如何在恒星电子邮件取证中使用布尔搜索?

布尔搜索是恒星电子邮件取证中的一个搜索功能，允许您通过使用与、或和非等操作符组合关键字。布尔搜索提供一个强大的实用工具，以缩小搜索结果根据您的需求。

三个带关键字的布尔运算符x而且y可用作:

1.x和y:搜索结果将包括至少包含一个的项目x和一个y．

例子:搜索参数为e和f搜索结果可能包括长颈鹿、羽毛、文件等。它们不包括落差、弹性、带宽等。

2.x或y:搜索结果将包括至少包含一个的项目x或者一个y。

例子:搜索参数为e或f搜索结果可能包括基本、关键和修正等。它们不包括切换、复制等。

3.不谢:搜索结果将包括不具备的项x．

例子:搜索参数为NOT e搜索结果可能包括包含计划、磁盘、声音等词的项。它们不会包含包含“文件夹”、“服务”等字样的项。

注意:您可以在单个搜索查询中组合多个布尔运算符。

额外的功能

括号

当在一个搜索查询中使用多个布尔运算符时，使用括号“()”来定义不同运算符的优先级。

例子:搜索查询不(亚当或文件)会找到不包含“亚当”或“文件”．

注意:在开始和结束括号的前后都加一个空格，比如“(”和“)”。

在恒星电子邮件取证工具中使用布尔搜索

使用布尔搜索:

1.点击搜索选项卡导航面板[见图1]。

图1:恒星电子邮件取证中的搜索标签

2.选择布尔搜索从类型下拉菜单，如果它还没有被选中。

3.在中输入搜索查询搜索文本字段。选择整词如果您想搜索整个单词，请选中此字段上方的复选框。

4.通过在其中选择适当的复选框，选择要搜索的电子邮件组件搜索节(默认情况下选择所有组件，但您可以取消选择它们)。

搜索Section有以下选项:主题，正文，RFC报头，附件名称，而且附件的身体．您还可以通过单击选择要执行搜索的扩展类型附件类型按钮。

注意:如果附件有密码保护，则不会对附件主体执行搜索。

5.输入要搜索的发件人和收件人的电子邮件地址发件人和收件人部分(可选步骤)。

• 选择从复选框，并输入发件人的电子邮件地址。
• 选择来复选框，并输入收件人的电子邮件地址。
• 选择Cc复选框可查找电子邮件地址所在的电子邮件CcField和in一样来您输入的字段。
• 选择Bcc复选框可查找电子邮件地址所在的电子邮件BccField和in一样来您输入的字段。

注意:您可以在From和To字段中输入布尔表达式，以进一步缩小结果范围。

5.指定要搜索的日期范围设置日期范围部分。

• 单击右侧的“添加过滤器”按钮。新行包含运营商,而且来将出现在设定日期范围部分。
• 从“operator”列的下拉菜单中选择所需的操作符:或者,或不
• 在从而且来列，使用下拉日历或手动输入日期

注意:若要删除过滤器，请在表格中选中该过滤器，然后单击删除过滤器按钮。默认情况下，将对所有添加的邮箱文件执行搜索。如果要对特定文件执行搜索，请单击Browse按钮．使用前面的复选框选择所需的文件，然后单击好的。

6.单击“搜索”按钮开始搜索。

搜索完成后，将出现“搜索完成”对话框，显示所找到的电子邮件和附件的总数。

7.点击好吧关闭对话框。

8.查看显示在下窗格中的选项卡中的搜索结果邮件而且附件．