Microsoft Word EnCase Forensic Version 11 User's Guide doc

 

 

Navigating the EnCase Interface 

65

 

4.

 

Enter a replacement character for erased FAT table entries. The default is an underscore. 

5.

 

Click Next. 

6.

 

To determine what is to be Copy/UnErased, do one of the following: 

a.

 

If only the logical files are to be Copy/UnErased, click Logical Files Only. 

b.

 

If the entire physical file is to be Copy/UnErased, click Entire Physical File. 

c.

 

If RAM and Disk slack are to be Copy/UnErased, click RAM and Disk Slack. 

d.

 

If only RAM slack is to be Copy/UnErased, click RAM Slack Only. 

7.

 

To determine which mask will be applied to the filenames of Copy/UnErased content, do 

one of the following: 

a.

 

For no masking, click None. 

b.

 

If non‐ASCII characters are to be masked, click Do not write non‐ASCII 

character. 

c.

 

If a dot is to be substituted for non‐ASCII characters, click Replace non‐ASCII 

characters with DOT.  

8.

 

If errors are to be included, click Select Show Errors, and then click Next. 

9.

 

If a destination folder other than /Export is to be used, select a destination folder. 

10.

 

Click Finish. 

 

---

 

66 

EnCase Forensic Version 6.11 Userʹs Guide  

 

View Menu 

The View menu provides commands that determine the contents of the EnCase window panes. 

View menu commands: 

 

Display specific tabs in the tree pane 

 

Display tabs that otherwise are not displayed, or that otherwise do not appear in the tree 

pane 

 

Toggle controls that appear in tab bars and the wrapping of the tool bar 

 

Navigate between tabs, hide tabs, and control the display of tabs with or without their 

names 

 

Move any tab containing windows back to their usual position in the main window 

 

---

 

 

Navigating the EnCase Interface 

67

 

 

---

 

68 

EnCase Forensic Version 6.11 Userʹs Guide  

 

App Descriptors displays the App Descriptor tabs in the tree pane, which includes the App 

Descriptor‐Home and App Descriptors‐ Hash Properties tabs. By default, these tabs are not 

displayed. 

Archive Files displays the Archive File tab in the tree pane . This tab does not display by 

default. 

Cases displays the Cases tabs in the tree pane, which includes the Cases‐Home, Cases‐

Entries, Cases‐Bookmarks, Cases‐Search Hits, Cases‐Records, Cases‐Devices, Cases‐Secure 

Storage, and Cases‐Keywords tabs. These tabs display by default. Use this command if you 

previously closed the Cases tab. 

Encryption Keys displays the Encryption Keys tab in the tree pane. This tab displays by 

default. Use this command if you previously closed the Encryption Key tab. 

EnScript displays the EnScript tab in the tree pane. This tab does not display by default. 

When this tab displays, the EnScript tab in the Filters pane is closed.  

When the EnScript tab appears in the Filter pane, the EnScript programs are organized into a 

tree extending to the programs themselves.  

When the EnScript tab appears in the Tree pane, only folders populate the tree, and the 

programs themselves appear in a table in the Table pane.  

The table representation contains information beyond what is visible in the tree 

representation in the Filter pane. 

EnScript Types displays the EnScript Types tab in the tree pane. It does not display by 

default. 

File Signatures displays the File Signatures tab in the tree pane. It does not display by 

default. 

File Types displays the File Types tab in the Tree pane. It does not display by default. 

File Viewers displays the File Viewers tab in the tree pane. It does not display by default. 

Hash Sets displays the Hash Set tabs in the tree pane, which includes the Hash Sets‐Home 

and Hash Sets‐Hash Items tabs. They do not display by default. 

Keywords displays the Keywords tab in the tree pane. It does not display by default. 

Machine Profiles displays the Machine Profiles tabs in the tree pane, which includes the 

Machine Profiles‐ Home and Machine Profiles‐Allowed tabs. They do not display by default. 

Packages displays the Packages tab in the tree pane. It does not display by default. 

Projects displays the Projects tab in the tree pane. It does not display by default. 

---

 

 

Navigating the EnCase Interface 

69

 

SAFEs displays the SAFEs tabs in the Tree pane, which includes: 

 

the SAFEs‐ Home 

 

SAFEs‐Network 

 

SAFEs‐Roles 

 

SAFEs‐Users 

 

SAFEs‐Events 

They do not display by default. 

SAFEs or Cases Sub‐ Tabs displays a sub‐menu associated with the tab currently displayed 

(SAFEs or Cases). In the figure above, the SAFEs Sub‐Tabs command displays because the 

SAFEs tab is displayed in the Tree view (not shown) If Cases were displayed, then the 

command would be Cases Sub‐Tabs. 

Table Pane displays the Table Pane menu. 

View Pane displays the View Pane menu. 

Filter Pane displays the Filter pane menu. 

Close Tab hides the tab currently in use. Once hidden, a tab can only reappear if it is opened 

using the tab commands on the View menu. 

Show Name toggles the display of the name of the tab currently in use. 

Previous Tab selects the tab to the left of the tab currently in use. When the tab currently in 

use is the leftmost tab, the rightmost tab is selected. 

Next Tab selects the tab to the right of the tab currently in use. When the tab currently in use 

is the rightmost tab, the leftmost tab is selected. 

Autofit toggles the wrapping of the toolbar. The toolbar extends to the right beyond the tab 

when Autofit is not selected. When Autofit is selected, the toolbar wraps, so that the entire 

toolbar displays. 

Reset View puts any tabs appearing in windows back into the main window in their usual 

locations. 

 

---