EvidLockV2

Forensic Evidence Tool pro Windows

Bezpečná práces digitálními důkazy

EvidLock zajišťuje, analyzuje a dokumentuje digitální materiál v jediném prostředí — od kontrolního součtu po hotový protokol. Vše lokálně: bez cloudu, bez účtu, bez odesílání čehokoli ven.

Zobrazit vydání Podívat se, co zůstane ve spisu

GRAF VAZEB — ŽIVĚ

15 PRAVIDEL — každá hrana má pravidlo, míru jistoty a vypsaná omezení

0 bajtů

odesláno ven

15 pravidel

zveřejněné korelace důkazů

8 modulů

Player · View · Commander · Carver · Voice · Tracker · Network · Sandbox

SHA-256

v každé fázi práce

Pro koho

Určeno bezpečnostním složkám. Otevřeno každému, kdo pracuje s digitálním důkazem.

Opakovatelnost úkonů, čitelná auditní stopa a prokazatelná souvislost mezi výsledkem a zdrojem — to jsou požadavky trestního řízení. Tytéž požadavky má znalec, tým reakce na incidenty, auditor i student, který se metodiku teprve učí.

Bezpečnostní složky a policie

Zajišťování nosičů, opakovatelný průběh úkonů a dokumentace připravená do spisu.

Znalci a advokátní kanceláře

Posudky opřené o ověřitelné kontrolní součty, s otevřeně uvedenými mezemi výkladu.

Týmy IT bezpečnosti

Reakce na incidenty a analýza artefaktů bez vynášení dat mimo organizaci.

Audit a compliance

Inventarizace materiálu, kontrola integrity a protokoly pro vnitřní řízení.

Detektivové a odhadci

Kompletní dílna na jediném notebooku, funkční i bez přístupu k síti.

Studenti kybernetických oborů

Kybernetická bezpečnost, forenzní informatika a právo nových technologií — dílna na vlastním notebooku.

Vysoké školy a školení

Jedno prostředí pro výuku zajišťování nosičů a stavby časové osy, bez přístupu k síti.

Týmy CTF a badatelé

Carving, analýza paměti, pravidla YARA a graf vazeb na jednom místě.

Moduly

Osm samostatných dílen v jediné aplikaci

Každý modul se otevírá jako samostatné okno a pracuje nad týmž materiálem případu — bez mezikroků s exportem a bez přepisování cest.

ElPlayer

Kamerové záznamy, snímek po snímku

Přehrávač připravený pro důkazní materiál: přesná časová osa CFR i VFR, značky Od–Do, obsluha více kamer a rozdělená obrazovka.

snímky do JPG a export zvoleného rozsahu
formulář analýzy s poznámkami ukládanými u záznamu
klávesové zkratky pro práci snímek po snímku

ElPlayer — okno přehrávače s časovou osou, značkami Od–Do a panelem nástrojů

ElCommander

Dvoupanelová inventarizace s důkazním režimem

Správce souborů, který počítá kontrolní součty za běhu a upozorní, když je nosič zapisovatelný — dříve než uděláte chybu.

porovnání složek a hledání rozdílů
SHA-256 pro vybrané soubory i celé stromy
archivy ZIP AES-256, 7Z a TAR.GZ a zajištění do případu

ElCommander — dva panely souborů, důkazní režim a lišta kontrolních součtů

ElCarver

Obnova smazaných souborů

Dva režimy práce: rychlý logický na NTFS, FAT32 a exFAT a hloubkový signaturový carving. Zdroj se otevírá výhradně pro čtení.

obrázky, záznamy, dokumenty, archivy a kancelářské formáty
fyzické disky i obrazy RAW, E01 a AFF4
ověření obnovených souborů zamítající falešné nálezy

ElCarver — volba zdroje, režimu prohledávání a formátů k obnově

ElView

Prohlížení a zajišťování fotografií

Náhled obrazového materiálu s ořezem, čtením metadat EXIF i formátu HEIC a zajištěním každého souboru součtem SHA-256.

