Autopsy - Криминалистический анализ содержимого носителей информации и папок

Программа для криминалистики позволяющая анализировать содержимое носителя информации или указанной папки, которая является графическим интерфейсом к The Sleuth Kit и других инструментов цифровой криминалистики. Она может использоваться правоохранительными органами, военными и корпоративными службами безопасности для расследования произошедшего на компьютере. Можно использовать для восстановления фотографий с карты памяти камеры. Также она позволяет искать текст в файлах множества форматов, включая doc и docx.

Autopsy позволяет эффективно анализировать жесткие диски и смартфоны. Он имеет подключаемую архитектуру, которая позволяет находить дополнительные модули или разрабатывать пользовательские модули в Java или Python.

Особенности:

• анализ временной шкалы: отображает системные события в графическом интерфейсе для определения активности;
• поиск по ключевым словам: модули поиска текста и индексирования позволяют находить файлы, в которых упоминаются конкретные термины, и найти шаблоны регулярных выражений;
• веб-артефакты: извлекает веб-активность из общих браузеров, чтобы помочь определить активность пользователя;
• анализ реестра: использует RegRipper для идентификации недавно доступных документов и USB-устройств;
• анализ файлов LNK: определение сокращений и доступ к документам;
• Email анализ: Анализирует MBOX сообщений формата, такие как Thunderbird.
• EXIF: извлекает географическое местоположение и информацию о камере из файлов JPEG;
• сортировка типов файлов: группируйте файлы по их типу, чтобы найти все изображения или документы;
• воспроизведение мультимедиа: просмотр видео и изображений в приложении не требуя внешнего просмотрщика;
• просмотр миниатюр: отображение миниатюр изображений для быстрого просмотра изображений;
• файловый системный анализ: поддержка общих файловых систем, включая NTFS, FAT12 / FAT16 / FAT32 / ExFAT, HFS +, ISO9660 (CD-ROM), Ext2 / Ext3 / Ext4, Yaffs2 и UFS из набора Sleuth;
• хеш-фильтрация: фильтрация известных хороших файлов с помощью NSRL и отметка известных плохих файлов с помощью пользовательских хэш-наборов в форматах HashKeeper, md5sum и EnCase;
• Unicode Strings Extraction: извлекает строки из нераспределенного пространства и неизвестные типы файлов на многих языках (арабском, китайском, японском и т.д.);
• обнаружение типа файла, основанного на обнаружении подписи;
• модуль интересных файлов будет отмечать файлы и папки на основе имени и пути;
• поддержка Android: извлекает данные из SMS, журналов вызовов, контактов, сообщений с друзьями и т.д.;
• Autopsy анализирует образы дисков, локальные диски или папку с локальными файлами. Образы дисков могут быть в формате raw / dd или E01. Поддержка E01 обеспечивается libewf.

Программа была разработана, чтобы быть интуитивно понятной прямо из коробки. Все результаты отображены в одном дереве.

Autopsy была разработана как платформа с модулями, которые поставляются с ней из коробки, и другими, которые доступны от сторонних производителей. Некоторые из модулей обеспечивают:

• анализ временной шкалы - расширенный интерфейс просмотра графических событий;
• хеш-фильтрация - флаг известных плохих файлов и игнорирование известных хороших;
• поиск по ключевым словам - поиск по ключевым словам для поиска файлов, в которых указаны соответствующие ключевые слова;
• веб-артефакты - извлечение истории, закладок и файлов cookie из Firefox, Chrome и IE;
• восстановление удаленных файлов из нераспределенного пространства с помощью PhotoRec;
• извлечение EXIF ​​из фотографий и просмотр видео;
• сканирование компьютера с использованием STIX.

Программа выполняет параллельные задания с использованием нескольких ядер и предоставляет результаты сразу же после их обнаружения. Для полного поиска может потребоваться несколько часов.

Программа позволяет создавать дополнительные типы отчетов для проведения расследований. По умолчанию доступны отчеты HTML, XLS и Body. Каждый из них настраивается в зависимости от того, какую информацию следователь хотел бы включить в свой отчет.