Autopsy

[FUF]

Патч для Autopsy до версии 2.24-1 (относительно версии 2.24): https://github.com/msuhanov/autopsy-2.24-patch/blob/master/autopsy-2.24-1.patch.

Привязывает Autopsy к TSK версии 4.1.3 (не ниже), добавляет корректную поддержку файловых систем Ext4, исправляет поддержку таблиц разделов Sun VTOC, исправляет поддержку файловых систем HFS, а также исправляет поддержку таймлайнов, содержащих нулевые временные метки (отображаются как 01/01/1970).

Если кто-то использует под Линуксом Autopsy, то радуйтесь

Применять так:
1. копируете файл патча в директорию "autopsy-2.24";
2. выполняете в этой директории "patch -p1 <autopsy-2.24-1.patch".

[Igor Mikhaylov]

Надо на форуме уже кнопочку "Спасибо" делать.

[Константин]

Надо на форуме уже кнопочку "Спасибо" делать.

Поддерживаю.

[[ спасибо ]]

[Igor Mikhaylov]

Free and open source Windows-based digital forensics software Autopsy 3.1 is out!

Download it now: http://www.basistech.com/digital-forensics/autopsy/

An overview of some of the big changes since 3.0.10 (big enough to warrant the first minor release):

• Multi-threaded pipelines (configurable to take advantage of your beefy machine specs, we've significant performance improvements in our tests)
• File type ingest module (magic bytes detection)
• File extension mismatch ingest module (configurable extensions to signatures)
• Android ingest module (contacts, call logs, messages)
• KML report module (EXIF information from JPEGs to Google Earth)
• Tags can be deleted (...long awaited)
• Hash databases can be created and maintained (multi-select add to hash databases)

In addition, a new module free for law enforcement will be available next week from Basis Technology:

Law Enforcement Bundle: C4ALL and ProjectVic Hash Database integration

Some other stuff in the works for Autopsy 3.1:

* Python module support (write your own modules in Python)
*Advanced Timeline Visualization
*Advanced Image Analysis and Categorization

[fobos]

Здравствуйте господа!

Суть такова - имеется некий условный файл, время создания которого при просмотре встроенными средствами Windows и программами JpegSnoop и ShowEXIF отображается как, например, 10:11:12. Если же мы посмотрим дату создания данного файла средствами Autopsy, то она будет иметь значение 09:11:12, то есть разница в один час. По факту получается что в сгенерированном Autopsy отчете у нас указано одно время, а при просмотре вкладки "подробно" свойств приложенного к отчету файла мы видим другое. Собственно вопрос - чем может быть обусловленна данная разница во времени?

[Igor Mikhaylov]

Разные часовые пояса?

[fobos]

Я думал об этом, даже поэксперементировал со сменой пояса в системе и созданием отчетов, но мне непонятно как это должно сказаться на дате уже созданного файла. Autopsy берет временные атрибуты из структур $STANDARD_INFORMATION и/или $FILE_NAME файловой системы исследуемого образа/НЖМД, ОС Windows ПК на котором файл был создан параллельно с генерацией отчета соответственно смотрит уже в своей ФС, так как мог приплюсоваться один час/два/etc? Завтра я хочу окунуться в двухтомник Руссиновича про богатый внутренний мир Windows и msdn, но не уверен что найду там ответы на свои вопросы. Если Вы ткнете носом откуда берется этот злосчастный час буду очень благодарен!

[kfv]

летнее /зимнее время

[fobos]

летнее /зимнее время

Ну в принципе если Autopsy указывает время в стандарте GMT (если), а в ФС NTFS, если верить Брайну Кэрриэ, используется стандарт UTC, в котором время не переводится ни зимой, ни летом, а вместо этого меняется смещение относительно UTC, то в целом можно предположить, что GMT +3/UTC +3 чудесным образом превратилось в UTC +4 во время генерации отчета. Безусловно, это всего лишь мои домыслы, если я неправ то, надеюсь, меня кто-нибудь поправит.

Большое спасибо Igor Mikhaylov и kfv!