interaktivní protokoly se značkami ve fotografiích
analýza obrazu a metadat přístroje
přímý přechod z výsledků ElCarveru

Analýza jednotlivého snímku: metadata EXIF, SHA-256 a posouzení pravosti fotografie

ELVoice

Hlasové nahrávky: popis a porovnání

Analýza zvukových vzorků zcela na vašem pracovišti. Průběh vlny, spektrogram a porovnání dvou nahrávek s otevřeně uvedenou metodou.

dvacet zvukových a obrazových formátů včetně AMR, Opus a zvukové stopy z MP4
průběh vlny a spektrogram ukládané jako soubory do protokolu
výsledek porovnání se slovním stupněm a vypsanými omezeními

Prohlédnout ukázkový protokol ELVoice

ELVoice Forensics — okno analýzy hlasového vzorku s průběhem vlny a spektrogramem

ELTracker

Mobilní stopy z více zajištěných zdrojů

Lokální analýza záloh iOS, stromů Android, sdíleného úložiště, backup.ab a Google Takeout bez změny zdroje.

nahrávky a přepisy hlasové aktivity
kontakty, účty, SIM, dotazy Chrome a automatické vyplňování
reporty HTML, PDF, XLSX, CSV a JSON s manifestem SHA-256

ELNetwork

Záznam provozu, dva nástroje najednou

Analýza souborů PCAP nástroji Suricata a Zeek v jediném průchodu. Záznam zůstává nedotčen a každý průchod dostane vlastní manifest.

výstrahy, spojení, DNS, HTTP, TLS a soubory v jednom přehledu
výsledky obou nástrojů sloučené a seřazené v čase
export do CSV a HTML a součty SHA-256 záznamu i použitých pravidel

ELSandbox

Neznámý soubor běží mimo váš systém

Řízená relace v nativní Windows Sandbox. Do hosta se dostane výhradně kopie materiálu ověřená SHA-256, pouze pro čtení — složka případu se nemapuje nikdy.

schránka, mikrofon, kamera, tiskárny a vGPU vypnuty
síť offline, přímá nebo přes proxy — ve výchozím stavu offline
protokol HTML se SHA-256 kopií i výsledků a s deníkem relace

ELSandbox — diagnostika Windows Sandbox, řízení relace, síťový profil a deník událostí

Model izolace

Podívejte se, co do sandboxu vstoupí — a co se v něm nikdy neocitne

Nastavte relaci tak, jak byste ji nastavili v modulu. Schéma i konfigurace .wsb níže se mění přesně tak, jak je mění ELSandbox — jde o tytéž volby, ne o názornou ilustraci.

Režim sítě Offline Přímý Přes proxy

Nástroje v sandboxu Process Monitor Wireshark

Nastavení relace Trvalá složka výsledků Sledování chování vyžaduje trvalou složku výsledků

Výchozí a doporučený režim pro neznámý soubor. Host nemá síť, zkoumaný program se tedy nespojí s řídicím serverem ani nestáhne zbytek své zátěže.

Host používá síť sdílenou Windows Sandboxem. Provoz zkoumaného programu opouští počítač — tento režim dává smysl jen tehdy, chcete-li spojení vědomě pozorovat.

Proxy je nastavení uvnitř hosta — WinINET, WinHTTP a proměnné prostředí — nikoli filtr vynucený zvenčí. Zkoumaný program je může obejít, použít jiný protokol nebo se spojit přímo. Kontrola provozu vyžaduje segmentaci sítě na straně infrastruktury.

