OSForensics(http://www.osforensics.com/)の付属ツールのオープンソース(GPLv3)ブータブルCD/USBです。OSFClonehttp://www.osforensics.com/tools/create-disk-images.html公式サイトには、rawやaff形式のイメージ作成、クローン作成、MD5やSHA1ハッシュで同一検証ができるくらいの簡単な記載しかありません。実際に試してみたところ、結構使えそうでしたので簡単に特徴をまとめておきます。試したOSFCloneのバージョンv1.0.1008です。Linux(http://www.tinycorelinux.com/)をベースにしており起動が非常に速いです。CUIですが、インタラクティブに進められるように実装されており操作性も悪くありません。NTFSの書き込みサポートLinux系では、NTFSは読み込みのみサポートということが結構ありますが、OSFCloneではNTFS-3Gが組込まれているため書き込みも可能です。よって保存用のディスクをNTFSにして、作成したイメージを保存することができます。OSFClone上ではmkfs.ext系しか入っていないため、別のところであらかじめフォーマットしておく必要があります。E0形式(EWF)のサポートlibewfが組込まれておりE0形式のイメージを作ることができます。手元の環境で試した限りでは実行時にデバイス情報が取得できない旨のエラーが出てしまいました。E0形式にしたい場合はLinEnをOSFClone上に持ってきて実行したほうがよいと思われます。この場合はインタラクティブモードを抜けて実行しなければいけません。7.01のどちらも問題なく動作します。ネットワークサポート一般的なネットワークドライバは扱えるようで、手元の環境ではいずれもeth0として認識しました。ターゲット上で問題なく認識すればネットワーク経由でのイメージ取得もできます。インタラクティブモードではネットワーク経由の取得には対応していないため、自身でコマンド操作、実行する必要があります。書き込み防止措置について取得対象(Source)、保存先(Destination)のどちらもATAもしくはUSB経由で接続したドライブから選択することになるため、操作を誤ると収集対象のディスクを書き換えてしまう可能性があります。保存先に指定しない限りボリューム(パーティション)のマウントは発生しないため、意図せずにジャーナル内のトランザクションを処理するといったことは起きません。HPA/DCOの扱いについて特にHPA/DCOの検出等は考慮されていませんので、ターゲットドライブにHPA/DCOで専用の領域が設定されているとその領域は取得しません。インタラクティブモードを抜けてdmesgを実行すると、HPAが設定されている場合にその旨のメッセージを確認できますが、検出するだけで解除はできません。DCOは検出もできません。ALT+F3..のキーで複数のターミナルを扱えるようになります。ALT+F2などではOSForensicsアカウントを使うとパスワード不要でログインできます。件名コメントテキストフォーマットについてプレーンテキストHTMLタグは利用できません。行と段落は自動的に折り返されます。ウェブページのアドレスとメールアドレスは自動的にリンクに変換されます。