Rendre Magnet OUTRIDER démarrable avec Windows-To-Go

L’une des demandes les plus courantes que nous recevons pour Magnet OUTRIDER est qu’il soit sur un appareil démarrable pour qu’avec des machines éteintes, vous puissiez démarrer dans un environnement sécurisé où exécuter l’outil (et d’autres outils comme Magnet ACQUIRE). OUTRIDER est un outil basé sur Windows, nous ne pouvons donc pas vous le préconditionner sur une clé USB démarrable ayant un SE Linux gratuit, mais il existe un moyen vous permettant de le faire vous-même en quelques étapes, en utilisant Windows-To-Go.

Ce dont vous aurez besoin

• Votre dongle OUTRIDER ou un disque dur externe USB3 haute vitesse (dans l’idéal, un SSD)
  • Remarque : Pour que cette méthode fonctionne bien, Windows-To-Go doit être installé sur un appareil haute vitesse. Le dongle OUTRIDER que vous recevez de Magnet Forensics est une clé USB3 haute vitesse, mais les clés USB ne conviennent généralement pas à cet environnement. Si vous souhaitez tout avoir dans un seul disque dur (ce qui est recommandé), vous devrez acheter la licence logicielle pour OUTRIDER et l’installer sur votre propre disque USB/SSD haute vitesse.
• Rufus (outil USB gratuit et open source)
• Un fichier ISO Windows 10 (si vous n’en avez pas, ceci peut vous aider : https://www.microsoft.com/en-ca/software-download/windows10)

Pour ce faire, vous devriez également avoir la licence Microsoft appropriée dans votre organisation.

Avant de commencer, il est important de parler un peu de Windows-To-Go. De quoi s’agit-il ? Cette page fournit un aperçu complet, directement issu de Microsoft.

En quelques mots, Windows-To-Go est un espace de travail Windows qui peut être démarré à partir d’une clé USB, ce qui le rend très portable. Il convient de noter en guise de clause de non-responsabilité que Windows-To-Go n’est plus pris en charge par Microsoft depuis la version 2004 de Windows 10. Vous pouvez continuer à utiliser Rufus pour Windows-To-Go, mais il ne s’agira pas d’une fonctionnalité officiellement prise en charge. Certains trouveront peut-être cela déconcertant, mais si vous pensez au nombre de personnes qui utilisent toujours WinPE/WinFE et aux limites bien plus importantes de ces environnements, vous comprendrez qu’il s’agit d’une option beaucoup plus moderne et récente.

Commençons !

1. La première étape consiste à sauvegarder tous les fichiers sur votre dongle OUTRIDER vers un dossier sur votre ordinateur (n’importe où, dans un dossier sur votre bureau par exemple). Copiez tous les fichiers et dossiers du dongle vers ce dossier.
2. Ensuite, téléchargez Rufus (https://rufus.ie/) si vous ne l’avez pas déjà fait. Vous devrez aussi vous assurer d’avoir le fichier ISO Windows 10 à portée de main pour les prochaines étapes.
3. Exécutez Rufus et configurez les options suivantes :
   1. Appareil : Assurez-vous que cela soit pointé vers votre dongle/disque dur externe haute vitesse OUTRIDER
   2. Sélection de démarrage : Disque ou image ISO
      1. Cliquez sur le bouton SÉLECTIONNER en regard de cette option et naviguez vers votre fichier ISO Windows 10
   3. Option d’image : Windows To Go
   4. Étiquette de volume : Win2Go (ou un autre intitulé indiquant clairement qu’il s’agit de l’USB Windows To Go)
   5. Vous pouvez laisser tous les autres paramètres sur leurs valeurs par défaut, sauf si vous êtes un utilisateur avancé de Rufus et que vous souhaitez personnaliser d’autres éléments. Votre fenêtre Rufus devrait ressembler à ceci :

• Cliquez sur DÉMARRER et laissez Rufus travailler. Si une fenêtre contextuelle apparaît et vous demande de sélectionner la version de Windows que vous souhaitez installer, Windows 10 Pro est probablement votre meilleure option.
  (Cette partie peut être assez longue, et c’est donc le moment idéal d’aller prendre un café ou un thé. )
• Lorsque Rufus a terminé, ouvrez Windows Explorer et naviguez vers le disque dur que vous avez sélectionné. Vous devriez voir une structure de fichier similaire à celle-ci :

• Créons un dossier dans la racine du disque dur appelé « Outils ».
  • Si vous avez utilisé le dongle OUTRIDER pour créer le disque dur Win2Go,, créez dans ce dossier un autre dossier nommé « OUTRIDER » et collez-y tous les fichiers et les dossiers que vous avez copiés à partir du dongle OUTRIDER lors de l’étape 1. C’est d’ici que vous exécuterez OUTRIDER lorsque vous serez dans l’environnement démarré. Sinon, passez à l’étape 6b – vous exécuterez OUTRIDER à partir de votre dongle OUTRIDER.
• Une étape importante est une modification rapide du registre pour s’assurer que les disques durs internes ne sont pas mis en ligne automatiquement. Cela garde les disques durs internes hors ligne et inaccessibles jusqu’à ce qu’ils soient mis en ligne manuellement, ce qui peut être fait en lecture seule. Vous devrez exécuter les commandes suivantes, en remplaçant le « X » par la lettre de votre disque dur Windows-To-Go.

