【Autopsy数字取证篇】Autopsy案例创建与镜像分析详细教程

系统环境

Windows 11 专业工作站版，[22H2（22621.819）]

Autopsy，[4.19.3]

测试镜像格式，[E01格式]

Disk Image or VM File

磁盘镜像或虚拟机文件

对于磁盘映像，Autopsy目前支持 E01 和原始 （dd） 文件。

Local Disk

本地磁盘

对于"本地磁盘"，请选择检测到的磁盘之一。Autopsy会将磁盘的当前视图添加到案例中（即元数据的快照）。但是，单个文件内容（不是元数据）确实会随着对磁盘所做的更改而更新。可以选择创建从本地磁盘读取的所有数据到 VHD 文件的副本，这对于会审情况非常有用。请注意，您可能需要以管理员身份运行 Autopsy 才能检测所有磁盘。

Logical Files

逻辑文件

对于逻辑文件（单个文件或文件文件夹），请使用"添加"按钮将系统上的一个或多个文件或文件夹添加到机箱中。文件夹将以递归方式添加到案例中。

Unallocated Space Image File

未分配空间映像文件

/

Autopsy Logical Imager Results

Autopsy逻辑成像仪结果

/

XRY Text Export

XRY文本导出

/

最近活动模块(recent_activity)

取由 Web 浏览器和操作系统保存的用户活动。还在注册表配置单元上运行 Regripper。

查找模块使用哈希(hash_db)

哈希查找模块使用哈希集忽略 NIST NSRL 中的已知文件并标记已知的错误文件。使用"高级"按钮添加和配置在此过程中要使用的哈希集。在发生摄取时，您将获得有关已知错误文件命中的更新。稍后可以通过主 UI 中的"工具"->"选项"菜单添加哈希集。您可以从http://sourceforge.net/projects/autopsy/files/NSRL/ 下载 NIST NSRL 的索引

文件类型识别模块根据(file_type_identification)

文件类型识别模块根据签名确定文件类型，并根据MIME类型报告它们。它将结果存储在黑板中，许多模块都依赖于此。它使用Tika开源库。您可以在工具、选项、文件类型中定义自己的自定义文件类型。

扩展名不匹配检测器模块(extension_mismatch_detector)

扩展名不匹配检测器模块使用文件类型识别的结果，并标记扩展名传统上与文件检测到的类型无关的文件。忽略"已知"（NSRL） 文件。您可以在工具、选项、文件扩展名不匹配中自定义每个 MIME 类型的 MIME 类型和文件扩展名。

嵌入式文件提取模块(embedded_file_extractor)

嵌入式文件提取模块打开 ZIP、RAR 和其他存档格式、文档、文档、文档、PPT、PPTX、XLS 和 XLSX，并通过摄取管道将这些文件中的派生文件发送回进行分析。

图片分析器模块(exif_parser)

图片分析器模块从 JPEG 文件中提取 EXIF 信息，并将结果发布到主 UI 中的树中。还将HEIC / HEIF文件转换为JPEG格式，并从这些JPEG中提取EXIF数据。

关键字搜索模块使用关键字(keyword_search)列表

关键字搜索模块使用关键字列表来识别包含特定单词的文件。您可以选择要自动搜索的关键字列表，也可以使用"高级"按钮创建新列表。请注意，使用关键字搜索，您始终可以在收录完成后进行搜索。您将定期搜索您在摄取期间选择的关键字列表，并且您将实时获得结果。在执行关键字搜索之前，您无需等待所有文件都编制索引，但是在执行搜索时，您只会从已编制索引的文件中获得结果。

电子邮件解析器模块(email_parser)

电子邮件解析器模块根据文件签名识别 Thunderbird MBOX 文件和 PST 格式文件，从中提取电子邮件，将结果添加到 Blackboard。

加密检测模块查找加密(encryption)

加密检测模块查找加密文件。

有趣的文件标识符模块(interesting_files_identifier)

