运行isDeleted条件后，“Recovered Folders”的确切含义是什么？

Question

现在，我正在使用外壳7分析一些设备。 在这项工作中，我将[条件]设置为[已删除 - ＆gt;真正]。 运行结束后，一些文件显示在encase窗口上，每个项目路径都设置为{Case Name} {Evidence} {Volume Label} \ Recovered Folders {文件名}。

显然，我知道这项工作与“包装处理”不同。

每个结果的信息都没有确切的文件路径，那么RECOVERED FOLDERS的确切含义是什么？

Answer 1

在EnCase中，＆＃34;恢复的文件夹＆＃34;是一个虚拟文件夹，用于保存对处理源时所删除文件/文件夹的引用。此虚拟文件夹通常位于卷的根目录，这是您在案例中看到的。

换句话说，您在其中看到的是EnCase在处理过程中找到的已删除文件/文件夹。