autopsy - 부검 법의학 브라우저
autopsy [-c] [-C] [-d evid_locker ] [-i device filesystem mnt ] [-p port ] [addr]
기본적으로 부검은 포트 9999에서 Autopsy Forensic Browser 서버를 시작하고 localhost의 연결을 수락합니다. -p port가 주어지면 서버는 해당 포트에서 열리고 addr이 주어지면 해당 호스트에서만 연결이 허용됩니다. -i 인수가 제공되면 부검이 실시간 분석 모드로 들어갑니다.
인수는 다음과 같습니다.
프로그램이 localhost에 대해서도 쿠키를 사용하도록 강제합니다.
프로그램이 원격 호스트에 대해서도 쿠키를 사용하지 않도록 강제합니다.
사례 및 호스트가 저장되는 디렉터리입니다. 이것은 conf.pl의 LOCKDIR 값을 재정의합니다. 경로는 전체 경로여야 합니다(예: /로 시작).
라이브 분석 모드에 대한 정보를 지정합니다. 필요한 만큼 여러 번 지정할 수 있습니다. device 필드는 원시 파일 시스템 장치용이고 filesystem 필드는 파일 시스템 유형용이며 mnt 필드는 마운트용입니다. 파일 시스템의 포인트.
서버가 수신할 TCP 포트입니다.
조사자가 위치한 IP 주소 또는 호스트 이름. localhost를 사용하는 경우 URL에 'localhost'를 사용해야 합니다. 실제 호스트 이름이나 IP를 사용하면 거부됩니다.
프로그램이 시작되면 HTML 브라우저에 붙여넣을 수 있는 URL이 표시됩니다. 브라우저는 프레임과 양식을 지원해야 합니다. Autopsy Forensic Browser는 수사관이 증거를 위해 dd(1)에 의해 생성된 이미지를 분석할 수 있도록 합니다. 이 프로그램을 사용하면 파일, 블록, inode를 찾아보거나 블록을 검색하여 이미지를 분석할 수 있습니다. 이 프로그램은 또한 수집 시간, 조사자 이름 및 MD5 해시 값을 포함하는 부검 보고서를 생성합니다.
conf.pl.에서 설정할 수 있는 변수는 다음과 같습니다.
1(기본값은 0)로 설정하면 STIMEOUT초 동안 활동이 없으면 서버가 종료됩니다(기본값은 3600). 쿠키를 사용하지 않는 경우 이 설정을 권장합니다.
사례 및 포렌식 이미지가 있는 디렉토리입니다. 이미지는 문자, 숫자, '_', '-' 및 '.'만으로 이루어진 단순한 이름이어야 합니다. (파일 참조).
The Sleuth Kit 바이너리가 있는 디렉토리입니다.
NIST 국립 소프트웨어 참조 라이브러리(NSRL)의 위치.
Autopsy가 설치된 디렉토리입니다.
grep(1) 바이너리의 위치.
strings(1) 바이너리의 위치.
Evidence Locker는 모든 사건과 호스트가 저장되는 곳입니다. 각 경우에 대한 디렉토리가 있는 디렉토리입니다. 각 사례 디렉터리에는 각 호스트에 대한 디렉터리가 있습니다.
이 파일은 케이스에 대한 케이스 구성 파일입니다. 여기에는 호스트에 대한 사례 및 기본 하위 디렉터리에 대한 설명이 포함됩니다.
이 파일에는 이 사례를 사용할 수사관 목록이 포함되어 있습니다. 이는 인증이 아닌 로깅에만 사용됩니다.
이 파일은 호스트 구성 세부 정보가 저장되는 위치입니다. 이전 버전의 Autopsy의 'fsmorgue' 파일과 유사합니다. 호스트의 각 파일에 대한 항목이 있으며 호스트 설명을 포함합니다.
일부 디렉토리에는 이 파일이 있습니다. 디렉터리의 중요한 파일에 대한 MD5 값을 포함합니다. 이렇게 하면 이미지의 무결성을 쉽게 확인할 수 있습니다.
autopsy -p 8888 10.1.34.19
dd(1), fls(1), ffind(1), ifind(1), grep(1), icat(1) md5(1), strings(1),
부검 법의학 브라우저에는 The Sleuth Kit가 필요합니다.
부검은 부검 v1.0에서 처음 등장했습니다.
이 소프트웨어는 GNU General Public License에 따라 배포됩니다.
브라이언 캐리어
문서 업데이트를