有趣的文件标识符模块根据用户在工具、选项、感兴趣的文件中指定的规则搜索文件和目录。它用作"文件警报模块"。找到指定的文件时，它会在收件箱中生成邮件。

中央存储库(central_repo#cr_ingest_module)

中央存储库模块将文件哈希和其他提取的属性添加到中央存储库中，以便将来进行关联并标记以前值得注意的文件。

PhotoRec Carver(photorec_carver)

PhotoRec Carver模块从未分配的空间中雕刻文件，并通过文件处理链发送它们。

虚拟机提取器模块从虚拟机(vm_extractor)文

虚拟机提取器模块从虚拟机文件中提取数据

数据源完整性模块(data_source_integrity)

数据源完整性模块计算 E01 文件的校验和，并与 E01 文件的内部校验和进行比较，以确保它们匹配。

DJI 无人机分析(drone)

DJI 无人机分析器从无人机文件中提取数据。

Plaso 使用 Plaso(plaso)创建时间线事件。

Plaso 使用 Plaso创建时间线事件。

Android Analyzer Module(android_analyzer)

Android Analyzer Module允许您解析来自 Android 设备的常见项目。将工件放入黑板。

GPX 分析器(gpx)

GPX 分析器从.gpx文件中提取地理位置数据。

iOS Analyzer （iLEAPP） 从 iOS(ileapp)

iOS Analyzer （iLEAPP） 从 iOS 数据源中提取数据。

时间轴

时间线功能可以从"工具"菜单或工具栏或通过"时间轴"按钮打开。这将显示使用各种显示技术按时间组织的文件系统和其他事件。

图片库

图像库侧重于显示按文件夹组织的数据源中的图片和视频。一旦文件经过哈希处理并提取EXIF数据，它就会向您显示文件。您可以从"工具"菜单或通过"图片库"按钮打开它。

通信

通信界面侧重于显示与哪些帐户通信最多以及发送了哪些消息。它使您可以专注于特定日期范围内的某些关系或通信。您可以从"工具"菜单或通过"通信"按钮打开它。

地理位置

"地理位置"面板显示一张地图，其中包含案例中找到的所有地理位置结果的标记。您可以从"工具"菜单或通过"地理位置"按钮打开它。

发现

"发现"面板允许您在案例中搜索不同类型的数据，并以易于查看的形式显示这些数据。您可以从"工具"菜单或通过"发现"按钮打开它。

角色

"角色"面板用于创建和管理角色。通过创建角色，您可以将一个或多个帐户与名称和其他数据相关联。您可以从"工具"菜单或通过"角色"按钮打开它。

网络工件

如果要查看用户最近的 Web 活动，请确保已启用"最近活动引入"模块。然后，您可以转到左侧树中的"结果"节点，然后转到"提取的数据"节点。在那里，您可以找到书签、cookie、下载和历史记录。

已知错误的哈希文件

如果要查看数据源是否具有已知的错误文件，请确保已启用哈希查找引入模块。然后，您可以在左侧树的"结果"区域中查看"哈希集命中"部分。请注意，哈希查找可能需要很长时间，因此只要摄取过程正在进行，就会更新此部分。使用"收录收件箱"跟踪最近发现的已知错误文件。当您在此界面中找到已知的坏文件时，您可能希望右键单击该文件以查看文件的原始位置。您可能会找到与此文件相关并存储在同一文件夹中的其他文件。

媒体：图片和视频

如果您想查看磁盘映像上的所有图像和视频，请转到左侧树中的"视图"部分，然后转到"文件类型"。选择"图像"或"视频"。您可以使用右上角的缩略图选项查看所有图像的缩略图。您可以从右上角选择图像或视频，并在右下角查看视频或图像。视频将以声音播放。

All Results

所有的结果

All Tagged Results

所有标记结果

Specific Tagged Results

特定标记结果

记录

开始编辑：2022 年 12 月 03 日

最后编辑：2022 年 12 月 04 日