Digital Evidence Ventures从退役服务器恢复邮件，用于法医分析和对抗公司诉讼

11月30日，-0001
打印
下载

Digital Evidence Ventures (DEV)是一家位于加州萨克拉门托的数字取证和电子发现公司。它为计算机和手机取证领域的律师事务所和企业提供数字取证服务和诉讼支持。DEV由前fbi探员和非执业律师领导，他们帮助律师和企业收集和分析数据，以获得解决诉讼的证据，或帮助企业做出明智的决定。

Digital Evidence Ventures的一个客户在一起公司诉讼中需要帮助，他们有一项命令，要求保存一台退役服务器邮箱中的所有邮件。客户端组织需要从已退役服务器的存档EDB文件中提取邮箱，以便进行取证分析。

主要挑战

关键的“技术”挑战是在没有原始服务器设置和AD配置的情况下从退役服务器提取和导出邮箱。此外，客户组织迫切需要从多个EDB文件中提取电子邮件到PSTs，以便及时响应订单。

以下各节总结了开发与发展部门法证专家面临的主要挑战:

从已退役的服务器导出邮箱

由于服务器已退役，因此需要团队使用Exchange和域控制器重新构建域，以便使用PowerShell cmdlet挂载数据库并导出邮箱。但是，使用PowerShell cmdlet或Exchange Admin Center (EAC)通过Exchange Management Shell将邮箱导出到pst需要一个功能正常的Exchange服务器。

时间不足

恢复已退役的服务器是一个耗时的过程。恢复退役的服务器并提取邮件数据进行分析可能需要数小时到数周的时间。然而，客户需要尽可能早地保存信息和证据，以便进行和打诉讼。

业务需求

以下是主要业务需求:

从退役的Exchange服务器进行多个EDB文件到PST文件的转换
在最短的时间内收集所需的信息和证据

多个EDB到PST文件转换

由于EDB文件处于脱机状态，无法挂载，剩下的唯一解决方案是从EDB文件中提取邮箱，以一种可以作为法医证据的方式。

DEV团队尝试使用Parabens®和Access Data®中的取证工具箱提取邮箱。Paraben Forensic Toolkit支持Exchange数据库(EDB)文件，并支持将邮件导出到PST。但是，它无法提取所需的信息，也无法显示所需的电子邮件、电子邮件内容以及存储在EDB文件中的电子邮件的管理员。该团队在使用Access Data Forensics Toolkit时也遇到了类似的问题。

解决方案

在评估了一些鉴证工具包之后，DEV团队发现了Stellar Toolkit for Exchange;无需设置完整的Exchange Server和AD即可将EDB文件从退役服务器“导出”到pst的软件套件。该工具还从已退役或不活动服务器的EDB文件中提取邮箱，包括已删除的电子邮件。

团队从Stellar下载了Exchange工具包的免费试用版本，并使用它扫描从已退役的Exchange服务器复制的脱机EDB文件。该工具能够扫描所有邮箱并预览邮箱内容，包括邮件正文文本、附件、联系人、日历等。它还可以找到并预览已删除的邮件。

在验证邮箱数据后，团队决定激活该软件，并成功地将多个EDB文件转换为pst。

结果

该工具包允许提取所需的邮箱数据，并提供诉讼所需的托管信息。它有助于保存客户组织进一步调查所需的电子邮件和其他邮箱数据。

关键好处

Stellar Toolkit for Exchange帮助Digital Evidence Ventures为其客户组织找到并保存邮箱。工具箱将所需的邮箱保存到具有原始完整性的PST文件中，并使用Preview特性进行验证。该软件是在给定时间跨度内提取邮箱的有效解决方案。