Konfigurace ElSandbox_secure.wsb pro toto nastavení

<Configuration>
  <VGpu>Disable</VGpu>
  <Networking>DisableEnableEnable</Networking>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>%LOCALAPPDATA%\EvidLock\ElSandbox\sessions\20260827_014522_9f3ac1b8\input</HostFolder>
      <SandboxFolder>C:\EvidLock\Input</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>%LOCALAPPDATA%\EvidLock\ElSandbox\sessions\20260827_014522_9f3ac1b8\control</HostFolder>
      <SandboxFolder>C:\EvidLock\Control</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>D:\Sprawy\PR-2-Ds-114-2026\ElSandbox_Output_20260827_014522_9f3ac1b8</HostFolder>
      <SandboxFolder>C:\EvidLock\Output</SandboxFolder>
      <ReadOnly>false</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>C:\Program Files\Sysinternals</HostFolder>
      <SandboxFolder>C:\EvidLock\Tools\procmon</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>C:\Program Files\Wireshark</HostFolder>
      <SandboxFolder>C:\EvidLock\Tools\wireshark</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>powershell.exe -NoLogo -NoProfile -ExecutionPolicy Bypass -File C:\EvidLock\Control\bootstrap.ps1</Command>
  </LogonCommand>
  <AudioInput>Disable</AudioInput>
  <VideoInput>Disable</VideoInput>
  <PrinterRedirection>Disable</PrinterRedirection>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <ProtectedClient>Enable</ProtectedClient>
  <MemoryInMB>4096</MemoryInMB>
</Configuration>

Časová osa a graf důkazů

Tisíce událostí se skládají v jeden příběh

Profilování aktivity spojuje události z EVTX, registru, Prefetch, LNK, Jump Lists, ShellBags, USBSTOR, Amcache, ShimCache, SRUM, procesů, síťových spojení a prohlížečů do jediné časové osy v UTC.

Deterministická korelace

Vždy je jasné, proč byly dvě věci spojeny

Nad normalizovanými záznamy pracuje lokální graf s 15 zveřejněnými korelačními pravidly. Kliknutí na hranu ukáže pravidlo, míru jistoty, vysvětlení, omezení a identifikátory důkazů.

panel „Proč bylo spojeno?“ u každého vztahu
verzované mapování MITRE ATT&CK 19.1
export do JSON, samostatného HTML, XLSX a souboru součtů SHA-256

Časová osa a graf vazeb důkazů s panelem vysvětlení korelačního pravidla

Plaso

Úplná časová osa z obrazu nosiče

Ukážete na obraz nosiče a EvidLock z něj sestaví úplnou časovou osu a načte ji rovnou do grafu vazeb. Bez přenášení souborů mezi nástroji.

zdroj otevřený výhradně pro čtení
průběh práce viditelný průběžně
výsledek ihned v časové ose a grafu

Okno tvorby časové osy Plaso s průběhem práce

Propojení s Plaso. Časová osa vzniká celá na vašem pracovišti a zdrojový materiál zůstává nedotčen. Funkce je dostupná bez ohledu na zvolenou variantu instalace.

Operační paměť

To, co mizí po odpojení napájení

Šifrovací klíče, otevřená spojení, procesy a obsah, který se nikdy nedostal na disk, existují výhradně v paměti. Její zajištění je úkon, který nelze zopakovat.

Výpis a analýza

WinPmem a Volatility 3 v jednom okně

Výpis paměti pořízený nástrojem WinPmem, s viditelným průběhem a součtem SHA-256 počítaným ihned. Analýza se spouští přímo nad pořízeným obrazem.

připravené moduly: procesy, síť, příkazové řádky, Malfind, seznam knihoven
volitelné pořízení pagefile.sys, swapfile.sys a hiberfil.sys
protokoly TXT, CSV, XLSX, HTML a PDF

Modul Paměť: výpis WinPmem, součet SHA-256 a moduly Volatility 3

Editor HEX

Dvacet gigabajtů bez načtení do paměti

Náhled HEX výpisu se stránkovaným čtením — obraz se nenačítá celý, takže soubor o velikosti několika desítek gigabajtů se otevře okamžitě.

