Falcon-NEO2 – Logicube

Imagerie et vitesse

IMAGERIE HAUTE VITESSE
Le Falcon-NEO2 atteint 115 Go/min d’un SSD SAS-3 vers un SSD SAS-3, et dépasse 100 Go/min en clonage PCIe vers PCIe.

IMAGE ET VÉRIFICATION SIMULTANÉES
Vérifier pendant l’acquisition tire parti de disques de destination plus rapides que la source : la durée totale peut être réduite de moitié.

MULTITÂCHE
Acquisition simultanée depuis plusieurs sources vers plusieurs destinations, dépôt réseau compris, ou acquisition d’un côté pendant qu’un second disque est empreint ou effacé. Jusqu’à cinq tâches en parallèle, avec peu ou pas de perte de vitesse de deux sources vers deux destinations.

IMAGERIE PARALLÈLE
Plusieurs acquisitions depuis un même disque source vers plusieurs destinations, dans des formats différents : copie native vers un emplacement réseau ou un disque, et simultanément e01, ex01, dd ou dmg vers un autre disque.

FORMATS D’IMAGE
Le Falcon-NEO2 acquiert et vérifie en copie native ou miroir, en image dd, en image dmg, en e01 et en ex01. Il prend en charge MD5, SHA1, SHA256 et la double empreinte.

IMAGERIE AFF4 PHYSIQUE ET LOGIQUE
Acquisition au format ouvert AFF4 (Advanced Forensic File Format 4), en physique comme en logique.

IMAGERIE LOGIQUE
Raccourcit l’acquisition. Créez une image logique à partir de filtres prédéfinis, de filtres personnalisés, de filtres de signature de fichier ou d’une recherche par mot-clé, pour ne capturer que les fichiers utiles. Un rapport MFT peut être généré, contenant une liste de fichiers potentiellement supprimés. Sortie en L01, LX01, ZIP ou arborescence.

IMAGERIE DE PARTITION
Sélectionnez et acquérez des partitions précises du disque source.

RESTAURATION D’IMAGE
Le mode fichier vers disque restaure sur un autre disque les images dd, dmg, e01 et ex01 créées par le Falcon-NEO2.

REPRISE
Une tâche de clonage disque à disque ou disque à fichier interrompue (coupure de courant, abandon) peut être reprise ou relancée.

MACRO DE TÂCHES
Enchaînez des tâches automatiquement : effacer, puis acquérir, puis vérifier. Jusqu’à cinq macros de neuf opérations chacune.

RÉPARTITION SUR PLUSIEURS DISQUES
Acquisition d’un disque de grande capacité vers deux disques plus petits.

CHOIX DU DOSSIER DE DESTINATION
Ajoutez des dossiers au dépôt de destination et choisissez celui qui recevra l’image. Les dossiers vides se suppriment et se renomment.

VÉRIFICATION DE DISQUE VIERGE
Contrôle si le disque source ou destination est vide ou a été effacé.

Ports et interfaces

PORTS SOURCES
4 disques SAS/SATA sur 1 port
2 USB 3.2 Gen 2, convertibles en SATA avec un adaptateur en option
1 PCIe
2 ports d’extension pour cartes en option, dont Thunderbolt 3 et USB-C

PORTS DE DESTINATION
4 disques SAS/SATA sur 1 port
4 USB 3.2 Gen 2, convertibles en SATA avec un adaptateur en option
1 PCIe
1 port d’extension pour carte en option, dont Thunderbolt 3 et USB-C

INTERFACES PRISES EN CHARGE
Prise en charge native des périphériques SAS, SATA, USB et PCIe. L’eSATA, le mSATA et le microSATA sont couverts par les adaptateurs fournis. Des adaptateurs en option couvrent les disques IDE 1,8″, 2,5″ et 3,5″, l’IDE ZIF 1,8″ et les supports flash. Le SCSI et le FireWire sont couverts par des modules en option.

PRISE EN CHARGE DU PCIe
Les SSD M.2 PCIe NVMe ainsi que les cartes mini-PCIe et PCIe express sont pris en charge avec des adaptateurs en option.

THUNDERBOLT 3 ET USB-C
Une carte d’extension en option permet d’acquérir directement vers et depuis les disques et baies externes Thunderbolt 3, USB-C et USB 3.1 Gen 2. Elle se monte sur l’un des deux ports sources protégés en écriture ou sur le port de destination, et donne accès aux débits Thunderbolt 3 vers les baies RAID de grande capacité.

MODULE SCSI
Le module SCSI en option étend le Falcon-NEO2 aux disques SCSI. Il se raccorde aux ports PCIe et fournit 1 port source SCSI protégé en écriture ou 1 port de destination.

MODULE FIREWIRE
Le module FireWire en option prend en charge les baies FireWire. Il se raccorde aux ports PCIe et fournit 1 port source FireWire protégé en écriture ou 1 port de destination.

PORT HDMI
Un port HDMI en face arrière permet de raccorder le Falcon-NEO2 à un écran externe.

