ツール

libyal/libvmdk

VMware Virtual Disk (VMDK) 形式にアクセスするためのライブラリとツール

ccob/volumiser

レッドチームによるデータ持ち出し（exfiltration）を目的として、VMディスクイメージ（VHDX、VMDK、EBSスナップショット、rawディスク）からファイルを一覧表示、閲覧、抽出するためのCLIおよび対話型コンソール。

libyal/libvhdi

仮想ハードディスク (VHD) イメージ形式にアクセスするためのライブラリとツール

korczis/foremost

設定可能なルールに基づき、ヘッダー、フッター、内部構造を照合してディスクイメージや生のドライブから削除されたファイルを復元するファイルカービングユーティリティ。

dwmetz/cyberpipe

DFIR調査のためのメモリとディスクフォレンジックを収集する使いやすいPowerShellスクリプト。

jschicht/rawcopy

コマンドライン低レベルNTFSファイル抽出ツール

gregwar/fatcat

FATファイルシステムの探索、抽出、修復、フォレンジックツール

libyal/libvshadow

ボリュームシャドウスナップショット（VSS）形式にアクセスするためのライブラリとツール

kfallahi/underlaycopy

MFT解析と生ディスク読み取りを使用して、ロックされたWindowsファイル（SAM、SYSTEM、NTDS、...）を抽出するPowerShellツールキット

jschicht/logfileparser

NTFS上の$LogFile用パーサー

nmht3t/rawhive

Cobalt Strike BOFは、NTFSメタデータを解析し、ディスクから直接ファイルデータを読み取ることで、生のNTFSボリュームから選択したWindowsレジストリハイブを抽出します。

trustedsec/tscopy

Pythonツールで、インシデント対応時にロックされたファイルをコピーするためにNTFS $MFTを解析し、生のディスク位置を読み取ることでOSのロックを回避します。再帰的、ワイルドカード、複数ファイルのコピーをサポートし、パフォーマンス向上のためのキャッシング機能を備えています。

ghassan-elsman/crow-eye

オープンソースのWindowsフォレンジックエンジン。MFT、USN、レジストリなどのアーティファクトを取得・解析・関連付けてタイムラインを再構築し、AI支援分析と法廷級の証拠封印に対応します。

la3ar0v/tuxresponse

ライブトリアージ、メモリ取得（LiME）、ディスクイメージング、YARAスキャン、HTMLレポート生成を備えた自動化されたLinuxインシデントレスポンススクリプト。

dmtrkovalenko/ffs

F*ck file system - OSカーネルをバイパスしてディスクを直接読み取るCLIファイル検索ツール

alex-cart/leaf

Linux 証拠収集フレームワーク

jschicht/extractusnjrnl

NTFSボリュームから$UsnJrnlを抽出するツール