skok na libovolnou adresu a pohyb po stránkách
hledání textu jako ASCII, UTF-16 LE i bajtů HEX
seznam nálezů s adresou, typem a náhledem kontextu

Náhled HEX výpisu paměti se stránkovaným čtením a vyhledáváním řetězců

Správce obrazů

Dva výpisy vedle sebe, jedna odpověď

Porovnání dvou obrazů paměti: součty SHA-256 spočítané pro oba a postavené přímo vedle sebe. Umožňuje prokázat, že kopie je věrná originálu.

přehled názvu, cesty, velikosti a dat obou výpisů
výpočet a porovnání kontrolních součtů
volba obrazu předávaného k další analýze

Správce paměti: dva výpisy RAM postavené vedle sebe k porovnání součtů SHA-256

Modul je označen jako beta. Výpis paměti vyžaduje oprávnění správce a vždy mění stav zkoumaného systému — nelze jej pořídit beze stopy. Uvádíme to otevřeně, protože tuto okolnost je třeba zaznamenat v dokumentaci úkonu.

Protokoly a žurnál událostí

Každý úkon zanechá stopu — a sám se dostane do dokumentace

Důkazní práce nekončí zjištěním, ale tím, zda je lze zopakovat a prokázat. EvidLock zapisuje průběh průběžně.

Žurnál událostí

Souvislý zápis průběhu práce

Každá operace se dostane do žurnálu s časem, úrovní, pořadovým číslem, modulem a dobou trvání. Zápis běží průběžně, takže protokol není samostatným úkolem na konec dne.

filtrování naživo podle obsahu záznamu
interaktivní protokol HTML s řazením
export žurnálu do PDF a XLSX
závěrečný protokol případu shrnující všechny úkony
počty souborů, protokolů a záznamů v panelu případu

Prohlédnout ukázkový protokol HTML

Okno žurnálu událostí: záznamy s časem, úrovní, pořadovým číslem a modulem

Protokoly Windows

Export systémových protokolů do spisu

Události aplikací, zabezpečení, nastavení a systému exportované se zvoleným časovým rozsahem a limitem záznamů.

XLSX, EVTX, PDF a TXT v jediném průchodu
součty SHA-256 a atribut jen pro čtení na výstupních souborech
rozsah od posledních 24 hodin po vlastní interval dat

Volby exportu systémových protokolů se součty SHA-256

Dokumentace je použitelná do spisu ihned — bez ručního uspořádávání, přepisování a počítání kontrolních součtů samostatným nástrojem.

Rozsah práce

Od zajištění nosiče po závěrečný protokol

Integrita materiálu

SHA-256 souborů a složek, deterministické manifesty, BLAKE3 pro rychlou inventarizaci, MD5 výhradně jako hodnota pro kompatibilitu.

One-Click

Jedno kliknutí: atribut jen pro čtení, kontrola šifrování, kontrolní součty, manifest, protokol a archiv chráněný heslem.

Paměť RAM

Výpis přes WinPmem, volitelně pagefile, swapfile a hiberfil, analýza ve Volatility 3 a kontrolní součty. Modul ve verzi beta.

Obrazy nosičů

Pořizování obrazů disků a svazků do RAW/ISO, připojení, porovnávání obrazů a čtení E01/Ex01 a AFF4.

Analýza případu

Společná databáze pro sedm nezávislých průchodů: signatury souborů, šifrování, sady hashů, YARA, žurnály SQLite, zálohy telefonů a Sleuth Kit.

Prohlížeče

Historie, záložky, stažené soubory, cookies, mezipaměť a metadata uložených hesel, s filtrem rizikového obsahu.

Registr a protokoly Windows

Export registru do .hiv, CSV, XLSX, TXT a PDF a systémových protokolů do XLSX, EVTX, PDF a TXT.

Vyhledávání obsahu

Vícevláknové hledání frází v názvech i uvnitř textových souborů, PDF, Office, OpenDocument a EML.