CLAVIER ET SOURIS
N’importe quel port USB 3.2 accueille un périphérique, clavier ou souris.

ÉCRAN TACTILE 7 POUCES
Écran tactile capacitif à interface simple, qui donne accès à toutes les opérations.

Sources particulières

ACQUISITION D’APPAREILS MOBILES
Récupérez les preuves d’un iPhone, d’un iPad, d’un téléphone ou d’une tablette Android (SMS, MMS, photos, vidéos) avec un abonnement logiciel reconductible en option. Compatible jusqu’à iOS 16.x et à partir d’Android 4.0.

ACQUISITION DU STOCKAGE CLOUD
Désormais de série : acquisition de fichiers depuis OneDrive, Dropbox ou Google Drive, vers n’importe quel disque de destination ou dépôt réseau.

ACQUISITION DEPUIS UN MAC
Acquérez depuis un Mac à ports USB-C avec un câble USB-C vers USB-A et le mode disque cible, ou par le périphérique de démarrage USB Logicube. Une clé USB de démarrage forensique permet d’acquérir le disque source d’un Mac du même réseau sans lancer son système. Les Mac équipés de la puce de sécurité Apple T2 s’acquièrent fichier par fichier ou via l’Utilitaire de disque.

ACQUISITION DEPUIS UN POSTE FIXE OU PORTABLE
Une clé USB de démarrage forensique permet d’acquérir le disque source d’un ordinateur du même réseau sans lancer son système d’exploitation. Compatible à partir des Surface Pro 4.

PRISE EN CHARGE DE L’APFS
Imagerie logique, fichier par fichier, depuis les disques formatés en APFS (Apple File System). L’explorateur de fichiers intégré lit et parcourt également l’APFS.

CD, DVD ET BLU-RAY
Acquisition de supports CD, DVD et Blu-ray à l’aide d’un lecteur optique USB raccordé au Falcon-NEO2. Les CD et DVD multisession sont pris en charge.

Réseau

DEUX PORTS RÉSEAU 10 GbE
Deux ports 10 GbE accélèrent l’imagerie réseau. Acquisition vers ou depuis un dépôt réseau en CIFS ou en iSCSI. Un port peut desservir un NAS 10 GbE pendant que le second raccorde l’appareil au réseau, ce qui évite les goulets d’étranglement.

FONCTION « PUSH » RÉSEAU
Transférez les fichiers de preuve depuis les disques de destination ou depuis un dépôt du Falcon-NEO2 vers un emplacement réseau. Plus sûr qu’un simple copier-coller : une empreinte MD5 ou SHA est calculée pendant le transfert, dont la vérification est activable. Un journal est produit à chaque envoi.

CAPTURE DE TRAFIC RÉSEAU
Capturez le trafic réseau, l’activité Internet et la VoIP. Les paquets sont enregistrés sur un disque raccordé au Falcon-NEO2, au format *.pcapng lisible par Wireshark notamment. Le chaînage des destinations permet de s’étendre sur plusieurs disques.

IMAGERIE VERS UN STOCKAGE EXTERNE
Acquisition vers un stockage externe, un NAS par exemple, par les ports 10 GbE, l’USB 3.2 ou la connexion SAS/SATA.

PILOTAGE À DISTANCE
Une interface simple et lisible permet de se connecter au Falcon-NEO2 depuis un navigateur et de piloter toutes les opérations à distance. La mise à l’échelle des pages est automatique sur iPad, iPhone et Android.

SERVICES RÉSEAU
Les services HTTP, SSH, Telnet, CIFS/NETBIOS, iSCSI, Iperf et Ping se désactivent individuellement, pour raison de sécurité.

Chiffrement et sécurité

AUTHENTIFICATION MULTIFACTEUR
Les clés YubiKey 5 série FIPS sécurisent la connexion à une ressource réseau Active Directory partagée.

DÉTECTION DU CHIFFREMENT
Détection du chiffrement de disque entier et du chiffrement de partition : les disques sources potentiellement chiffrés se repèrent d’un coup d’œil.

DÉCHIFFREMENT BITLOCKER, OPAL, VERACRYPT ET TRUECRYPT
Déchiffrez une partition (la clé de récupération ou le mot de passe est nécessaire), puis acquérez-la. Le fichier BEK (BitLocker Encryption Key) est pris en charge pour déverrouiller un chiffrement BitLocker conforme FIPS.

CHIFFREMENT
Protégez les données sensibles par un chiffrement de disque entier au standard ouvert XTS-AES-256 recommandé par le NIST. Le déchiffrement se fait sur le Falcon-NEO2 ou avec un logiciel libre tel que VeraCrypt, TrueCrypt ou FreeOTFE.

SÉCURITÉ ATA
Déverrouillez et clonez les disques verrouillés par ATA Security. Le déverrouillage est temporaire, le temps de cloner, d’empreindre ou d’effacer. Le mot de passe ATA Security est nécessaire.