reg charger HKLM\WINTOGO_SYSTEM X:\Windows\System32\Config\SYSTEM

reg ajouter HKLM\WINTOGO_SYSTEM\ControlSet001\Services\partmgr\Parameters /v SanPolicy /t REG_DWORD /d 4 /f

reg décharger HKLM\WINTOGO_SYSTEM

Remarque : Apprenez-en plus sur la clé SanPolicy ici. Vous pouvez remplacer « /d 4 » par « /d 3 » si vous souhaitez que tout reste hors ligne par défaut. Mais si vous avez besoin de brancher une^deuxième clé USB (comme le dongle OUTRIDER si vous ne l’avez pas utilisée pour créer l’USB Windows-To-Go), elle ne sera pas automatiquement connectée et vous devrez donc le faire manuellement à l’aide de l’utilitaire diskpart Windows.

Ensuite, éjectez en toute sécurité la clé USB et utilisez-la sur un ordinateur où vous pouvez faire un démarrage d’initialisation. Ce processus termine l’installation de Windows-To-Go sur la clé USB et vous permet de configurer n’importe quel logiciel que vous souhaitez avoir dans cet environnement. OUTRIDER ne nécessitant pas d’installation, il sera prêt à être utilisé dès le premier démarrage.

Selon la version de Windows 10 sur l’ISO que vous avez utilisée avec Rufus, les écrans de configuration seront légèrement différents. Ils ressembleront à l’interface que vous voyez lorsque vous faites une nouvelle installation de Windows sur un ordinateur.

Une fois le processus terminé, vous serez connecté et vous pourrez commencer à utiliser Windows comme à votre habitude, en exécutant ou en installant des applications (ce qui sera également le cas pour vos démarrages suivants avec USB Windows-To-Go). Veuillez noter que votre USB Windows-To-Go sera votre disque dur « C:\ » et, sans autres disques durs externes connectés, vous n’en verrez aucun autre. Tout disque dur interne sera configuré sur « hors ligne », ce qui signifie qu’il sera impossible d’y accéder et que les volumes contenus dans ces disques durs ne seront pas montés. Remarque : Il est important que les disques durs soient marqués en « lecture seule » lorsqu’ils sont mis « en ligne » à l’aide d’un outil comme l’utilitaire Windows diskpart, pour s’assurer que les volumes sur le disque dur monté automatiquement sont, par conséquent, aussi montés uniquement avec un accès en lecture seule..

C’est tout ! Vous avez maintenant une clé USB que vous pouvez utiliser pour vos démarrages et pour exécuter OUTRIDER ou d’autres outils lorsque vous utilisez un ordinateur hors tension.

Analyser des disques durs avec OUTRIDER dans un environnement Windows-To-Go

Lorsque vous lancez OUTRIDER dans un environnement Windows-To-Go, il détecte qu’il fonctionne dans cet environnement et fournit un gestionnaire de disque dur simple pour vous aider à mettre les disques durs en ligne et en mode lecture seule. Lorsque vous arrivez à l’écran suivant, le bouton « Gestionnaire de disque dur » s’affiche, qui n’est habituellement pas visible :

Lorsque vous cliquez sur ce bouton, la fenêtre Gestionnaire de disque dur s’affiche :

Tous les disques durs autres que celui à partir duquel OUTRIDER s’exécute s’affichent dans cette fenêtre, avec leurs statuts en ligne/hors-ligne et lecture seule/accessible en écriture. Sélectionner un disque dur et cliquer sur le bouton « Monter le disque dur sélectionné (lecture seule) » exécute l’outil diskpart Windows pour mettre le disque dur en ligne, en s’assurant qu’il soit monté en mode lecture seule. Si le montage est réussi, le message suivant s’affiche :

Cliquez sur OK et fermez la fenêtre du gestionnaire de disque dur pour voir les volumes montés, puis sélectionnez les volumes que vous souhaitez analyser et passez à la configuration de votre analyse OUTRIDER comme vous le faites habituellement.

Clause de non-responsabilité relative aux conseils techniques

Chez Magnet Forensics, nous collaborons avec la communauté DFIR par le biais de nos blogs et livres blancs. Cependant, une bonne gestion des problèmes technologiques implique souvent différentes variables qui requièrent une évaluation indépendante et des stratégies conçues pour chaque cas particulier. Puisque Magnet Forensics ne peut avoir une vision complète de toutes les variables impliquées dans une situation donnée, ce blog/livre blanc est fourni à titre informatif seulement et ne devrait pas être consulté comme un conseil professionnel recommandant certaines techniques ou technologies propres à votre situation. Nous rejetons toute responsabilité pour toute omission, erreur ou inexactitude contenue dans ce blog/livre blanc ou pour toute mesure prise en conséquence.