Analisando Imagem de Disco com Autopsy

Quando Usar

• Quando você tem uma imagem forense de disco e precisa de uma análise estruturada de seu conteúdo
• Durante investigações que exigem recuperação de arquivos, busca por palavras-chave e análise de linha do tempo
• Quando partes interessadas não técnicas precisam de relatórios visuais de evidências forenses
• Para examinar metadados do sistema de arquivos, arquivos excluídos e artefatos incorporados
• Ao construir um caso abrangente a partir de múltiplas imagens de disco

Pré-requisitos

• Autopsy 4.x instalado (Windows) ou Autopsy 4.x com The Sleuth Kit (Linux)
• Imagem forense de disco em formato raw (dd), E01 (EnCase) ou AFF
• Mínimo de 8GB de RAM (16GB recomendado para imagens grandes)
• Java Runtime Environment (JRE) 8+ para Autopsy
• Espaço em disco suficiente para o banco de dados do caso do Autopsy (2-3x o tamanho da imagem)
• Bancos de dados de hash (NSRL, hashes conhecidos como ruins) para identificação de arquivos

Fluxo de Trabalho

Etapa 1: Instalar Autopsy e Configurar o Ambiente

# On Linux, install Sleuth Kit and Autopsy
sudo apt-get install autopsy sleuthkit

# Download Autopsy 4.x (GUI version) from official source
wget https://github.com/sleuthkit/autopsy/releases/download/autopsy-4.21.0/autopsy-4.21.0.zip
unzip autopsy-4.21.0.zip -d /opt/autopsy

# On Windows, run the MSI installer from sleuthkit.org
# Launch Autopsy
/opt/autopsy/bin/autopsy --nosplash

# For Sleuth Kit command-line analysis alongside Autopsy
sudo apt-get install sleuthkit

Etapa 2: Criar um Novo Caso e Adicionar a Imagem de Disco

1. Launch Autopsy > "New Case"
2. Enter Case Name: "CASE-2024-001-Workstation"
3. Set Base Directory: /cases/case-2024-001/autopsy/
4. Enter Case Number, Examiner Name
5. Click "Add Data Source"
6. Select "Disk Image or VM File"
7. Browse to: /cases/case-2024-001/images/evidence.dd
8. Select Time Zone of the original system
9. Configure Ingest Modules (see Step 3)

# Alternatively, use Sleuth Kit CLI to verify the image first
img_stat /cases/case-2024-001/images/evidence.dd

# List partitions in the image
mmls /cases/case-2024-001/images/evidence.dd

# Output example:
# DOS Partition Table
# Offset Sector: 0
# Units are in 512-byte sectors
#      Slot    Start        End          Length       Description
#      00:  -----   0000000000   0000002047   0000002048   Primary Table (#0)
#      01:  00:00   0000002048   0001026047   0001024000   NTFS (0x07)
#      02:  00:01   0001026048   0976771071   0975745024   NTFS (0x07)

# List files in a partition (offset 2048 sectors)
fls -o 2048 /cases/case-2024-001/images/evidence.dd

Etapa 3: Configurar e Executar Módulos de Ingestão

Enable the following Autopsy Ingest Modules:
- Recent Activity: Extracts browser history, downloads, cookies, bookmarks
- Hash Lookup: Compares files against NSRL and known-bad hash sets
- File Type Identification: Identifies files by signature, not extension
- Keyword Search: Indexes content for full-text searching
- Email Parser: Extracts emails from PST, MBOX, EML files
- Extension Mismatch Detector: Finds files with wrong extensions
- Exif Parser: Extracts metadata from images (GPS, camera, timestamps)
- Encryption Detection: Identifies encrypted files and containers
- Interesting Files Identifier: Flags files matching custom rule sets
- Embedded File Extractor: Extracts files from ZIP, Office docs, PDFs
- Picture Analyzer: Categorizes images using PhotoDNA or hash matching
- Data Source Integrity: Verifies image hash during ingest

# Configure NSRL hash set for known-good filtering
# Download NSRL from https://www.nist.gov/itl/ssd/software-quality-group/national-software-reference-library-nsrl
wget https://s3.amazonaws.com/rds.nsrl.nist.gov/RDS/current/rds_modernm.zip
unzip rds_modernm.zip -d /opt/autopsy/hashsets/

# Import into Autopsy:
# Tools > Options > Hash Sets > Import > Select NSRLFile.txt
# Mark as "Known" (to filter out known-good files)

Etapa 4: Analisar o Sistema de Arquivos e Recuperar Arquivos Excluídos

# Na GUI do Autopsy: Navegue pela estrutura de árvore
# - Fontes de Dados > evidence.dd > vol2 (NTFS)
# - Examine a árvore de diretórios, observe os arquivos excluídos (marcados com X)

# Usando Sleuth Kit CLI para recuperação direcionada
# Listar arquivos excluídos
fls -rd -o 2048 /cases/case-2024-001/images/evidence.dd

# Recuperar um arquivo excluído específico por inode
icat -o 2048 /cases/case-2024-001/images/evidence.dd 14523 > /cases/case-2024-001/recovered/deleted_document.docx

# Extrair todos os arquivos de um diretório
tsk_recover -o 2048 -d /Users/suspect/Documents \
   /cases/case-2024-001/images/evidence.dd \

…