Oxygen Forensics FAQ

【最小動作環境】
現在時点(2023/01/16)で公開されているOxygenの最小動作環境は以下の通りです。
下記の動作スペック以上の環境でご利用ください。

• OS: Windows 64-bit
• メモリ: 12 GB DDR4 RAM
• CPU: Intel Core i7
• ストレージ: 500 GB HDD

• OS: Windows 64-bit
• メモリ: 32 GB DDR4 RAM
• CPU: Intel Core i7
• ストレージ: 1TB SSD
• ストレージ: 1TB HDD
• グラフィックスカード: NVIDIA Graphics Card

【「更新のお知らせ: Notification center」を使ってアップデートする方法】
現在時点(2023/01/16)で公開されているOxygenの最小動作環境は以下の通りです。
下記の動作スペック以上の環境でご利用ください。

1. インターネットに接続された状態でOxygen Forensicsを起動すると、自動的にアップデート情報の確認が行われ、最新バージョンが入手可能な際は以下の様なメッセージが表示されるので、「Visit customer area~」をクリックします。
2. Webブラウザに「Customers page」が表示されるので、SaleIDを確認してログインをクリックします。
3. バージョンを確認し、「Download」をクリックします。

1. Oxygen Forensicsの右上の「Open menu」をクリックし、「Options」メニューをクリックします。
2. 左のメニューから「Updates」を選択し、「カスタマーエリアからアップデートファイルをダウンロードしてください」をクリックします。
3. 以降は「更新のお知らせ: Notification center」を使ってアップデートする方法の手順2、3と同様です。

【対処方法】

• セキュリティソフトを一時的に無効化する。
• Oxygen Forensicsをスキャン対象から除外するよう、セキュリティソフトのポリシーで設定する。
  ※設定手順は、ご利用のセキュリティソフトのマニュアル等でご確認下さい。

Oxygen Forensic Extractorでのデバイスデータ抽出時、デバイスドライバが見つからない場合はドライバを生成するかどうかを確認するメッセージが表示されます。
Windows 8以上のOSをご利用の場合は、このメッセージと共にドライバ署名の強制を無効化するよう表示されます。
ドライバ署名の強制は Windows 側の仕様によるものですので、以下手順にそってドライバ署名の強制を無効にして下さい。

【設定変更手順】

• Microsoft 社サポートページ
  https://support.microsoft.com/ja-jp/help/17076/windows-8-startup-settings-safe-mode
• Oxygen Forensicsのヘルプ ※英語表記ですが、各手順の画面が確認できます。
  ヘルプ画面の左側 ［目次］ タブ > [Connection] > [How to disable driver signature enforcement]

Oxygen Forensicsサポートページで公開している「データ抽出・解析ガイド」をご参照下さい。

解析画面で表示されるデータのタイムゾーンは、デフォルトでUTCに設定されています。
これを変更するには、[Time zone] > [Display time zone]からタイムゾーン設定を行う必要があります。

以下の設定がされていることをご確認ください。

1. Exportの設定画面を開く。
   例図では、AppleNoteの解析画面を表示していますが、各解析結果の画面上部にExportボタンが用意されています
   
   
2. Exportの設定画面の左のメニューから「Appearance」を選択し、以下の設定を行います。
   • 「Embedded fonts(埋め込みフォント)」にチェックを入れる
   • 日本語出力可能なフォントを指定する
     
     

デバイスデータの保存先（格納フォルダ）は、以下の操作で変更することができます。
【設定変更手順】

1. Oxygen Forensics画面右上のメニューアイコンをクリック
2. メニューから[Options]をクリック
3. [General]内の[Extractions storage]から変更可能
   格納フォルダを新規追加する場合は、フォルダアイコンをクリックして格納フォルダを指定
   追加済みの格納フォルダから指定する場合は、プルダウンリストアイコンをクリックして格納フォルダを選択
   
