EvidLockV2

Forensic Evidence Tool dla Windows

Bezpieczna pracaz cyfrowym materiałem dowodowym

EvidLock zabezpiecza, analizuje i dokumentuje materiał cyfrowy w jednym środowisku — od sumy kontrolnej po gotowy raport. Wszystko lokalnie: bez chmury, bez konta, bez wysyłania czegokolwiek na zewnątrz.

Zobacz wydania Zobacz, co zostaje w aktach

GRAF POWIĄZAŃ — NA ŻYWO

15 REGUŁ — każda krawędź ma regułę, poziom pewności i wypisane ograniczenia

0 bajtów

wysyłanych na zewnątrz

15 reguł

jawnej korelacji dowodów

8 modułów

Player · View · Commander · Carver · Voice · Tracker · Network · Sandbox

SHA-256

na każdym etapie pracy

Dla kogo

Dedykowany służbom. Otwarty dla każdego, kto pracuje z dowodem cyfrowym.

Powtarzalność czynności, czytelny ślad audytowy i możliwy do wykazania związek między wynikiem a źródłem — to wymagania postępowania karnego. Te same wymagania ma biegły, zespół reagowania na incydenty, audytor i student, który dopiero uczy się metodyki.

Służby i organy ścigania

Zabezpieczanie nośników, powtarzalny przebieg czynności i dokumentacja gotowa do akt.

Biegli i kancelarie

Opinie oparte na weryfikowalnych sumach kontrolnych, z jawnymi ograniczeniami interpretacyjnymi.

Zespoły bezpieczeństwa IT

Reagowanie na incydenty i analiza artefaktów bez wynoszenia danych poza organizację.

Audyt i compliance

Inwentaryzacja materiału, kontrola integralności i raporty do postępowań wewnętrznych.

Detektywi i rzeczoznawcy

Kompletny warsztat na jednym laptopie, działający również bez dostępu do sieci.

Studenci kierunków cyber

Cyberbezpieczeństwo, informatyka śledcza i prawo nowych technologii — warsztat na własnym laptopie.

Uczelnie i szkolenia

Jedno środowisko na zajęcia z zabezpieczania nośników i budowy osi czasu, bez dostępu do sieci.

Zespoły CTF i badacze

Carving, analiza pamięci, reguły YARA i graf powiązań w jednym miejscu.

Moduły

Osiem samodzielnych warsztatów w jednej aplikacji

Każdy moduł otwiera się jako osobne okno i pracuje na tym samym materiale sprawy — bez eksportów pośrednich i bez przeklejania ścieżek.

ElPlayer

Nagrania z monitoringu, klatka po klatce

Odtwarzacz przygotowany do materiału dowodowego: precyzyjna oś czasu CFR i VFR, znaczniki Od–Do, obsługa wielu kamer i podzielony ekran.

zrzuty klatek do JPG i eksport wybranego zakresu
formularz analizy z adnotacjami zapisywanymi przy nagraniu
skróty klawiszowe do pracy klatka po klatce

ElPlayer — okno odtwarzacza z osią czasu, znacznikami Od–Do i panelem narzędzi

ElCommander

Dwupanelowa inwentaryzacja z trybem dowodowym

Menedżer plików, który liczy sumy kontrolne w locie i ostrzega, gdy nośnik jest zapisywalny — zanim popełnisz błąd.

porównanie katalogów i wykrywanie różnic
SHA-256 dla zaznaczonych plików i całych drzew
archiwa ZIP AES-256, 7Z i TAR.GZ oraz zabezpieczanie do sprawy

ElCommander — dwa panele plików, tryb dowodowy i pasek sum kontrolnych

ElCarver

Odzyskiwanie skasowanych plików

Dwa tryby pracy: szybki logiczny na NTFS, FAT32 i exFAT oraz głęboki carving sygnaturowy. Źródło otwierane wyłącznie do odczytu.

obrazy, nagrania, dokumenty, archiwa i formaty biurowe
dyski fizyczne oraz obrazy RAW, E01 i AFF4
weryfikacja odzyskanych plików odrzucająca fałszywe trafienia

