*

--------------------------------------------------
Note added at 7 mins (2017-05-09 04:43:22 GMT)
--------------------------------------------------

What is Forensic Hard Drive Imaging? - Forensicon
https://www.forensicon.com/resources/articles/what-is-forens...

== BEGIN QUOTE ==

What is Forensic Hard Drive Imaging?
(Sometimes referred to as Hard Drive Cloning, Mirror Image or Mirror Imaging)

When a computer is identified as possibly containing electronic evidence, it is imperative to follow a strict set of procedures to ensure a proper (i.e. admissible) extraction of any evidence that may exist on the subject computer. The first thing to remember is the “golden rule of electronic evidence” – never, in any way, modify the original media if at all possible. Thus, before any data analysis occurs, it usually makes sense to create an exact, bit stream copy of the original storage media that exists on the subject computer. A forensic image, is sometimes referred to as a mirror image or ghost image. Mirror imaging or ghost imaging does not always generate a true forensic image. The same is true for cloning a hard drive. A forensic image may include a single or multiple hard drives, floppy disk(s), CD(s), Zip drive(s) or DVD(s), plus many other types of storage media that now exist. Imaging the subject media by making a bit-for-bit copy of all sectors on the media is a well-established process that is commonly performed on the hard drive level, hence often referred to as hard drive imaging, bit stream imaging or forensic imaging.

== END QUOTE ==

(подчеркивание мое)


--------------------------------------------------
Note added at 11 mins (2017-05-09 04:47:33 GMT)
--------------------------------------------------

Техническое обеспечение компьютерной криминалистики — продолжение / Блог компании Учебный центр «Информзащита» / Хабрахабр
https://habrahabr.ru/company/uc_itsecurity/blog/266663/

== BEGIN QUOTE ==

Чтобы обеспечить соблюдение процессуальных требований, компьютерно-техническая экспертиза должна проводиться в пять этапов:
• Обследование выключенного компьютера. На этом этапе проверяется целостность печатей или пломб, эти печати фотографируются, после чего осуществляется вскрытие корпуса компьютера, осмотр и фотографирование внутреннего устройства компьютера. На этом этапе также выявляется наличие аппаратных «закладок» на исследуемом компьютере, предназначенных для уничтожения информации на жестком диске в случае несанкционированного включения компьютера.
• Загрузка на исследуемом компьютере доверенной операционной системы или демонтаж жесткого диска и подключение его к компьютеру эксперта через блокиратор записи. Создание образа исследуемого жесткого диска на компьютере эксперта.
• Загрузка на исследуемом компьютере подсистемы BIOS. На этом этапе контролируется аппаратная конфигурация исследуемого компьютера и установленное системное время.
• Исследование образа диска с помощью соответствующих инструментальных средств.
• Интерпретация результатов и подготовка заключения.
При подключении исследуемого жесткого диска к компьютеру эксперта осуществляется создание образа этого жесткого диска на компьютере эксперта. Эту операцию также желательно производить с помощью соответствующих инструментальных средств. В случае использования общесистемного программного обеспечения, например Symantec Ghost, перед экспертом встает проблема доказывания неизменности образа диска во время производства экспертизы. Для этого придется либо использовать дорогостоящие средства защиты от несанкционированного доступа, существенно снижающие производительность и удобство работы с системой. Специализированное же ПО автоматически делит образ диска на порции и каждую из них подписывает цифровой подписью. После этого, если цифровая подпись одного или нескольких фрагментов оказывается при производстве экспертизы некорректной, данные фрагменты просто исключаются из исследуемых материалов или осуществляется повторное создание образа с исходного диска.

== END QUOTE ==

(подчеркивание мое)


--------------------------------------------------
Note added at 1 hr (2017-05-09 05:41:30 GMT)
--------------------------------------------------

Расширенный вариант:

снятие образа диска для компьютерно-технической экспертизы

Если контекст позволяет, то, по идее, можно использовать первоначальный краткий вариант.