Статья Autopsy — цифровая криминалистическая платформа

P

Pirnazar

Well-known member
18.07.2018
161
219


Цифровая криминалистическая платформа: Autopsy

Autopsy является цифровой криминалистической платформой и графическим интерфейсом для The Sleuth Kit® и других инструментов криминалистических анализа. Она используется правоохранительными, военными и корпоративными экспертами для расследования того, что произошло на компьютере. Вы даже можете использовать его для восстановления фотографий с карты памяти вашей камеры.




Autopsy была разработана, чтобы быть сразу интуитивно понятной. Установка простая, а руководство по использованию разъяснит вам каждый шаг. Все результаты находятся в одном дереве. Смотри страницу intuitive для получения больших деталей.

Расширяемая

Autopsy была разработана сквозной платформой со всеми её стандартными модулями и теми, которые доступны от третьих лиц. Некоторые из модулей предоставляют:
  • – Усовершенствованный графический интерфейс просмотра событий (видеоурок в комплекте).
  • Hash Filtering – Помечает не очень известные вредоносные файлы и игнорирует хорошо известные.
  • – Индексированный поиск по ключевому слову для поиска файлов, в которых указаны соответствующие термины.
  • – Извлекает историю, закладки, файлы и cookie из Firefox, Chrome и IE.
  • Data Carving – Восстановление удаленных файлов из нераспределенного пространства с помощью PhotoRec
  • Multimedia – Извлекает EXIF из фотографий и просматривает видео.
  • Indicators of Compromise – Сканирует компьютер с помощью STIX.
Быстрая

Все хотят получить результат еще вчера. Autopsy запускает фоновые задания в параллельно используемых множественных ядрах и предоставляет вам результаты, как только они будут найдены. Это может занять несколько часов, чтобы полностью провести поиск в накопителе, но вы будете знать уже через несколько минут, содержит ли пользовательская домашняя директория заданные вами ключевые слова. Для получения большей информации смотрите страницу fast results.

Очень рентабельная

Autopsy бесплатная. Поскольку бюджеты сокращаются, необходимы экономически эффективные решения для цифровой криминалистики. Autopsy предлагает те же самые ключевые особенности, как и другие цифровые криминалистические инструменты, а также некоторые необходимые свойства, такие как анализ веб-артефактов и анализ реестра, которые другие платные инструменты не предоставляют.



Анализ свойств Autopsy

Ниже приведен список свойств Autopsy.
  • Позволяет сотрудничать с другими экспертами по крупным делам.
  • Отображает системные события в графическом интерфейсе, чтобы помочь идентифицировать активность.
  • Модули поиска текста и индекс поиска позволяют вам находить файлы, в которых упоминаются конкретные термины, и находить шаблоны регулярных выражений.
  • Извлекает веб-активность из обычных браузеров, чтобы помочь определить активность пользователя.

  • Registry Analysis: Использует RegRipper для определения недавно открытых документов и USB-устройств.
  • LNK File Analysis: Определяет сокращения и доступные документы.
  • Email Analysis: Разбирает сообщения формата MBOX, такие как Thunderbird.
  • EXIF: Извлекает геолокационную информацию о камерах из файлов JPEG.
  • File Type Sorting: Группирует файлы по их типу, чтобы найти все изображения или документы.
  • Media Playback: Просматривает видео и изображения в приложении и не требует средства внешнего просмотра.
  • Thumbnail viewer: Отображает эскизы изображений для быстрого просмотра картинок.
  • Robust File System Analysis: Поддержка общих файловых систем, включая NTFS, FAT12/FAT16/FAT32/ExFAT, HFS+, ISO9660 (CD-ROM), Ext2/Ext3/Ext4, Yaffs2, и UFS из .
  • Hash Set Filtering: Отфильтровывает хорошо известные файлы и помечает известные вредоносные файлы, используя пользовательский hashsets в форматах HashKeeper, md5sum, и EnCase.
  • Tags: Помечает файлы с произвольными именами, такие как ‘bookmark'(закладка) или ‘suspicious'(подозрительный), и добавляет комментарии.
  • Unicode Strings Extraction: Извлекает строки из нераспределенного пространства и неизвестные типы файлов на многих языках (арабском, китайском, японском и т. д.).
  • Определение типов файлов основывается на сигнатурах и на определении несоответствия расширения.
  • Интересный модуль файлов будет отмечать файлы и папки на основе имени и пути.
  • Поддержка Android: Извлекает данные из SMS, журнала звонков, контактов, Tango, Words with Friends, и из других источников.
Создание отчетов

