autopsy - Autopsyjna przeglądarka kryminalistyczna
autopsy [-c] [-C] [-d evid_locker ] [-i device filesystem mnt ] [-p port ] [addr]
Domyślnie autopsja uruchamia serwer Autopsy Forensic Browser na porcie 9999 i akceptuje połączenia z hosta lokalnego. Jeśli podano -p port, to serwer otwiera się na tym porcie, a jeśli podano addr, to połączenia są akceptowane tylko z tego hosta. Po podaniu argumentu -i autopsja przechodzi w tryb analizy na żywo.
Argumenty są następujące:
Zmuś program do używania plików cookie nawet dla hosta lokalnego.
Wymuś, aby program nie używał plików cookie nawet dla zdalnych hostów.
Katalog, w którym przechowywane są sprawy i hosty. To zastępuje wartość LOCKDIR w conf.pl. Ścieżka musi być pełną ścieżką (tzn. zaczynać się od /).
Określ informacje dla trybu analizy na żywo. Można to określić tyle razy, ile potrzeba. Pole urządzenie dotyczy surowego urządzenia systemu plików, pole system plików dotyczy typu systemu plików, a pole mnt dotyczy montowania punkcie systemu plików.
Port TCP, na którym serwer ma nasłuchiwać.
Adres IP lub nazwa hosta, pod którym znajduje się badacz. Jeśli używany jest localhost, w adresie URL musi być użyty „localhost”. Jeśli użyjesz rzeczywistej nazwy hosta lub adresu IP, zostaną one odrzucone.
Po uruchomieniu program wyświetli adres URL do wklejenia w przeglądarce HTML. Przeglądarka musi obsługiwać ramki i formularze. Autopsy Forensic Browser pozwoli badaczowi na analizę obrazów wygenerowanych przez dd(1) w celu uzyskania dowodów. Program umożliwia analizę obrazów poprzez przeglądanie plików, bloków, i-węzłów lub przeszukiwanie bloków. Program generuje również raporty z sekcji zwłok, które obejmują czas zbierania, nazwisko badacza i wartości skrótu MD5.
W conf.pl. można ustawić następujące zmienne
Gdy ustawione na 1 (domyślnie 0), serwer zakończy działanie po STIMEOUT sekundach braku aktywności (domyślnie 3600). To ustawienie jest zalecane, jeśli pliki cookie nie są używane.
Katalog, w którym znajdują się sprawy i obrazy kryminalistyczne. Obrazy muszą mieć proste nazwy zawierające tylko litery, cyfry, „_”, „-” i „.”. (Patrz PLIKI).
Katalog, w którym znajdują się pliki binarne The Sleuth Kit.
Lokalizacja NIST National Software Reference Library (NSRL).
Katalog, w którym zainstalowano Autopsję.
Lokalizacja pliku binarnego grep(1).
Lokalizacja pliku binarnego strings(1).
Schowek na dowody to miejsce, w którym będą zapisywane wszystkie sprawy i hosty. Jest to katalog, który będzie miał katalog dla każdego przypadku. Każdy katalog spraw będzie miał katalog dla każdego hosta.
Ten plik jest plikiem konfiguracyjnym sprawy dla sprawy. Zawiera opis sprawy i domyślne podkatalogi dla hostów.
Ten plik zawiera listę śledczych, którzy wykorzystają tę sprawę. Służą one tylko do logowania, a nie do uwierzytelniania.
W tym pliku zapisywane są szczegóły konfiguracji hosta. Jest podobny do pliku „fsmorgue” z poprzednich wersji Autopsy. Zawiera wpis dla każdego pliku w hoście i zawiera opis hosta.
Niektóre katalogi będą zawierały ten plik. Zawiera wartości MD5 dla ważnych plików w katalogu. Ułatwia to weryfikację integralności obrazów.
autopsy -p 8888 10.1.34.19
dd(1), fls(1), ffind(1), ifind(1), grep(1), icat(1) md5(1), strings(1),
Autopsy Forensic Browser wymaga zestawu Sleuth
autopsja pojawiła się po raz pierwszy w autopsji v1.0.
To oprogramowanie jest rozpowszechniane na licencji GNU General Public License.
Brian Carrier
Wyślij aktualizacje dokumentacji do