DISQUE SYSTÈME AMOVIBLE
Le système et les journaux sont stockés sur un disque interne, facilement retiré pour les sites sécurisés ou classifiés.

PROFILS UTILISATEURS
L’administrateur enregistre des configurations et définit des profils protégés par mot de passe.

Triage et exploration

TRIAGE
Conforme VICS : importez des bases d’empreintes VICS et confrontez-y les fichiers du disque source.

VIGNETTES
Affichez les images du disque source sous forme de vignettes dans l’explorateur de fichiers intégré.

EXPLORATEUR ET PRÉVISUALISATION PROTÉGÉE EN ÉCRITURE
Prévisualisez le contenu des disques directement sur le Falcon-NEO2. L’explorateur donne un accès logique aux disques source et destination et aux dépôts réseau raccordés : partitions, contenu, lecture des fichiers texte, JPEG, PDF, XML et HTML, et lecture des images .dd, e01, ex01, dmg et L01 créées par l’appareil. La prévisualisation est aussi possible depuis un navigateur, ou à travers le réseau en SMB ou en iSCSI, ce qui permet d’y brancher des outils d’analyse tiers.

Effacement, intégrité et journalisation

EFFACEMENT
Effacement jusqu’aux spécifications DoD ou effacement sécurisé, à des vitesses atteignant 27 Go/min. La commande ATA Sanitize est prise en charge. Conforme aux recommandations NIST 800-88, avec vérification de la valeur de passe activable.

CAPTURE HPA, DCO ET ACS3
Détection et capture des zones cachées HPA (Host Protected Area), DCO (Device Configuration Overlay) et ACS3 (Accessible Max Address, norme ATA ACS-3) du disque source.

AJUSTEMENT DE CAPACITÉ
Manipulation des zones DCO et HPA du disque de destination pour que sa capacité native corresponde à celle de la source.

GESTION DES ERREURS
La gestion des secteurs défectueux est réglable. Par défaut le secteur fautif est sauté ; augmenter la granularité en fait sauter davantage. Trois valeurs : 512 o, 4 096 o et 64 Kio. À 4 096 o, un seul secteur défectueux fait sauter le groupe entier, soit huit secteurs.

LECTURE INVERSÉE
Après un secteur défectueux, la lecture reprend à l’envers : des données que le saut d’un bloc entier aurait laissées de côté peuvent ainsi être récupérées.

MISE EN VEILLE DES DISQUES
Définissez un délai d’inactivité au terme duquel les disques raccordés passent en veille et s’arrêtent.

SYSTÈMES DE FICHIERS
Le Falcon-NEO2 formate les disques de destination en NTFS, exFAT, HFS+, EXT4, EXT3, EXT2 ou FAT32, et acquiert depuis des sources formatées dans tous les systèmes de fichiers courants.

JOURNAL ET RAPPORTS
Chaque opération est journalisée en détail. Les journaux se consultent sur le Falcon-NEO2 ou depuis un navigateur, et s’exportent en XML, HTML ou PDF vers un support USB. Ils s’impriment directement depuis un poste connecté à l’appareil.

L’appareil

ENCOMBREMENT
Le Falcon-NEO2 pèse 1,52 kg et tient dans 25,4 x 17,1 x 8,3 cm.

GARANTIE D’UN AN
Le système est livré avec une garantie pièces et main-d’œuvre d’un an. Une extension d’un an (deux ans au total) et une extension de deux ans (trois ans au total) sont proposées en option.

MODULE D’EXTENSION NVMe
Le module d’extension NVMe prend en charge 4 disques M.2 NVMe et se raccorde au port PCIe source ou destination du Falcon-NEO2. Ces 4 disques s’ajoutent à ceux que l’appareil couvre déjà par d’autres adaptateurs en option, comme l’adaptateur USB vers NVMe.

CARTE D’EXTENSION THUNDERBOLT ET USB-C
Cette carte en option permet d’acquérir directement vers et depuis les disques et baies externes Thunderbolt 3, USB-C et USB 3.1 Gen 2. Elle se monte sur l’un des deux ports sources protégés en écriture ou sur le port de destination.

MODULE FIREWIRE
Le module FireWire prend en charge les baies FireWire. Il se raccorde à l’un des ports PCIe et fournit 1 port source FireWire protégé en écriture ou 1 port de destination.

MODULE SCSI
Le module SCSI prend en charge les disques SCSI 68 broches. Il se raccorde à l’un des ports PCIe et fournit 1 port source SCSI protégé en écriture ou 1 port de destination. Des adaptateurs en option couvrent les disques SCSI 50 et 80 broches.

OPTION D’ACQUISITION D’APPAREILS MOBILES
Cette option logicielle concerne les Falcon-NEO2 dont le numéro de série est inférieur à 223000 ; elle est de série à partir de 223000. Cet abonnement reconductible étend l’appareil à l’acquisition des preuves contenues dans les iPhone, iPad, téléphones et tablettes Android. Sur le terrain, il évite d’emporter du matériel supplémentaire pour collecter les données d’un mobile.