ElCarver — wybór źródła, trybu skanowania i formatów do odzyskania

ElView

Przegląd i zabezpieczanie fotografii

Podgląd materiału zdjęciowego z kadrowaniem, odczytem metadanych EXIF oraz HEIC i zabezpieczeniem każdego pliku sumą SHA-256.

interaktywne raporty ze znacznikami na zdjęciach
analiza obrazu i metadanych aparatu
bezpośrednie przejście z wyników ElCarvera

Analiza pojedynczego obrazu: metadane EXIF, SHA-256 i ocena autentyczności zdjęcia

ELVoice

Nagrania głosowe: opis i porównanie

Analiza próbek dźwiękowych w całości na Twoim stanowisku. Przebieg fali, spektrogram i porównanie dwóch nagrań z jawnie podaną metodą.

dwadzieścia formatów audio i wideo, w tym AMR, Opus i ścieżka z MP4
przebieg fali i spektrogram zapisywane jako pliki do raportu
wynik porównania z progiem słownym i wypisanymi ograniczeniami

Zobacz przykładowy raport ELVoice

ELVoice Forensics — okno analizy próbki głosowej z przebiegiem fali i spektrogramem

ELTracker

Ślady mobilne z wielu zabezpieczonych źródeł

Lokalna analiza kopii iOS, drzew Android, pamięci współdzielonej, backup.ab oraz Google Takeout bez modyfikowania źródła.

nagrania i transkrypcje aktywności głosowej
kontakty, konta, SIM, frazy Chrome i autouzupełnianie
raporty HTML, PDF, XLSX, CSV i JSON z manifestem SHA-256

ELNetwork

Zrzut ruchu sieciowego, dwa silniki naraz

Analiza plików PCAP Suricatą i Zeekiem w jednym przebiegu. Zrzut pozostaje nienaruszony, a każdy przebieg dostaje własny manifest.

alarmy, połączenia, DNS, HTTP, TLS i pliki w jednym zestawieniu
wyniki obu silników scalone i uporządkowane w czasie
eksport CSV i HTML oraz sumy SHA-256 zrzutu i użytych reguł

ELSandbox

Nieznany plik uruchamiany poza Twoim systemem

Kontrolowana sesja w natywnej Piaskownicy Windows. Do gościa trafia wyłącznie zweryfikowana SHA-256 kopia materiału, tylko do odczytu — katalog sprawy nie jest mapowany nigdy.

schowek, mikrofon, kamera, drukarki i vGPU wyłączone
sieć offline, bezpośrednia albo przez proxy — domyślnie offline
raport HTML z sumami SHA-256 kopii i wyników oraz dziennikiem sesji

ELSandbox — diagnostyka Piaskownicy Windows, sterowanie sesją, profil sieci i dziennik zdarzeń

Model izolacji

Zobacz, co wchodzi do piaskownicy — i co nigdy się w niej nie znajdzie

Ustaw sesję tak, jak ustawiłbyś ją w module. Schemat i konfiguracja .wsb pod spodem zmieniają się dokładnie tak, jak zmienia je ELSandbox — to ten sam zestaw decyzji, nie ilustracja poglądowa.

Tryb sieci Offline Bezpośredni Przez proxy

Narzędzia w piaskownicy Process Monitor Wireshark

Ustawienia sesji Trwały katalog wyników Monitorowanie zachowania wymaga trwałego katalogu wyników

Tryb domyślny i zalecany dla nieznanego pliku. Gość nie ma sieci, więc badany program nie połączy się z serwerem sterującym ani nie pobierze dalszej części ładunku.

Gość korzysta z sieci udostępnionej przez Windows Sandbox. Ruch badanego programu wychodzi na zewnątrz — ten tryb ma sens tylko wtedy, gdy świadomie chcesz obserwować połączenia.

Proxy jest ustawieniem wewnątrz gościa — WinINET, WinHTTP i zmienne środowiskowe — a nie filtrem wymuszanym z zewnątrz. Badany program może je pominąć, użyć innego protokołu albo połączyć się bezpośrednio. Kontrola ruchu wymaga segmentacji sieci po stronie infrastruktury.

