17、数字取证分析：从 Autopsy 法医浏览器到 Autopsy 4 GUI

数字取证分析：从 Autopsy 法医浏览器到 Autopsy 4 GUI

在数字取证调查和分析领域，Autopsy 是一款功能强大的工具。它有法医浏览器版本和更新的 GUI 版本，下面将详细介绍如何使用这两个版本进行数字取证分析。

1. 启动 Autopsy 法医浏览器

Autopsy 法医浏览器可以通过两种方式启动：
- 方法一 ：点击“应用程序”菜单，依次选择“11 - 取证” | “autopsy (root)”。
- 方法二 ：点击 Kali Linux 屏幕左上角的搜索栏，输入“autopsy”，然后点击“autopsy (root)”图标。

点击 Autopsy 图标后，会打开一个新的终端，显示程序信息和打开 Autopsy 法医浏览器的连接详细信息。也可以将链接 http://localhost:9999/autopsy 复制粘贴到浏览器中打开。

2. 在 Autopsy 浏览器中创建新案例

创建新案例的步骤如下：
1. 打开 Autopsy 法医浏览器后，点击“NEW CASE”。
2. 输入案例名称、描述和调查人员姓名。例如，案例名称输入“Terry_USB”，与要分析的镜像名称“terry - work - usb”匹配。输入完信息后，点击“NEW CASE”。
3. 记录案例目录和配置文件的位置，点击“ADD HOST”继续。
4. 输入主机名（被调查计算机的名称）和主机描述。
5. 可选设置：
- 时区：未指定时默认为本地设置。