Protokoly a žurnál

Protokoly PDF, CSV, TXT a XLSX, závěrečný protokol případu a žurnál operací s interaktivním protokolem HTML.

Detekce šifrování

BitLocker, LUKS, FileVault i šifrované archivy, dokumenty a klíče. Kontejnery bez signatury hlášeny jako podezření, nikdy jako jistota.

Obnova z žurnálů SQLite

Adresy, kontakty a cesty získané ze souborů WAL a journal — ze zápisů, které se ještě nedostaly do databáze prohlížeče nebo komunikátoru.

Zálohy telefonů

Rozpoznání záloh iTunes/Finder a adb backup: model zařízení, verze systému, datum zálohy, počet souborů a informace o šifrování.

Analýza hlasu

Popis vlastností nahrávky a porovnání dvou vzorků s průběhem vlny a spektrogramem. Výsledek je podnětem, nikdy identifikací mluvčího.

Síťový provoz

Záznamy PCAP analyzované nástroji Suricata a Zeek: výstrahy, spojení, DNS, HTTP, TLS a soubory v jednom přehledu, s manifestem pro zopakování analýzy.

Izolované spuštění

Neznámý soubor otevřený v nativní Windows Sandbox: ověřená kopie jen pro čtení, síť ve výchozím stavu vypnutá, složka případu se nikdy nemapuje.

Vydání

EvidLock pro Windows

Jeden instalátor aplikace, tři přenosné varianty a čtyři moduly s vlastními instalátory. Všechny mají stejné jádro i stejný formát případu.

Fáze testování. EvidLock zatím nemá produkční vydání — testy probíhají a rozsah i chování modulů se ještě mohou změnit.

Stahování pozastaveno — Soubory budou zveřejněny po dokončení digitálního podepsání a zveřejnění kontrolních součtů SHA-256.

Hlavní aplikace

INSTALL
PORTABLE ONEDIR
PORTABLE ONEFILE
PORTABLE SFX

Moduly s vlastním instalátorem

ElCommander + ElFTP
ElNotes
ElVoice
ElPlayer

Podrobnosti o vydáních na evidlock.pl

Instalátor, nebo přenosná verze? Instalátor zapíše program do systému, vytvoří zástupce a řeší aktualizace. Přenosná verze běží z flash disku bez instalace — startuje však znatelně déle, protože se při každém spuštění rozbaluje.

Každé komerční vydání vyžaduje klíč ELP1. Bez klíče se program spustí v ukázkovém režimu s omezeným počtem spuštění.

Úplné popisy vydání, požadavky a kontrolní součty najdete na evidlock.pl. Před spuštěním porovnejte součet SHA-256 souboru s hodnotou uvedenou u vydání.

Bezpečnost

Analýza zůstává lokální

EvidLock zpracovává materiál na počítači operátora. Server aktualizací poskytuje výhradně soubory programu a aktivační server klíčů ELP1 obsluhuje licenci a pseudonymní identifikátory — analyzované soubory k němu nikdy nedorazí.

Integrita

K instalátorům jsou zveřejňovány součty SHA-256. Produkční aktualizace navíc vyžadují platný podpis Authenticode.

Minimalizace

Aktivační API přijímá jen údaje nutné k ověření limitu zařízení a spuštění.

Oddělení

Web, soubory aktualizací a licenční konzole běží na samostatných subdoménách.

Audit

Vydaná prodloužení a rozhodnutí serveru se zapisují do kontrolovaného deníku.

Poctivě o mezích nástroje

EvidLock uspořádává a koreluje artefakty, ale nepřipisuje automaticky jednání konkrétní osobě. Každá vazba v grafu má zveřejněné pravidlo, míru jistoty a vypsaná omezení — závěry vyvozujete vy a vy je také obhájíte.

Podrobnosti o vydáních na evidlock.pl Kontakt