Konfiguracja ElSandbox_secure.wsb dla tych ustawień

<Configuration>
  <VGpu>Disable</VGpu>
  <Networking>DisableEnableEnable</Networking>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>%LOCALAPPDATA%\EvidLock\ElSandbox\sessions\20260827_014522_9f3ac1b8\input</HostFolder>
      <SandboxFolder>C:\EvidLock\Input</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>%LOCALAPPDATA%\EvidLock\ElSandbox\sessions\20260827_014522_9f3ac1b8\control</HostFolder>
      <SandboxFolder>C:\EvidLock\Control</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>D:\Sprawy\PR-2-Ds-114-2026\ElSandbox_Output_20260827_014522_9f3ac1b8</HostFolder>
      <SandboxFolder>C:\EvidLock\Output</SandboxFolder>
      <ReadOnly>false</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>C:\Program Files\Sysinternals</HostFolder>
      <SandboxFolder>C:\EvidLock\Tools\procmon</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>C:\Program Files\Wireshark</HostFolder>
      <SandboxFolder>C:\EvidLock\Tools\wireshark</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>powershell.exe -NoLogo -NoProfile -ExecutionPolicy Bypass -File C:\EvidLock\Control\bootstrap.ps1</Command>
  </LogonCommand>
  <AudioInput>Disable</AudioInput>
  <VideoInput>Disable</VideoInput>
  <PrinterRedirection>Disable</PrinterRedirection>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <ProtectedClient>Enable</ProtectedClient>
  <MemoryInMB>4096</MemoryInMB>
</Configuration>

Oś czasu i graf dowodów

Tysiące zdarzeń układają się w jedną historię

Profilowanie aktywności zestawia zdarzenia EVTX, rejestru, Prefetch, LNK, Jump Lists, ShellBags, USBSTOR, Amcache, ShimCache, SRUM, procesów, połączeń sieciowych i przeglądarek w jednej osi czasu UTC.

Deterministyczna korelacja

Zawsze wiadomo, dlaczego coś zostało połączone

Nad znormalizowanymi rekordami pracuje lokalny graf z 15 jawnymi regułami korelacji. Kliknięcie krawędzi pokazuje regułę, poziom pewności, wyjaśnienie, ograniczenia i identyfikatory dowodów.

panel „Dlaczego połączono?” przy każdej relacji
wersjonowane mapowanie MITRE ATT&CK 19.1
eksport JSON, samodzielny HTML, XLSX i plik sum SHA-256

Oś czasu i graf powiązań dowodów z panelem wyjaśnienia reguły korelacji

Plaso

Pełna oś czasu z obrazu nośnika

Wskazujesz obraz nośnika, a EvidLock buduje z niego pełną oś czasu i wczytuje ją wprost do grafu powiązań. Bez przeklejania plików między narzędziami.

źródło otwierane wyłącznie do odczytu
postęp pracy widoczny na bieżąco
wynik od razu w osi czasu i grafie

Okno tworzenia osi czasu Plaso z postępem pracy

Integracja z Plaso. Oś czasu powstaje w całości na Twoim stanowisku, a materiał źródłowy pozostaje nienaruszony. Funkcja jest dostępna niezależnie od wybranego wariantu instalacji.

Pamięć operacyjna

To, co znika po odłączeniu zasilania

Klucze szyfrujące, otwarte połączenia, procesy i treści, które nigdy nie trafiły na dysk, istnieją wyłącznie w pamięci. Zabezpieczenie jej to czynność, której nie da się powtórzyć.

Zrzut i analiza

WinPmem i Volatility 3 w jednym oknie

Zrzut pamięci wykonywany narzędziem WinPmem, z widocznym postępem i sumą SHA-256 liczoną od razu. Analiza uruchamiana wprost na pozyskanym obrazie.

gotowe wtyczki: procesy, sieć, wiersze poleceń, Malfind, lista bibliotek
opcjonalne pozyskanie pagefile.sys, swapfile.sys i hiberfil.sys
raporty TXT, CSV, XLSX, HTML i PDF

Moduł Pamięć: zrzut WinPmem, suma SHA-256 i wtyczki Volatility 3

Edytor HEX

Dwadzieścia gigabajtów bez ładowania do pamięci

Podgląd HEX zrzutu z odczytem stronicowanym — obraz nie jest wczytywany w całości, więc plik o rozmiarze kilkudziesięciu gigabajtów otwiera się natychmiast.

