映像檔，是一個等著被掛上的磁碟

每一個光碟映像、每一份磁碟原始映像，功能上都是一套沒有接上磁碟代號的檔案系統。常見的替代做法都略有問題。把內容解壓出來，要佔掉空間，還破壞了「它是一份映像」這件事的價值。開一台虛擬機進去看，只為了讀兩個檔案，未免太重。而把它掛載起來——那本來就是映像被設計出來的用途——是最輕的一條路，也是最多人忘記存在的選項。

這套工具就做這一件事，而且做得正確。光碟映像或磁碟原始映像被掛成一個有代號的虛擬磁碟，出現在檔案總管裡，行為和實體磁碟完全一樣：雙擊打開、把檔案複製出來、照常瀏覽。多個映像可以同時掛載，互不干擾。事情做完，卸載，系統回到原本的樣子，不留驅動、也不留一個要你去刪的空資料夾。

兩個看出功力的細節

第一個是唯讀掛載，而在取證或驗證的場合裡，那就是全部的重點。以唯讀方式掛上的磁碟寫不進去，所以你在瀏覽時做的任何動作都動不到來源。對一個正在檢視來路不明映像的人，或是在把擷取到的映像與雜湊值比對的人來說，這項紀律不是方便，而是必要。一個預設以可寫方式掛載、然後祈禱使用者會小心的工具，遲早會毀掉某個人的證據。

第二個是記憶體磁碟，那是藏在同一個屋簷下的另一個功能。一段記憶體被當成磁碟呈現，速度受記憶體限制而不是受任何線材或控制器限制，這讓它成為暫存檔、解壓快取與大型建置暫存空間的理想位置。它也會在機器斷電時徹底消失，於是寫在裡面的敏感材料也一併帶走。

它的分寸感值得學習：叫它掛載就好好掛載，叫它拒絕寫入就寸步不讓，快是快在記憶體裡。每個功能都待在自己的界線之內。

自動化不是事後補的

命令列介面是完整的，於是本來手動的例行工作可以變成腳本。一個每週要處理一整批映像的分析者，可以把全部掛上、抽出要緊的部分、再全部卸載，全程不必碰介面。一個建置流程可以在測試前掛上一份磁碟映像，測試後卸掉。這項能力，把「偶爾方便一下的小工具」與「進入工作流的一環」分開。

廠商在取證領域深耕多年，而這會在細節上露出來：掛載選項有文件、對不尋常分割配置的行為有被考慮過、而且工具不會對它裡面找到的東西自作聰明。這份資歷對你重不重要，取決於你在掛什麼；但只要結論必須站得住腳，它就是一個偏好它的合理理由。

避開明顯錯誤的習慣

來路不明的映像，一律唯讀掛載，沒有例外。記憶體磁碟給一個你負擔得起的容量，而不是對話框允許的最大值，因為記憶體磁碟是從其他所有東西那裡拿走記憶體，而它長太大的症狀，是系統開始把資料置換到硬碟。刪除或搬動來源映像之前先卸載，因為已掛載的映像正在被使用，那個檔案會顯示為被鎖住。還有，記住你選了哪個磁碟代號，在一台已經有幾個網路磁碟的機器上，選錯代號就是令人困惑的五分鐘。

如果掛載失敗，原因通常在映像而不在工具：下載不完整、分割成多段的格式，或是系統不認得的檔案系統。先比對檔案大小與預期值，不一致就是答案。兩分鐘的確認，可以省下一個下午對軟體的冤枉。

它不是用來做什麼的

它不是轉檔工具、不是編輯器、也不是修復工具。它會讓你看見映像裡有什麼、讓你拿走東西；如果裡面的檔案系統壞了，它也只會讓你看見一個壞掉的檔案系統。轉檔另有工具；要修一份已掛載的映像，正確做法是先把資料複製出來，再對著副本動手。對一個掛載工具期待更多，正是對它失望的常見來源。

它也不能取代正經的備份驗證，雖然它幫得上忙：把最近一份映像掛起來、打開幾個資料夾，那是五秒鐘的確認，而大多數人會跳過。每次備份之後做一次這個檢查。那是這整門學問裡最便宜的保險。