autopsy - Forensischer Autopsie-Browser
autopsy [-c] [-C] [-d evid_locker ] [-i device filesystem mnt ] [-p port ] [addr]
Standardmäßig startet autopsy den Autopsy Forensic Browser-Server auf Port 9999 und akzeptiert Verbindungen vom lokalen Host. Wenn -p port angegeben ist, öffnet sich der Server auf diesem Port und wenn addr angegeben ist, werden Verbindungen nur von diesem Host akzeptiert. Wenn das Argument -i angegeben wird, wechselt die Autopsie in den Live-Analysemodus.
Die Argumente lauten wie folgt:
Erzwingen Sie, dass das Programm Cookies verwendet, auch für localhost.
Erzwingen Sie, dass das Programm keine Cookies verwendet, auch nicht für Remote-Hosts.
Verzeichnis, in dem Fälle und Hosts gespeichert sind. Dies überschreibt den LOCKDIR-Wert in conf.pl. Der Pfad muss ein vollständiger Pfad sein (d. h. mit/beginnen).
Geben Sie die Informationen für den Live-Analysemodus an. Dies kann beliebig oft angegeben werden. Das Feld device ist für das Rohdateisystemgerät, das Feld filesystem für den Dateisystemtyp und das Feld mnt für das Mounten Punkt des Dateisystems.
TCP-Port, den der Server abhören soll.
IP-Adresse oder Hostname des Standorts des Ermittlers. Wenn localhost verwendet wird, muss „localhost“ in der URL verwendet werden. Wenn Sie den tatsächlichen Hostnamen oder die tatsächliche IP verwenden, wird diese abgelehnt.
Beim Start zeigt das Programm eine URL an, die Sie in einen HTML-Browser einfügen können. Der Browser muss Frames und Formulare unterstützen. Der Autopsy Forensic Browser ermöglicht es einem Ermittler, von dd(1) generierte Bilder auf Beweise zu analysieren. Das Programm ermöglicht die Analyse der Bilder durch Durchsuchen von Dateien, Blöcken, Inodes oder durch Durchsuchen der Blöcke. Das Programm generiert außerdem Autopsieberichte, die den Zeitpunkt der Sammlung, den Namen des Ermittlers und MD5-Hashwerte enthalten.
Die folgenden Variablen können in conf.pl. gesetzt werden
Bei der Einstellung 1 (Standard ist 0) wird der Server nach STIMEOUT Sekunden Inaktivität beendet (Standard ist 3600). Diese Einstellung wird empfohlen, wenn keine Cookies verwendet werden.
Verzeichnis, in dem sich Fälle und forensische Bilder befinden. Die Bilder müssen einfache Namen haben, die nur Buchstaben, Zahlen, „_“, „-“ und „.“ enthalten. (Siehe DATEIEN).
Verzeichnis, in dem sich die Binärdateien von The Sleuth Kit befinden.
Standort der NIST National Software Reference Library (NSRL).
Verzeichnis, in dem Autopsy installiert wurde.
Speicherort der Binärdatei grep(1).
Speicherort der Binärdatei strings(1).
Im Evidence Locker werden alle Fälle und Hosts gespeichert. Es ist ein Verzeichnis, das für jeden Fall ein Verzeichnis hat. Jedes Fallverzeichnis verfügt über ein Verzeichnis für jeden Host.
Diese Datei ist die Fallkonfigurationsdatei für den Fall. Es enthält die Beschreibung des Falls und Standardunterverzeichnisse für die Hosts.
Diese Datei enthält die Liste der Ermittler, die diesen Fall bearbeiten werden. Diese werden nur zur Protokollierung und nicht zur Authentifizierung verwendet.
In dieser Datei werden die Hostkonfigurationsdetails gespeichert. Sie ähnelt der Datei „fsmorgue“ aus früheren Versionen von Autopsy. Es verfügt über einen Eintrag für jede Datei im Host und enthält die Hostbeschreibung.
Einige Verzeichnisse enthalten diese Datei. Es enthält MD5-Werte für wichtige Dateien im Verzeichnis. Dies erleichtert die Validierung der Integrität von Bildern.
autopsy -p 8888 10.1.34.19
dd(1), fls(1), ffind(1), ifind(1), grep(1), icat(1) md5(1), strings(1),
Für den Autopsy Forensic Browser ist The Sleuth Kit
autopsy erschien erstmals in Autopsy v1.0.
Diese Software wird unter der GNU General Public License vertrieben.
Brian Carrier
Senden Sie Dokumentationsaktualisierungen an