skok pod dowolny adres i nawigacja po stronach
wyszukiwanie tekstu jako ASCII, UTF-16 LE oraz bajtów HEX
lista trafień z adresem, typem i podglądem kontekstu

Podgląd HEX zrzutu pamięci z odczytem stronicowanym i wyszukiwarką ciągów

Menadżer obrazów

Dwa zrzuty obok siebie, jedna odpowiedź

Porównanie dwóch obrazów pamięci: sumy SHA-256 liczone dla obu i zestawione wprost. Pozwala wykazać, że kopia jest wierna oryginałowi.

zestawienie nazwy, ścieżki, rozmiaru i dat obu zrzutów
obliczanie i porównywanie sum kontrolnych
wybór obrazu przekazywanego do dalszej analizy

Manager pamięci: dwa zrzuty RAM zestawione do porównania sum SHA-256

Moduł jest oznaczony jako beta. Zrzut pamięci wymaga uprawnień administratora i zawsze zmienia stan badanego systemu — nie da się go pozyskać bez śladu. Podajemy to wprost, bo tę okoliczność trzeba odnotować w dokumentacji czynności.

Raporty i dziennik zdarzeń

Każda czynność zostawia ślad — i sama trafia do dokumentacji

Praca dowodowa nie kończy się na ustaleniu, tylko na tym, czy da się je odtworzyć i wykazać. EvidLock zapisuje przebieg na bieżąco.

Dziennik zdarzeń

Ciągły zapis przebiegu pracy

Każda operacja trafia do dziennika z czasem, poziomem, numerem porządkowym, modułem i czasem wykonania. Zapis idzie na bieżąco, więc raport nie jest osobnym zadaniem na koniec dnia.

filtrowanie na żywo po treści wpisu
interaktywny raport HTML z sortowaniem
eksport dziennika do PDF i XLSX
raport końcowy sprawy zbierający całość czynności
liczniki plików, raportów i wpisów w panelu sprawy

Zobacz przykładowy raport HTML

Okno dziennika zdarzeń: wpisy z czasem, poziomem, numerem porządkowym i modułem

Logi Windows

Eksport dzienników systemowych do akt

Zdarzenia aplikacji, zabezpieczeń, ustawień i systemu eksportowane z wybranym zakresem czasu i limitem rekordów.

XLSX, EVTX, PDF i TXT w jednym przebiegu
sumy SHA-256 i atrybut tylko do odczytu na plikach wynikowych
zakres od ostatnich 24 godzin po własny przedział dat

Opcje eksportu logów systemowych z sumami SHA-256

Dokumentacja nadaje się do akt od razu — bez ręcznego porządkowania, przepisywania i liczenia sum kontrolnych osobnym narzędziem.

Zakres pracy

Od zabezpieczenia nośnika do raportu końcowego

Integralność materiału

SHA-256 plików i katalogów, deterministyczne manifesty, BLAKE3 do szybkiej inwentaryzacji, MD5 wyłącznie jako wartość zgodnościowa.

One-Click

Jedno kliknięcie: atrybut tylko do odczytu, kontrola szyfrowania, sumy kontrolne, manifest, raport i hasłowane archiwum.

Pamięć RAM

Zrzut przez WinPmem, opcjonalnie pagefile, swapfile i hiberfil, analiza w Volatility 3 i sumy kontrolne. Moduł w wersji beta.

Obrazy nośników

Obrazowanie dysków i woluminów do RAW/ISO, montowanie, porównywanie obrazów oraz odczyt E01/Ex01 i AFF4.

Analiza sprawy

Wspólna baza dla siedmiu niezależnych skanów: sygnatury plików, szyfrowanie, zbiory hashy, YARA, dzienniki SQLite, kopie telefonów i Sleuth Kit.

Przeglądarki

Historia, zakładki, pobrane pliki, cookies, cache i metadane zapisanych haseł, z filtrem treści ryzykownych.

Rejestr i logi Windows

Eksport rejestru do .hiv, CSV, XLSX, TXT i PDF oraz logów systemowych do XLSX, EVTX, PDF i TXT.

Wyszukiwanie treści

Wielowątkowe wyszukiwanie fraz w nazwach i wnętrzu plików tekstowych, PDF, Office, OpenDocument oraz EML.

