽，運(yùn)行自定義雕刻并應(yīng)用各種編碼。

7、BEC更具成本效益。該產(chǎn)品以比競爭對手更低的價格提供了更多功能。它不僅可以在購買時節(jié)省您的錢，而且還可以幫助您節(jié)省成本低廉的續(xù)訂費(fèi)用。此外，我們的免費(fèi)證據(jù)閱讀器使您可以完全免費(fèi)地與同事共享部分工作，從而為您節(jié)省了更多！最后，Belkasoft客戶在購買合作伙伴的數(shù)字取證產(chǎn)品時可以享受各種各樣的折扣。