Que fait Analyse d'image disque avec Autopsy ?
Quand l'utiliser
- Lorsque vous disposez d'une image disque forensique et avez besoin d'une analyse structurée de son contenu
- Pendant des enquêtes nécessitant la récupération de fichiers, la recherche par mots-clés et l'analyse chronologique
- Lorsque des parties prenantes non techniques ont besoin de rapports visuels à partir de preuves numériques
- Pour examiner les métadonnées du système de fichiers, les fichiers supprimés et les artefacts intégrés
- Lors de la construction d'un dossier complet à partir de plusieurs images disque
Prérequis
- Autopsy 4.x installé (Windows) ou Autopsy 4.x avec The Sleuth Kit (Linux)
- Image disque forensique au format raw (dd), E01 (EnCase) ou AFF
- Minimum 8 Go de RAM (16 Go recommandé pour les grandes images)
- Java Runtime Environment (JRE) 8+ pour Autopsy
- Espace disque suffisant pour la base de données du cas Autopsy (2-3 fois la taille de l'image)
- Bases de données de hachage (NSRL, hachages connus comme malveillants) pour l'identification des fichiers
Workflow
Étape 1 : Installer Autopsy et configurer l'environnement
# Sous Linux, installer Sleuth Kit et Autopsy
sudo apt-get install autopsy sleuthkit
# Télécharger Autopsy 4.x (version GUI) depuis la source officielle
wget https://github.com/sleuthkit/autopsy/releases/download/autopsy-4.21.0/autopsy-4.21.0.zip
unzip autopsy-4.21.0.zip -d /opt/autopsy
# Sous Windows, exécuter l'installateur MSI depuis sleuthkit.org
# Lancer Autopsy
/opt/autopsy/bin/autopsy --nosplash
# Pour l'analyse en ligne de commande avec Sleuth Kit parallèlement à Autopsy
sudo apt-get install sleuthkit
Étape 2 : Créer un nouveau cas et ajouter l'image disque
1. Lancer Autopsy > "New Case"
2. Saisir le nom du cas : "CASE-2024-001-Workstation"
3. Définir le répertoire de base : /cases/case-2024-001/autopsy/
4. Saisir le numéro de cas, le nom de l'examinateur
5. Cliquer sur "Add Data Source"
6. Sélectionner "Disk Image or VM File"
7. Naviguer vers : /cases/case-2024-001/images/evidence.dd
8. Sélectionner le fuseau horaire du système d'origine
9. Configurer les modules d'ingestion (voir Étape 3)
# Alternative : utiliser la CLI de Sleuth Kit pour vérifier d'abord l'image
img_stat /cases/case-2024-001/images/evidence.dd
# Lister les partitions dans l'image
mmls /cases/case-2024-001/images/evidence.dd
# Exemple de sortie :
# DOS Partition Table
# Offset Sector: 0
# Units are in 512-byte sectors
# Slot Start End Length Description
# 00: ----- 0000000000 0000002047 0000002048 Primary Table (#0)
# 01: 00:00 0000002048 0001026047 0001024000 NTFS (0x07)
# 02: 00:01 0001026048 0976771071 0975745024 NTFS (0x07)
# Lister les fichiers dans une partition (offset 2048 secteurs)
fls -o 2048 /cases/case-2024-001/images/evidence.dd
Étape 3 : Configurer et exécuter les modules d'ingestion
Activer les modules d'ingestion Autopsy suivants :
- Recent Activity : Extrait l'historique du navigateur, les téléchargements, les cookies, les favoris
- Hash Lookup : Compare les fichiers aux ensembles de hachages NSRL et connus comme malveillants
- File Type Identification : Identifie les fichiers par signature, pas par extension
- Keyword Search : Indexe le contenu pour la recherche plein texte
- Email Parser : Extrait les e-mails des fichiers PST, MBOX, EML
- Extension Mismatch Detector : Trouve les fichiers avec des extensions erronées
- Exif Parser : Extrait les métadonnées des images (GPS, appareil photo, horodatages)
- Encryption Detection : Identifie les fichiers et conteneurs chiffrés
- Interesting Files Identifier : Marque les fichiers correspondant à des ensembles de règles personnalisés
- Embedded File Extractor : Extrait les fichiers des ZIP, documents Office, PDF
- Picture Analyzer : Catégorise les images à l'aide de PhotoDNA ou de correspondance de hachage
- Data Source Integrity : Vérifie le hachage de l'image pendant l'ingestion
