FTK Imager

Définition

FTK Imager est un outil gratuit d'acquisition forensique développé par AccessData (désormais Exterro), largement utilisé dans la communauté forensique mondiale pour créer des images de disques, de mémoire et d'autres supports numériques. Il est considéré comme l'outil d'acquisition standard de facto pour les systèmes Windows en raison de sa simplicité d'utilisation, de ses capacités étendues et de sa gratuité. Les fonctionnalités principales de FTK Imager incluent la création d'images forensiques dans plusieurs formats (RAW, E01, AFF, SMART), la vérification automatique d'intégrité par hash MD5 et SHA-1 lors de l'acquisition, la visualisation de l'arborescence et des fichiers du support source sans les modifier, la récupération de fichiers supprimés, l'acquisition de la mémoire vive (RAM dump), et le montage d'images existantes pour analyse. L'interface graphique de FTK Imager est organisée en plusieurs volets : arborescence des sources (disques, images, dossiers), explorateur de fichiers pour naviguer dans le contenu du support, panneau d'hexadécimal pour l'inspection au niveau octet, et panneau de visualisation (texte, images, emails). Cette organisation permet une analyse préliminaire rapide sans nécessiter d'importer l'image dans FTK complet. Pour l'acquisition de mémoire vive, FTK Imager Lite (version portable, exécutable sans installation) est particulièrement adapté. Il peut être lancé depuis une clé USB sur un système en cours d'exécution pour capturer la RAM active. L'image mémoire produite est compatible avec les outils d'analyse comme Volatility et Rekall. Un avantage majeur de FTK Imager est sa capacité à effectuer des acquisitions réseau via les protocoles iSCSI ou des partages réseau, permettant d'imager des serveurs distants sans déplacement physique. Il supporte également les acquisitions depuis des machines virtuelles (VMware, VirtualBox). La création d'un rapport d'acquisition est automatisée : FTK Imager génère un fichier texte contenant toutes les métadonnées d'acquisition (date/heure, opérateur, informations sur le support source, hashes calculés), indispensable pour la documentation de la chaîne de traçabilité.