用途：当安全事件需要对系统持久存储做取证分析、需为法律或人事调查保全证据、需恢复删除文件与浏览器历史、需从文件系统元数据重建用户或攻击者活动时间线、或需识别磁盘上的恶意持久化机制时使用。不适用于易失性证据（运行进程、网络连接），此类应改用 Volatility 做内存取证。
主要能力：制作逐位取证镜像并做 SHA-256 哈希校验；分析分区布局与文件系统（NTFS/ext4/APFS）；检查 MFT、inode、删除文件、未分配空间与 NTFS ADS；用文件雕刻恢复文件；解析 Windows 关键痕迹（NTUSER.DAT、UsrClass.dat、Recent、Jump Lists、Prefetch、Amcache、SRUM、ShimCache、计划任务、启动项、服务、WLAN 配置、浏览器历史）；重建时间线；解析 Prefetch、事件日志、注册表、浏览器与 USB 设备历史。
使用方式：先固定并记录证据链，用写保护器连接证据盘；再用 FTK Imager 或 dcfldd 制作镜像并校验哈希，例如：dcfldd if=/dev/sdb of=/evidence/WKSTN-042.dd hash=sha256 hashlog=/evidence/WKSTN-042.sha256 bs=4096 conv=noerror,sync；随后在 Autopsy/FTK 中分析文件系统，或用 The Sleuth Kit 生成时间线：fls -r -m / WKSTN-042.dd > bodyfile.txt，mactime -b bodyfile.txt -d > timeline.csv；最后解析痕迹并撰写报告。
适用场景：员工数据窃取调查、恶意软件持久化排查、删除文件与浏览器痕迹恢复、攻击活动时间线重建等。
限制：需写保护硬件或软件、取证工作站、2-3 倍目标盘容量存储、证据链表单与哈希校验工具；分析须可复现，区分事实与推断；不处理易失性证据。具体收费、价格与平台支持资料暂未提供。