# Configurer l'ensemble de hachages NSRL pour le filtrage des fichiers connus non suspects
# Télécharger NSRL depuis https://www.nist.gov/itl/ssd/software-quality-group/national-software-reference-library-nsrl
wget https://s3.amazonaws.com/rds.nsrl.nist.gov/RDS/current/rds_modernm.zip
unzip rds_modernm.zip -d /opt/autopsy/hashsets/
# Importer dans Autopsy :
# Tools > Options > Hash Sets > Import > Sélectionner NSRLFile.txt
# Marquer comme "Known" (pour filtrer les fichiers connus non suspects)
Étape 4 : Analyser le système de fichiers et récupérer les fichiers supprimés
# Dans l'interface graphique d'Autopsy : naviguer dans la structure arborescente
# - Data Sources > evidence.dd > vol2 (NTFS)
# - Examiner l'arborescence des répertoires, noter les fichiers supprimés (marqués d'un X)
# Utiliser la CLI de Sleuth Kit pour une récupération ciblée
# Lister les fichiers supprimés
fls -rd -o 2048 /cases/case-2024-001/images/evidence.dd
# Récupérer un fichier supprimé spécifique par inode
icat -o 2048 /cases/case-2024-001/images/evidence.dd 14523 > /cases/case-2024-001/recovered/deleted_document.docx
# Extraire tous les fichiers d'un répertoire
tsk_recover -o 2048 -d /Users/suspect/Documents \
/cases/case-2024-001/images/evidence.dd \
/cases/case-2024-001/recovered/documents/
# Obtenir les métadonnées détaillées d'un fichier
istat -o 2048 /cases/case-2024-001/images/evidence.dd 14523
# Affiche : horodatages de création, modification, accès, modification de la MFT, taille, plages de données
Étape 5 : Effectuer des recherches par mots-clés et étiqueter les preuves
Dans Autopsy :
1. Panneau Keyword Search > "Ad Hoc Keyword Search"
2. Termes de recherche : motifs de cartes de crédit, regex de numéros de sécurité sociale, adresses e-mail
3. Exemple de regex pour cartes de crédit : \b(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14})\b
4. Exemple de regex pour SSN : \b\d{3}-\d{2}-\d{4}\b
5. Examiner les résultats > Clic droit sur les éléments > "Add Tag"
6. Créer des étiquettes : "Evidence-Critical", "Evidence-Supporting", "Requires-Review"
7. Ajouter des commentaires aux éléments étiquetés documentant la pertinence
# Utiliser Sleuth Kit pour la recherche de mots-clés en ligne de commande
srch_strings -a -o 2048 /cases/case-2024-001/images/evidence.dd | \
grep -iE '(password|secret|confidential)' > /cases/case-2024-001/keyword_hits.txt
# Rechercher des signatures de fichiers spécifiques
sigfind -o 2048 /cases/case-2024-001/images/evidence.dd 25504446
# 25504446 = signature d'en-tête %PDF
Étape 6 : Construire une chronologie et générer des rapports
Dans Autopsy :
1. Visionneuse de chronologie : Tools > Timeline
2. Sélectionner la plage de dates d'intérêt (fenêtre de l'incident)
3. Filtrer par type d'événement : Fichier créé, modifié, consulté, activité Web
4. Zoomer sur les périodes suspectes
5. Exporter les événements de la chronologie au format CSV pour une analyse externe
Générer un rapport :
1. Generate Report > HTML Report
2. Sélectionner les éléments étiquetés et les sources de données à inclure
3. Configurer les sections du rapport : listes de fichiers, résultats de mots-clés, chronologie
4. Exporter vers /cases/case-2024-001/reports/
# Utiliser mactime de Sleuth Kit pour la chronologie en ligne de commande
fls -r -m "/" -o 2048 /cases/case-2024-001/images/evidence.dd > /cases/case-2024-001/bodyfile.txt
# Générer une chronologie à partir du bodyfile
mactime -b /cases/case-2024-001/bodyfile.txt -d > /cases/case-2024-001/timeline.csv
# Filtrer la chronologie sur une plage de dates spécifique
mactime -b /cases/case-2024-001/bodyfile.txt \
-d 2024-01-15..2024-01-20 > /cases/case-2024-001/incident_timeline.csv
Concepts clés
| Concept | Description |
|---|---|
| Ingest Modules | Plugins d'analyse automatisés qui traitent les sources de données lors de l'importation |
| MFT (Master File Table) | Structure de métadonnées NTFS enregistrant toutes les entrées de fichiers et attributs |
| File carving | Récupération de fichiers à partir de l'espace non alloué en utilisant les signatures de fichiers |