Raporty i dziennik

Raporty PDF, CSV, TXT i XLSX, raport końcowy sprawy oraz dziennik operacji z interaktywnym raportem HTML.

Wykrywanie szyfrowania

BitLocker, LUKS, FileVault oraz zaszyfrowane archiwa, dokumenty i klucze. Kontenery bez sygnatury zgłaszane jako podejrzenie, nigdy jako pewnik.

Odzysk z dzienników SQLite

Adresy, kontakty i ścieżki wydobywane z plików WAL i journal — z zapisów, które nie trafiły jeszcze do bazy przeglądarki albo komunikatora.

Kopie telefonów

Rozpoznawanie kopii iTunes/Finder i adb backup: model urządzenia, wersja systemu, data kopii, liczba plików i informacja o szyfrowaniu.

Analiza głosu

Opis właściwości nagrania oraz porównanie dwóch próbek z przebiegiem fali i spektrogramem. Wynik jest przesłanką, nigdy identyfikacją mówcy.

Ruch sieciowy

Zrzuty PCAP analizowane Suricatą i Zeekiem: alarmy, połączenia, DNS, HTTP, TLS i pliki w jednym zestawieniu, z manifestem do powtórzenia analizy.

Izolowane uruchamianie

Nieznany plik otwierany w natywnej Piaskownicy Windows: zweryfikowana kopia tylko do odczytu, sieć domyślnie wyłączona, katalog sprawy nigdy nie mapowany.

Wydania

EvidLock dla Windows

Jeden instalator aplikacji, trzy warianty przenośne i cztery moduły z własnymi instalatorami. Wszystkie mają ten sam silnik i ten sam format sprawy.

Faza testowa. EvidLock nie ma jeszcze wydania produkcyjnego — trwają testy, a zakres i zachowanie modułów mogą się jeszcze zmienić.

Pobieranie wstrzymane — Pliki zostaną udostępnione po zakończeniu podpisywania cyfrowego i opublikowaniu sum kontrolnych SHA-256.

Aplikacja główna

INSTALL
PORTABLE ONEDIR
PORTABLE ONEFILE
PORTABLE SFX

Moduły z własnym instalatorem

ElCommander + ElFTP
ElNotes
ElVoice
ElPlayer

Szczegóły wydań na evidlock.pl

Instalator czy wersja przenośna? Instalator zapisuje program w systemie, tworzy skróty i obsługuje aktualizacje. Wersja przenośna działa z pendrive'a, bez instalacji — startuje jednak zauważalnie dłużej, bo przy każdym uruchomieniu rozpakowuje paczkę.

Każde komercyjne wydanie wymaga klucza ELP1. Bez klucza program uruchamia się w trybie demonstracyjnym z limitem uruchomień.

Pełne opisy wydań, wymagania i sumy kontrolne znajdziesz na evidlock.pl. Przed uruchomieniem porównaj sumę SHA-256 pliku z wartością podaną przy wydaniu.

Bezpieczeństwo

Analiza pozostaje lokalna

EvidLock przetwarza materiał na komputerze operatora. Serwer aktualizacji udostępnia wyłącznie pliki programu, a serwer aktywacji kluczy ELP1 obsługuje licencję i pseudonimowe identyfikatory — nie odbiera analizowanych plików.

Integralność

Instalatory mają publikowane sumy SHA-256. Aktualizacje produkcyjne wymagają dodatkowo prawidłowego podpisu Authenticode.

Minimalizacja

API aktywacji przyjmuje tylko dane konieczne do weryfikacji limitu urządzeń i uruchomień.

Odseparowanie

Strona, pliki aktualizacji i panel licencyjny działają w osobnych subdomenach.

Audyt

Wydane przedłużenia i decyzje serwera są zapisywane w kontrolowanym dzienniku.

Uczciwie o granicach narzędzia

EvidLock porządkuje i koreluje artefakty, ale nie przypisuje automatycznie działań konkretnej osobie. Każde powiązanie w grafie ma jawną regułę, poziom pewności i wypisane ograniczenia — to Ty wyciągasz wnioski i to Ty je obronisz.

Szczegóły wydań na evidlock.pl Kontakt