   
4. 設定を反映させるために、Oxygen Forensicsを手動で再起動
   

デバイスデータの保存先（格納フォルダ）を変更したいを参照ください。
【補足】原本と複製ファイルの保管場所について

• データ抽出のフロー
  デバイスからデータを抽出すると、原本データと複製データの2種類のデータが保存されます。
  下図の②取込み（原本の複製）がインポートにあたります。
  
  
• 原本データと複製データの保存場所（デフォルト）
  図ではCドライブですが、別のドライブへの変更が可能です。
  
  

Oxygen Forensicsでは、iTunesバックアップの手法を用いて iOSデバイスからデータを抽出しています。
メールアプリのデータはiTunesバックアップ対象に含まれない仕様のため、メールアプリのデータは抽出することができません。

物理抽出及び論理抽出が可能ですが、論理抽出はAndroid版のみ可能となっております。
また、Gmailアプリケーションは全てのデータがクラウド上に保存されているため、物理であっても取得できるのはデバイス内にキャッシュされているデータのみとなります。

インポートに失敗した際のファイルが残っている事が原因だと思われます。残ファイルを削除する事で再インポート可能になります。
【削除手順】

1. 保存先（Extractions storage）のファイルパスを確認し、エクスプローラーで開く。
   Extractions storageの確認は、デバイスデータの保存先（格納フォルダ）を変更したいを参照ください。
2. フォルダの作成日時から、インポートに失敗したデータの保存フォルダを特定し、該当フォルダのみを削除する。（※既存の解析結果を削除しないよう注意してください）
3. 再度インポートする。

サポートされているデバイス一覧は、以下の操作で確認することができます。

1. Oxygen Forensics画面右上のメニューアイコンをクリックする。
2. メニューから[Supported devices]をクリックして開くと、Oxygen Forensicsがサポートしているデバイス一覧が表示されます。
   
   

解析対象のアプリケーションがOxygen Forensicsで対応しているかどうかは、Oxygen Forensic Detective内のSupported applicationsから確認できます。

1. Oxygen Forensic Detectiveを起動し、右上の[menu]を開く。
2. menu内の[Supported applications]を開く。
3. 対応しているバージョン等の詳細を確認するには、 [All data]タブ内のアプリケーション名を選択し、右に表示される[Details]を確認。
   
   
   
   また、右上の検索窓からアプリ名で絞り込む事も可能です。
   
   

【Android fill file systemメソッドの文鎮化リスクについて】

• Oxygen Forensicsの「Android full file system」メソッドを使用する場合、ツール内でroot化の試行を行います。
• root化には文鎮化のリスクがありますので、そちらを踏まえた上での使用をご検討ください。

• Oxygen Forensicsの「iOS full logical checkm8」メソッドを使用する場合、JailBreakは行いませんので安心してご利用頂けます。
• 抽出手順については「checkm8を用いたデータ抽出ガイド」をご参照下さい。

SQLiteビューアの「Recover deleted records」を有効化すると復元されるようになります。
【設定手順】

1. SQLiteビューアでデータベースを開く。
2. 画面上部の「Recover deleted records」をクリック。
3. 開始するかどうかのメッセージが表示されるので「OK」をクリック。
4. SQLiteビューアにて削除レコードと判断された復元データが表示されます。
   
   

SQLiteビューアでは、削除レコードの復元件数が設定ができます。
デフォルトではテーブル毎に2,000件となっており、設定を変更することで最大100,000件まで表示できます。
【設定変更手順】

1. SQLiteビューアを起動し、上部の［オプション］をクリック。
2. オプション設定画面から任意の目盛りをクリック。
3. [Apply（適用）]をクリックして変更内容を保存。
   以下の図ではデフォルトの2,000件に設定されており、赤い矢印が指している目盛りをクリックすることで10,000件まで復元できるようになります。
   なお最小の目盛りは0件、最大の目盛りは100,000件です。
   
   

以下のメールアドレスまでお気軽にお問い合わせください。
[email protected]