Forensisches Image
Auch bekannt als: Disk Image, Bit-für-Bit-Kopie
Sektorgenaue Kopie eines Datenträgers einschließlich gelöschter und unbelegter Bereiche, als Grundlage jeder weiteren Analyse.
Anders als ein Backup enthält ein forensisches Image auch das, was das Betriebssystem nicht mehr anzeigt: gelöschte Dateien, Dateisystem-Metadaten, Reste früherer Nutzung. Es wird mit einem Hashwert versiegelt und bleibt unverändert; Analysen laufen auf Arbeitskopien. Bei virtualisierten Systemen tritt der Snapshot an seine Stelle, bei Cloud-Diensten ist ein vollständiges Image meist nicht zu bekommen.