Microsoft Word EnCase Forensic Version 11 User's Guide doc

xiii 

 

Contents

 

CHAPTER 14  Using EnCase Tools 

515

 

Toolbar ......................................................................................................................................................... 516

 

Tools Menu .................................................................................................................................................. 517

 

EnScript Programs Shortcut Submenu............................................................................................... 518

 

Wipe Drive ............................................................................................................................................. 518

 

Verifying Evidence Files....................................................................................................................... 521

 

Creating a LinEn Boot Disc .................................................................................................................. 522

 

Options ................................................................................................................................................... 523

 

CHAPTER 15  Glossary of Terms 

525

 

CHAPTER 16  Guidance Software 

535

 

Legal Notification ....................................................................................................................................... 536

 

Support......................................................................................................................................................... 537

 

Reference Manuals and Release Notes............................................................................................... 537

 

Technical Support ................................................................................................................................. 538

 

Customer Service................................................................................................................................... 543

 

Training .................................................................................................................................................. 543

 

Professional Services............................................................................................................................. 544

 

Index 

545

 

  

---

---

 

 

In This Chapter 

 Introduction 

15 

 

 

CHAPTER 1 

Introduction 

---

 

16 

EnCase Forensic Version 6.11 Userʹs Guide  

 

Introduction 

Thank you for purchasing your Guidance Software application. You now own the worldʹs 

leading technology for computer and enterprise investigation. This application is just one of the 

many court‐validated Guidance Software solutions used by government agencies, corporate 

organizations, and law enforcement investigators around the world. 

Guidance Software solutions provide an enterprise investigative infrastructure that enables 

corporations, government and law enforcement agencies to conduct effective digital 

investigations, respond promptly to large‐scale data collection needs, and take decisive action in 

response to external attacks. 

Guidance Software products have changed the landscape by providing complete, immediate 

response and comprehensive, forensic‐level analysis of information found anywhere on a 

computer. These products are scalable platforms that integrate seamlessly with existing systems 

to create an investigative infrastructure. 

 

---

 

 

In This Chapter 

 

LEF EFS Encryption Enhancement  17 

 WinEn 

18 

 

Snapshot to DB Module Set  19 

 

Lotus Notes Local Database Encryption 

19 

 

EnCase Examiner Support for Microsoft Vista 

19 

 

64-Bit EnCase Servlet 

19 

 

Send to HBGary Responder EnScript 

20 

 

 

CHAPTER 2 

New Features 

---

 

18 

EnCase Forensic Version 6.11 Userʹs Guide  

 

LEF EFS Encryption Enhancement 

There were different scenarios from previous EnCase versions for adding EFS files to a logical 

evidence (L01) case: 

1.

 

The file is encrypted and the $EFS stream is missing from the same folder within the L01: the 

file cannot be decrypted. 

2.

 

The file is encrypted and the $EFS stream is in the same folder: the file can be decrypted 

(except for the remainder of the file, if any). 

3.

 

The file is decrypted and the $EFS stream is in the same folder: the file will be decrypted 

twice. The file is decrypted and the $EFS stream is missing: the file remains decrypted. 

4.

 

The file is decrypted and the $EFS stream is in the same folder: the file will be decrypted 

twice. 

All of the above scenarios are now handled gracefully because the $EFS stream is added 

internally. 

 

WinEn 

WinEn is a standalone command line utility that captures the physical memory on a live 

computer running a Windows operating system (Windows 2000 or higher).  The physical 

memory image captured by WinEn is placed in a standard evidence file, along with the user‐

supplied options and information. 

WinEn runs from a command prompt on the computer where you want to capture the memory. 

WinEn has a very small footprint in memory, and it is typically run from a removable device 

such as a thumb drive. Although this method makes minor changes to the computer running 

WinEn, this is the most effective way to capture physical memory before shutting down a 

computer. 

 

 

---