将文件从 RAW 转换为 EWF 格式

Kaspersky Endpoint Security 以 RAW 格式保存磁盘镜像。文件也可以被压缩到存档中。特殊的 Python 脚本允许将文件从 RAW 格式转换为 EWF 格式。该脚本不断在指定文件夹中查找 RAW 文件。如果检测到此类文件，脚本会自动将文件转换为 EWF 格式。

Convert_to_ewf_monitor.py 脚本

为了使脚本正常工作，计算机上必须安装以下软件：

要启用磁盘镜像文件的转换：

  1. 启动命令行解释器。
  2. 更改为脚本所在的文件夹。
  3. 运行以下命令：

    py Convert_to_ewf_monitor.py --source <源文件文件夹的完整路径> [其他设置]

    EWF 转换脚本参数

    参数

    描述

    --source <文件夹的完整路径>

    脚本在其中查找源文件的文件夹的完整路径。该脚本还会在指定路径的子文件夹中查找文件。这是一个强制参数。

    --destination <文件夹的完整路径>

    脚本在其中保存转换后的文件的文件夹的完整路径。文件夹结构被保留。默认情况下，脚本将转换后的文件保存在源参数中指定的文件夹中。

    --delete

    转换成功后删除源文件。如果转换失败，脚本会跳过删除源文件，您可以重试。

    --ewftool <文件夹的完整路径>

    ewfacquirestream.exe 文件的完整路径。路径必须包含文件名。默认情况下，脚本尝试在脚本所在的文件夹中查找 ewfacquirestream.exe 文件。

    --name_mask <正则表达式>

    用于查找要转换的源文件的正则表达式。如果您需要转换单个文件，可以使用此选项。默认情况下，该脚本使用^diskdump_正则表达式查找文件。

    --convert_single_dump

    找到要转换的单个文件。成功转换单个文件后，脚本退出。

    --workers_num <文件数量>

    脚本可以同时转换的源文件的最大数量。您可以使用此设置来优化脚本的性能。默认情况下，该脚本一次最多可以转换四个文件。

    --log_level <日志级别>

    记录级别。默认情况下，脚本使用 DEBUG 日志记录级别。

    --log_path <文件夹的完整路径>

    保存日志文件的完整路径。该路径必须包含日志文件的文件名。默认情况下，脚本在解释器控制台上显示事件。

示例：

PS D:\Folder\Script\> py convert_to_ewf_monitor.py --source E:/Folder --destination E:/EWF --delete --log_path E:/Folder/Logs.txt

页面顶部