Arsenal Recon

Arsenal Recon 概要

Arsenal Reconは、以下のソフトウェアを含む、パッケージソフトです。

• Arsenal Image Mounter
• Hibernation Recon
• Registry Recon
• HBIN Recon
• Hive Recon
• ODC Recon
• LevelDB Recon

Arsenal Image Mounterのオンデマンドトレーニングも提供しております。

価格

ドル価格は以下の通りで、毎年同額です。円価格は、これに120〜180を乗じた価格です。具体的な価格はお問い合わせください。

• 1年ライセンス：756 USD
• 3年ライセンス：2,129 USD
• 5年ライセンス：3,315 USD

各種機能

Arsenal Image Mounter

Arsenal Image Mounterは、ディスクイメージをWindows の完全な物理ディスクとしてマウントし、以下をはじめとする、物理ディスク固有の機能の恩恵を受けることができます。

• ディスクマネージャとの統合
• 仮想マシンの起動
• Windows 認証と DPAPI のバイパス
• Windowsのファイルシステムドライバのバイパス
• BitLocker で保護されたボリュームの管理、操作
• ボリュームシャドウコピー（VSS）のマウント

Hibernation Recon

Hibernation Reconは、Windows XP／Vista／7／8／8.1／10／11のハイバネーションファイルから、メモリを再構築できます。

また、その中に存在するスラックスペースから、大量の情報を抽出することも可能です。

NTFSメタデータを自動回復したり、複数のハイバネーションファイルを同時に処理するといった機能もあります。

Registry Recon

Registry Reconは、単なるレジストリパーサー以上の機能を提供します。具体的には以下の機能があります。

上記機能を活用することにより、以下のようなことを調査することができます。

• アプリケーションの使用状況
• 最近アクセスしたファイル
• リムーバブルストレージの使用状況
• ネットワーク接続
• マルウェアの残骸
• ユーザー名とパスワード

HBIN Recon

HBIN Reconは、任意のファイルを読み込ませ、その中から Windows レジストリ ハイブビン (hbin) を識別し、解析します。

例えば以下のようなファイルを読み込ませて解析を行います。

• 断片化していない、健全なレジストリハイブ
• 断片化したレジストリハイブ
• ハイブトランザクションログ
• トランザクションレジストリ（TxR）ファイル
• スワップファイルや他の場所で見つけることができる圧縮ハイブビン
• ハイバネーションスラック（事前にHibernation Reconによって処理）
• ファイルスラック
• 未割当領域

他の手段ではアクセス不可能なデータを発見することも可能です。

たとえば、ハイブビン内の以下情報を抽出／解読／復号化します。

• BAM
• SECURITYの認証情報とキャッシュエントリ
• Syscache
• UserAssist

Hive Recon

Hive Reconは、Windows のハイバネーションおよびクラッシュダンプファイルからレジストリハイブを抽出します。

Windows のハイバネーションファイルやクラッシュダンプからレジストリハイブを抽出します。

他のソリューションが抽出できないような場合であってもハイブを抽出し、健全で無傷なハイブを抽出することに長けています。

また、クラッシュダンプフォーマットに変換されたメモリキャプチャからハイブを抽出することも可能です。不揮発性のハイブに加え、揮発性のハイブの抽出も可能で、同じハイバネーションファイルまたはクラッシュダンプセッションからスワップファイルを組み込んで、より健全なレジストリハイブの抽出を行います。

ODC Recon

ODC Reconは、各Office Document Cache（ODC）に含まれるFSDファイルを解析することで、ODCからドキュメントとメタデータを抽出します。各FSDファイルには、複数のバージョンのOffice文書だけでなく、他ではもう入手できないOffice文書が含まれていることがよくあります。

LevelDB Recon

LevelDB Reconは、LevelDBファイル（ldb、log、sst拡張子）を、高い精度で解析します。他の方法だと見逃されてしまうようなレコードも明らかにします。