Autopsy имеет очень гибкую инфраструктуру создания отчетов, которая позволяет создать дополнительный тип отчета специально для расследований. По умолчанию, доступны HTML, XLS, и Body файлы отчета. Каждый из них настраивается в зависимости от типа информации, необходимой для следователя в его отчете:
  • HTML и Excel: HTML и Excel отчеты предназначены для пакетированных и совместно используемых отчетов. Они могут включать в себя ссылки на помеченные файлы вместе с комментариями и заметками вставленных следователем, также как и другие данные автоматических поисков, которые Autopsy проводит на протяжении сбора данных. К ним относятся закладки, история веб-поиска, последние документы, обращения к ключевым словам, хиты hashset, установленные программы, подключенные устройства, файлы cookie, загрузки и поисковые запросы.
  • : В первую очередь, для анализа временной шкалы, этот файл будет включать в себя MAC times для каждого файла в формате XML для импорта с помощью внешних инструментов, таких как в The Sleuth Kitthis.
Следователь может составить более одного отчета за раз, а также редактировать один из существующих отчетов или создать новый модуль отчетности, чтобы настроить его поведении под конкретные нужды пользователя.

Перевод: Анна Давыдова
Источник:
 
I

Igor_Mich

Member
13.05.2019
13
5
"Быстрая...Очень рентабельная"

Многое пропускает и кучу чего не поддерживает. В общем, удачи вам в работе с этой программой.

Идеально соответствует мему: «Быстро, качественно, недорого — выбирайте любые два пункта»
 
InetTester

InetTester

Well-known member
21.10.2018
177
35
В Kali пробовал скормить ей образ полученный с помощью Acronis, в результате программа постоянно зависала и образ так и не открылся. В win версии получаю сообщение о невозможности определения файловой системы образа(там ntfs), выходит образ снимать требуется только с помощью dd либо с помощью других специально заточенных под криминалистический анализ утилит?
Код:
Errors occurred while ingesting image
1. Cannot determine file system type (Sector offset: 0)
 
Последнее редактирование:
  • Нравится
Реакции: munikut
Sunnych

Sunnych

Mod. Forensics
Gold Team
01.06.2018
223
1 027
В Kali пробовал скормить ей образ полученный с помощью Acronis, в результате программа постоянно зависала и образ так и не открылся. В win версии получаю сообщение о невозможности определения файловой системы образа(там ntfs), выходит образ снимать требуется только с помощью dd либо с помощью других специально заточенных под криминалистический анализ утилит?
Код:
Errors occurred while ingesting image
1. Cannot determine file system type (Sector offset: 0)
Подробнее чем монтировали или в каком формате образ скармливали, если монтировали то чем (ArsenalImageMounter или FTK Imager)?
 
B

blacksert

Member
02.11.2019
7
0
В Kali пробовал скормить ей образ полученный с помощью Acronis, в результате программа постоянно зависала и образ так и не открылся. В win версии получаю сообщение о невозможности определения файловой системы образа(там ntfs), выходит образ снимать требуется только с помощью dd либо с помощью других специально заточенных под криминалистический анализ утилит?
Код:
Errors occurred while ingesting image
1. Cannot determine file system type (Sector offset: 0)
Так же получал сообщение о неизвестном типе файловой системе. Делал с образ с помощью dd на Android. Может быть просто у Андроид зашифрованная файловая система?
 
I

Igor_Mich

Member
13.05.2019
13
5
Так же получал сообщение о неизвестном типе файловой системе. Делал с образ с помощью dd на Android. Может быть просто у Андроид зашифрованная файловая система?
Ну или какая-то не поддерживаемая: F2FS, yaffs2 и т.п.
 
B

blacksert

Member
02.11.2019
7
0
Ну или какая-то не поддерживаемая: F2FS, yaffs2 и т.п.
Возможно. Не подскажете какой софт может восстановить удаленные файлы с образа диска андроид?
Видимо придется тему создавать, не нашел в разделе Форензика разбора о восстановление удаленных файлов на Андроиде
 
Мы в соцсетях: