14、数字取证工具：Autopsy与Xplico使用指南

数字取证工具：Autopsy与Xplico使用指南

1. Autopsy工具介绍

Autopsy是一款用于数字取证的工具，可用于分析硬盘和设备中的数据。在使用时，我们将处理的文件是 terry-work-usb-2009-12-11.E01 。在调查硬盘和设备时，务必遵循正确的采集程序，并使用写保护设备，以避免篡改原始证据。

2. Autopsy的功能特性

Autopsy基于The Sleuth Kit，在Linux和Windows版本中功能有所不同。以下是Kali Linux中Autopsy 2.4和The Sleuth Kit提供的一些官方功能：
|功能|描述|
| ---- | ---- |
|图像分析|分析目录和文件，包括文件排序、恢复删除文件和预览文件|
|文件活动时间线|根据文件的写入、访问和创建时间戳创建时间线|
|图像完整性|为使用的图像文件以及单个文件创建MD5哈希值|
|哈希数据库|将未知文件（如疑似恶意的.exe文件）的数字哈希值或指纹与NIST国家软件参考库（NSRL）中的进行匹配|
|事件排序器|按日期和时间显示事件|
|文件分析|分析整个图像文件，显示目录和文件信息及内容|
|关键字搜索|允许使用关键字和预定义的表达式列表进行搜索|
|元数据分析|允许查看对数据恢复至关重要的文件元数据详细信息和结构|
|解析数据和索引|在实际证据上放置虚拟掩码，允许调查人员运行查询而不更改“源数据”或证据|
|报告生成|允许将调查结果汇编成用户友好的报告|

The Sleuth Kit使用CLI工