autopsy - 解剖法医学ブラウザ
autopsy [-c] [-C] [-d evid_locker ] [-i device filesystem mnt ] [-p port ] [addr]
デフォルトでは、autopsy はポート 9999 で Autopsy Forensic Browser サーバーを起動し、ローカルホストからの接続を受け入れます。 -p port が指定されている場合、サーバーはそのポートで開き、addr が指定されている場合は、そのホストからの接続のみが受け入れられます。 -i 引数が指定されると、解剖はライブ分析モードに入ります。
引数は次のとおりです。
ローカルホストに対しても Cookie を使用するようにプログラムに強制します。
プログラムがリモート ホストに対しても Cookie を使用しないように強制します。
ケースとホストが保存されるディレクトリ。これにより、conf.pl の LOCKDIR 値がオーバーライドされます。パスはフル パス (つまり、/ で始まる) である必要があります。
ライブ解析モードの情報を指定します。これは必要に応じて何度でも指定できます。 device フィールドは raw ファイル システム デバイス用、filesystem フィールドはファイル システム タイプ用、mnt フィールドはマウント用です。ファイルシステムのポイント。
サーバーがリッスンする TCP ポート。
調査員がいる場所の IP アドレスまたはホスト名。 localhost を使用する場合は、URL で「localhost」を使用する必要があります。実際のホスト名または IP を使用すると、拒否されます。
プログラムを開始すると、HTML ブラウザに貼り付ける URL が表示されます。ブラウザはフレームとフォームをサポートする必要があります。 Autopsy Forensic Browser を使用すると、捜査官は証拠のために dd(1) によって生成された画像を分析できます。このプログラムを使用すると、ファイル、ブロック、inode を参照したり、ブロックを検索したりすることで画像を分析できます。このプログラムは、収集時刻、調査員の名前、MD5 ハッシュ値を含む解剖レポートも生成します。
次の変数は conf.pl. で設定できます。
1 (デフォルトは 0) に設定すると、STIMEOUT 秒間非アクティブ状態が続いた後にサーバーが終了します (デフォルトは 3600)。 Cookie を使用しない場合は、この設定をお勧めします。
ケースとフォレンジック画像が配置されるディレクトリ。画像には、文字、数字、「_」、「-」、「.」のみを使用した単純な名前を付ける必要があります。 (「ファイル」を参照)。
The Sleuth Kit バイナリが配置されるディレクトリ。
NIST National Software Reference Library (NSRL) の場所。
Autopsy がインストールされたディレクトリ。
grep(1) バイナリの場所。
strings(1) バイナリの場所。
証拠ロッカーには、すべてのケースとホストが保存されます。ケースごとにディレクトリが存在するディレクトリです。各ケース ディレクトリには、ホストごとにディレクトリがあります。
このファイルは、ケースのケース構成ファイルです。これには、ケースの説明とホストのデフォルトのサブディレクトリが含まれています。
このファイルには、この事件を担当する捜査官のリストが含まれています。これらはログ記録のみに使用され、認証には使用されません。
このファイルには、ホスト構成の詳細が保存されます。これは、Autopsy の以前のバージョンの「fsmorgue」ファイルに似ています。これにはホスト内の各ファイルのエントリがあり、ホストの説明が含まれます。
一部のディレクトリにはこのファイルが含まれます。これには、ディレクトリ内の重要なファイルの MD5 値が含まれています。これにより、画像の整合性を簡単に検証できます。
autopsy -p 8888 10.1.34.19
dd(1), fls(1), ffind(1), ifind(1), grep(1), icat(1) md5(1), strings(1),
Autopsy Forensic Browser にはSleuth Kit
オートプシーはオートプシー v1.0で初登場しました。
このソフトウェアは、GNU General Public License に基づいて配布されます。
ブライアン・キャリア
ドキュメントの更新を