Microsoft Word EnCase Forensic Version 11 User's Guide doc

 

 

Working with Non‐English Languages 

473

 

Testing a Non-English Keyword 

Open the New Keyword dialog and define the tested keyword. 

 

To test a non-English language keyword do the following: 

1.

 

Enter the search expression in Keyword. 

2.

 

Enter or browse to the file containing the non‐English language content used to test the 

keyword. 

3.

 

Click Load. 

Text appears in the Text pane. 

4.

 

If text is incorrectly rendered, select other code sheets until the text is rendered correctly. 

When a selected encoding is not one that was selected when the keyword was defined, 

the Expression field contains this message: Wrong codepage for this expression. 

5.

 

Click Hex to view content in hexadecimal. The values 

x\ FFx\EE

 in the file header 

indicates that Unicode is the correct encoding. You may want to redefine the encoding 

used for this keyword. 

The hex representation of the underlying text appears. 

6.

 

Test the keyword and click OK. 

 

---

 

474 

EnCase Forensic Version 6.11 Userʹs Guide  

 

Querying the Index for Non-English Content 

After you create an index, files that might contain non‐English content can be queried using 

conditions. 

To query for non-English language content: 

 

1.

 

In the Entries tree and Entries table, select files to search.   

2.

 

Click Tools  > Index Case. 

3.

 

In the Filters pane, click the Conditions tab. 

4.

 

Open the Index Conditions folder in the Conditions tree. 

5.

 

Select the non‐English content, [for example, Index Terms (Umlaut)]. 

 

---

 

 

Working with Non‐English Languages 

475

 

Bookmarking Non-English Language Text 

Once you find search results, bookmark them. Bookmarks associate text styles with bookmarked 

content. 

 

To bookmark non-English language text: 

1.

 

Display the text in the View pane. 

2.

 

Sweep or select the desired text, then right‐click and click Bookmark Data. 

The Bookmark Data dialog appears. 

3.

 

Enter a Comment. 

4.

 

Select the desired text style in Data Type. 

---

 

476 

EnCase Forensic Version 6.11 Userʹs Guide  

 

The content appears with the selected text style applied. 

5.

 

Click OK. 

The text is bookmarked and the dialog closes. 

 

Viewing Unicode Files 

By default, EnCase displays characters in ANSI (8‐bit) format on the Text and Hex tabs in 

Courier New font. Viewing Unicode files properly requires modifications to both the formatting 

and the font. First, the file or document must be identified as Unicode. This is not always 

straightforward. 

Text files (.txt) containing Unicode begin with a Unicode hex signature \xFF\xFE. Word 

processor documents written in Unicode, however, are not so easy to identify. Typically, word 

processor applications have signatures specific to the document, making identification of the file 

as Unicode more difficult. 

Figure 32

 

 

To view Unicode files do the following: 

1.

 

Click Text Styles. 

The Text Styles tab appears in the Filter pane. Notice the default characters between the 

ASCII characters. The second eight bits of the 16‐bit Unicode encoding cannot be 

translated. 

2.

 

Click the desired Unicode‐based text style. 

The text displayed in the Text or Hex tab is updated to reflect the new encoding. 

 

---

 

 

Working with Non‐English Languages 

477

 

Viewing Non-Unicode Files 

Display a file in any encoding or code page after you define it. 

To view non‐Unicode files: 

1.

 

Click Text Styles with the text displayed in the Text or Hex tab of the View pane. 

The Text Styles pane appears in the Filter pane. 

2.

 

Click the desired non‐Unicode based text style. 

The displayed text in the Text or Hex tab updates to reflect the new encoding. 

 

Associating Code Pages 

Non‐English language files can be associated with a particular code page. A code page list is 

checked to prevent usage of an unavailable code page (if, for instance, a file is open on one 

system, then reopened on another that does not have the complete set). 

If an original code page is unavailable when a file is opened, the code page association is 

removed. While this process is transparent, if you do open a case or mount a volume with a 

missing code page, a message listing the missing code pages appears. 

You can associate code pages manually or automatically through Windows identification. 

To manually set the code page: 

1.

 

Apply a Text Style with the desired code page to the entry.  

2.

 

Check the code page check box on the EnCase main window. 

To have Windows automatically associate code pages to entries: 

1.

 

Select the Search button and check the Identify code page option.  

2.

 

After the search completes, the code page column populates.  

---