autopsy - Navegador forense de autópsia
autopsy [-c] [-C] [-d evid_locker ] [-i device filesystem mnt ] [-p port ] [addr]
Por padrão, autópsia inicia o servidor Autopsy Forensic Browser na porta 9999 e aceita conexões do host local. Se -p port for fornecido, o servidor abrirá nessa porta e se addr for fornecido, as conexões serão aceitas apenas desse host. Quando o argumento -i é fornecido, a autópsia entra no modo de análise ao vivo.
Os argumentos são os seguintes:
Forçar o programa a usar cookies mesmo para localhost.
Forçar o programa a não usar cookies, mesmo para hosts remotos.
Diretório onde os casos e hosts são armazenados. Isso substitui o valor LOCKDIR em conf.pl. O caminho deve ser um caminho completo (ou seja, começar com /).
Especifique as informações para o modo de análise ao vivo. Isso pode ser especificado quantas vezes forem necessárias. O campo dispositivo é para o dispositivo do sistema de arquivos bruto, o campo sistema de arquivos é para o tipo de sistema de arquivos e o campo mnt é para a montagem ponto do sistema de arquivos.
Porta TCP para o servidor escutar.
Endereço IP ou nome do host de onde o investigador está localizado. Se localhost for usado, 'localhost' deverá ser usado na URL. Se você usar o nome do host ou IP real, ele será rejeitado.
Quando iniciado, o programa exibirá um URL para colar em um navegador HTML. O navegador deve suportar quadros e formulários. O Autopsy Forensic Browser permitirá que um investigador analise imagens geradas por dd(1) em busca de evidências. O programa permite que as imagens sejam analisadas navegando em arquivos, blocos, inodes ou pesquisando os blocos. O programa também gera relatórios de autópsia que incluem hora da coleta, nome do investigador e valores de hash MD5.
As seguintes variáveis podem ser definidas em conf.pl.
Quando definido como 1 (o padrão é 0), o servidor sairá após STIMEOUT segundos de inatividade (o padrão é 3600). Essa configuração é recomendada se os cookies não forem usados.
Diretório onde estão localizados os casos e as imagens forenses. As imagens devem ter nomes simples com apenas letras, números, '_', '-' e '.'. (Veja ARQUIVOS).
Diretório onde os binários do Sleuth Kit estão localizados.
Localização da Biblioteca Nacional de Referência de Software do NIST (NSRL).
Diretório onde o Autopsy foi instalado.
Localização do binário grep(1).
Localização do binário strings(1).
O Evidence Locker é onde todos os casos e hosts serão salvos. É um diretório que terá um diretório para cada caso. Cada diretório de caso terá um diretório para cada host.
Este arquivo é o arquivo de configuração de caso para o caso. Ele contém a descrição do caso e subdiretórios padrão para os hosts.
Este arquivo contém a lista de investigadores que usarão este caso. Eles são usados apenas para registro, não para autenticação.
Este arquivo é onde os detalhes de configuração do host são salvos. É semelhante ao arquivo 'fsmorgue' das versões anteriores do Autopsy. Ele possui uma entrada para cada arquivo no host e contém a descrição do host.
Alguns diretórios terão este arquivo nele. Ele contém valores MD5 para arquivos importantes no diretório. Isso facilita a validação da integridade das imagens.
autopsy -p 8888 10.1.34.19
dd(1), fls(1), ffind(1), ifind(1), grep(1), icat(1) md5(1), strings(1),
O Autopsy Forensic Browser requer The Sleuth Kit
autópsia apareceu pela primeira vez em Autopsy v1.0.
Este software é distribuído sob a GNU General Public License.
Brian Carrier
Envie atualizações de documentação para