投稿WinFEを使うとターゲットをWindowsベースで起動してからディスクの保全や調査が可能となります。以下のサイトで関連情報がまとめられています。PEでWinFEを作成する手順を確認しました。以下の機能を搭載したWinFEのDVD/USBブートメディアを作成できています。10ベースのWinFE作成手順WinFEは32bit版/64bit版両方で作成することができますが、以下の注意点があります。64bit版の環境では64bit版のWinFEを使う必要がある32bit版が動作すればそのまま進め、動作しない場合に64bit版で試す流れが妥当といえます。したがって両方とも必要になる可能性があるため、それぞれの作成手順を記載します。ADKを入手してインストールします。PEはアドオンの扱いで提供されているため、同じくインストールします)WinFE環境で使いたいプログラムを入手します。今回は以下のツールを組み込みます。(http://www.woodybells.com/winshot.html)入手後、Explorer++は32bitバイナリをExplorer.exeにリネームしてC:¥winfe_system_x86フォルダ配下に配置し、それ以外はC:\winfe_tools_x86\配下にWinFE内に含めたいフォルダ構造にして保存します。管理者権限でコマンドプロンプトを起動します。以下のコマンドを実行します。Tools\DandISetEnv.bat"不要なファイル類を削除しておきます。/s必要なファイルを作業場所にコピーして起動用イメージをマウントします。/mountdir:C:\winfe_x86\mount追加したいドライバがあればここで追加しておきます。以下はC:\Drivers\にドライバがある場合の例です。未署名のドライバを追加したい場合は/ForceUnsignedオプションを追記します。必要なパッケージを追加します。Space(詳細は不明ですがWinPEのシステムイメージに設定するサイズ)を設定します。/Set-ScratchSpace:256作成対象イメージのレジストリ値を変更します。以下は自動マウントをしない設定とTrim等に影響する削除通知を無効にする設定にします。8で追加された値であり、内蔵ディスクをオフライン、外付け/ブートディスクはオンラインにする設定です。https://msdn.microsoft.com/ja-jp/library/hh825063.aspx)Explorer++.exeをシステムディレクトリにリネームして配置します。"C:\winfe_x86\mount\Windows\System32\"プログラム類をルートフォルダ直下に配置します。"C:\winfe_x86\mount\"上記作業による変更を反映してアンマウントします。/commitisoイメージを作成する場合は以下のコマンドを実行します。C:\winfe_x86\winfe_x86.isoUSBブートのUSBメモリを作成したい場合には、以下のコマンドを実行します。USBメモリのドライブレター:ドライブレターに指定するパーティションは32GB以下に設定する必要があります。64bit版WinFE32bit版と異なる箇所のみ記載します。WinHexとWinShotは動作しなかったため、以下のツールのみが対象となります。(https://www.hwinfo.com)Explorer++は64bitバイナリをExplorer.exeにリネームしてC:¥winfe_system_amd64フォルダ配下に配置し、それ以外はC:\winfe_tools_amd64フォルダ配下に配置します。その後管理者権限でコマンドプロンプトを起動して以下の順に実行します。10ベースのWinFE実行画面CD/USBのどちらからでも、UEFIとセキュアブートが有効な状態のまま起動できています。ブートしたシステムはXドライブとして認識されていて、X:\Windows\System32をカレントディレクトリとしたコマンドプロンプトが立ち上がっています。Explorer.exeを実行すると配置しておいたExplorer++のウインドウが現れます。この後はExplorer++を操作することにより、X:\以下のツールを簡単に実行することができます。3.0で認識されているか確認することができます。Imagerを起動した画面です。覚えておきたいコマンド起動後、内蔵ディスク(Fixed)として認識されるディスクは、USB経由で接続しても自動マウントしないため、diskpartで以下のようにディスク、ボリュームを選択してドライブレターを割り当てる必要があります。ImagerやOSForensicsは動作しませんでした。PEの利用については以下のサイトの「制限事項」で触れられています。システムではありません。展開と回復以外の目的に使うことはできません。システムとして使わないでください。時間使用すると自動的にシェルの実行を終了して再起動します。この時間は変更できません。レジストリに対する変更など、すべての変更が失われます。マウントとカスタマイズ」をご覧ください。いった制限があります。キーの使用」をご覧ください。フォレンジック技術を活用するシーンではディスクの保全や調査が考えられます。上記の回復という範疇で解釈することができそうですが、厳密に問題がないかは私も確認していません。投稿#3bitlocker対応64bit版WinFEの手順の中で以下のコマンドを入れることでmanage-bdeを使用することができました。Imagerでファイルシステムをパースできることを確認しました。投稿#4反応遅くてすみません。...反応遅くてすみません。件名コメントテキストフォーマットについてプレーンテキストHTMLタグは利用できません。行と段落は自動的に折り返されます。ウェブページのアドレスとメールアドレスは自動的にリンクに変換されます。