X-Ways Imager: Höchste Geschwindigkeit, intelligenteste Kompression

Dongle-basiertes forensisches Disk-Imaging-Tool. Reduzierte Version der Computerforensik-Software X-Ways Forensics, die nur die Funktionen für Datenträgersicherungen enthält. Ursprünglich 2009 eingeführt aufgrund einer Anfrage einer US-Behörde, die in  Geschwindigkeitstests festgestellt hat, daß X-Ways Forensics im Vergleich zu anderen Imaging-Tools mit Abstand am schnellsten war, vor allem zusammen mit Hardware-Schreibblockern. Ein weiterer Test von einer vergleichbaren Behörde in Australien ergab ebenfalls signifikante Geschwindigkeitsvorteile gegenüber konkurrierenden Produkten. 28. November 2011: X-Ways Forensics/X-Ways Imager war etwa doppelt so schnell wie Konkurrenzprodukte in einem Test des Entwicklungsteams von F-Response! (Blog-Post) 14. Juli 2011: Auch hier doppelt oder sogar dreimal so schnell wie die Konkurrenz bei diesem Vergleichstest.

Lizenzen für X-Ways Imager können später auf X-Ways Forensics upgegradet werden, und der Dongle läßt sich über einen Aktivierungscode dafür umprogrammieren.

Die Intelligenz der adaptiven Kompressionsstufen und Optionen wie der Ausschluß von freiem Laufwerksspeicher und Rückwärtskopieren machen X-Ways Forensics zur vielleicht besten Imaging-Software auf dem Markt. Die verwendeten Algorithmen versprechen einen exzellenten dynamischen Kompromiß zwischen Geschwindigkeit und Kompressionsrate und vermeiden auch wann immer sinnvoll den Performanz-Nachteil durch Dekompression beim späteren Arbeiten mit dem Image, im Gegensatz zu anderen Disk-Imaging-Tools.* Außerdem können von X-Ways Imager praktisch alle Arten von plattenbasierten RAID-Systemen (JBOD, RAID 0, RAID 5, RAID 6), die nicht mehr funktionieren, virtuell zusammengesetzt werden, wenn Sie die richtigen Parameter kennen, und können dann auf eine andere Festplatte geklont oder als Image gesichert werden. 

Die folgenden Menübefehle sind in der Software verwendbar:

• Extras | Datenträger öffnen

• Datei | Datenträger-Sicherung (außer der Option, unterdrückte Dateien auszulassen)

• Extras | Disk-Tools | Datenträger klonen

• Specialist | RAID-System zusammensetzen

Die Sektorinhalte werden in der Hex-und Text-Spalte dargestellt. Der Verzeichnis-Browser zeigt auf physischen Datenträgern die erkannte Partitionierung an. Es können ganze Datenträger oder einzelne Partitionen gesichert und geklont, d. h. sektorweise kopiert werden. Images können in Form von Roh-Images oder .e01-Evidence-Files erzeugt werden. Der sog. technische Detailbericht wird dabei auch mit ausgegeben. Image lassen sich auch nachträglich von einem in das andere Format konvertieren. Freier Speicher kann optional übersprungen werden, wenn Sie ihn nicht benötigen, was sehr viel Zeit und Plattenplatz sparen kann. Roh-Images können zusätzlich von hinten befüllt werden, wenn Sie sich mit schwer beschädigten Festplatten herumschlagen müssen, die Ihr System bei Erreichen einer bestimmten Stelle einfrieren oder abstürzen lassen. Erkennung und Lesen von HPAs und DCO-geschützten Bereichen. Fast alle anderen aus X-Ways Forensics bekannten Funktionen und Anzeigen sind in X-Ways Imager ausgegraut/nicht verfügbar. Insbes. können keine Datei-Container und keine Minimalsicherungen und keine bereinigte Sicherungen erzeugt werden.

F-Response ist ein ideales Add-On-Produkt, das es X-Ways Forensics ermöglicht, Datenträger und RAM von Computer im Netz zu analysiere. Und auch umgekehrt ist X-Ways Imager ein ideales Add-On für F-Response für Sicherungszwecke (Festplatten und RAM!).

Bildschirmfoto von X-Ways Imager

*Bestimmte Imaging-Programme, darunter populäre kostenlose, erzeugen Images ohne Sinn und Verstand und werden sogar von manchen Benutzern für gut befunden, wenn sie möglichst viele CPU-Kerne mit sinnloser Kompression beschäftigen und z. B. aus einem Chunk von 32.768 Bytes schlecht komprimierbaren Daten in einem .e01-Evidence-File 32.763 Bytes machen (also wahnsinnige 5 Bytes einsparen). Diese Programme, man kann es kaum glauben, nehmen dann zu allem Überfluß auch noch die komprimierte Fassung der Daten tatsächlich in das Image auf statt sie wegen Mißerfolgs zu verwerfen. Immer wenn später beim Lesen des Images Daten aus so einem ineffizient komprimierten Chunk benötigt werden, auch wenn es nur ein paar Bytes mittendrin sind, müssen die 32.763 Bytes dann durch den Dekompressionsalgorithmus geschickt werden, der daraus wieder zeitraubend die ursprünglichen 32.768 Bytes macht, und all der Aufwand nur für 0,01% Kompressionsrate. Der CPU klappen sich dann die Fußnägel hoch, sie akzeptiert diese Arbeit aber schweigend. X-Ways Forensics jedoch weist in besonders extremen Fällen auf eine solche Verschwendung von Rechenzeit und mutwillige Behinderung Ihrer Arbeit hin, weil die unnötigerweise langsame Verarbeitung, für die X-Ways Forensics keine Schuld trägt, sonst womöglich X-Ways Forensics angelastet wird und weil normale Benutzer sonst gar nicht wissen können, in effizient die Daten in ihren Images gespeichert sind. Bitte vermeiden Sie die Verwendung solcher Images. Danke.