Ci sono degli standard per l'acquisizione di immagini disco del software in medicina legale?

Questo documento in Digital Investigation fornisce una risposta definitiva. Dalla conclusione:

We conclude that even though disk alterations are made, they can be documented through experimentation, which can help during an investigation when a question arises on the integrity of using a bootable CD/DVD during an investigation. With the proper testing to support their choice of examination environment and to document and explain any minor changes that environment may make to the original disk, it may therefore be possible for an examiner to justify the use of a particular bootable CD/ DVD. Whether any changes are justifiable or not, what is certain is that rigorous testing of bootable forensic examination environments is required to support their usage in digital forensics, and that such environments, even community-developed forensics-dedicated distributions, cannot be assumed to be safe without such testing

Quindi la risposta è "non usarlo" per evitare il pignoramento durante la prova.

The overall question would be: is using a software-only solution to acquire a hard drive image sufficient from a forensics perspective?

Dipende dallo scopo. Se si sta rispondendo a un incidente e si ha la necessità di visualizzare l'unità senza disturbare la macchina, potrebbe essere opportuno utilizzare il blocco della scrittura del software.

Tuttavia, se pensate che i risultati saranno utilizzati in tribunale, direi per favore basta usare un blocco di scrittura hardware. Se solo perché la conservazione / protezione dei dati è manifestamente più evidente ... e le apparenze significano molto in alcuni casi.