| Hash filtering | Utilisation de NSRL ou d'ensembles de hachages personnalisés pour exclure les fichiers connus non suspects ou signaler les fichiers connus malveillants |
| Timeline analysis | Reconstruction chronologique des événements du système de fichiers et de l'activité utilisateur |
| Deleted file recovery | Restauration de fichiers dont les entrées de répertoire sont supprimées mais dont les données subsistent |
| Keyword indexing | Index de recherche plein texte construit à partir de tout le contenu des fichiers, y compris l'espace mort |
| Artifact extraction | Analyse automatisée des artefacts du navigateur, des e-mails, du registre et spécifiques au système d'exploitation |
Outils & Systèmes
| Outil | Objectif |
|---|---|
| Autopsy | Plateforme forensique open-source avec interface graphique pour l'analyse d'images disque |
| The Sleuth Kit (TSK) | Boîte à outils forensique en ligne de commande sous-jacente à Autopsy |
| fls | Lister les fichiers et répertoires dans une image disque, y compris les entrées supprimées |
| icat | Extraire le contenu d'un fichier par numéro d'inode à partir d'une image disque |
| mactime | Générer une chronologie à partir du format bodyfile de TSK |
| mmls | Afficher la disposition des partitions d'une image disque |
| NSRL | Base de données de hachages NIST pour identifier les fichiers logiciels connus |
| sigfind | Rechercher des signatures de fichiers au niveau des secteurs |
Scénarios courants
Scénario 1 : Enquête sur un vol de données par un employé Importer l'image du poste de travail de l'employé, exécuter tous les modules d'ingestion, rechercher les noms de fichiers et mots-clés confidentiels de l'entreprise, examiner les artefacts de connexion USB dans Recent Activity, vérifier les artefacts de clients de stockage cloud, examiner les fichiers supprimés pour des preuves de préparation de données, générer un rapport HTML pour l'équipe juridique.
Scénario 2 : Analyse forensique d'une infection par malware Ajouter l'image du système compromis, activer les modules Extension Mismatch et Encryption Detection, examiner le répertoire Prefetch pour des preuves d'exécution, rechercher des hachages de malwares connus, construire une chronologie autour de la fenêtre d'infection, extraire les exécutables suspects pour une analyse plus approfondie dans un environnement isolé.
Scénario 3 : Enquête sur des matériels d'exploitation sexuelle d'enfants Importer l'image avec PhotoDNA et les ensembles de hachages Project VIC activés, exécuter le module Picture Analyzer, hacher tous les fichiers image par rapport aux bases de données connues malveillantes, étiqueter et catégoriser les correspondances par gravité, générer un rapport pour les forces de l'ordre avec documentation de la chaîne de possession.
Scénario 4 : Litige en matière de propriété intellectuelle Importer plusieurs images disque d'employés comme sources de données séparées dans un même cas, effectuer des recherches par mots-clés pour des termes propriétaires et noms de projets, comparer les hachages de fichiers entre les sources, construire une chronologie montrant les modèles d'accès et de transfert de fichiers, exporter les preuves pour examen juridique.
Format de sortie
Résumé de l'analyse du cas Autopsy :
Cas : CASE-2024-001-Workstation
Image : evidence.dd (500 Go NTFS)
Partitions : 2 (Réservé au système + Principale)
Fichiers totaux : 245 832
Fichiers supprimés : 12 456 (récupérables : 8 234)
Résultats de l'ingestion :
Correspondances de hachage (connus malveillants) : 3 fichiers
Extensions erronées : 17 fichiers
Résultats de mots-clés : 234 dans 45 fichiers
Fichiers chiffrés : 5 conteneurs détectés
Données EXIF extraites : 1 245 images avec métadonnées
Preuves étiquetées :
Critique : 12 éléments
Secondaire : 34 éléments
À examiner : 67 éléments
Événements de la chronologie : 1 234 567 entrées (filtrés sur la fenêtre de l'incident : 892)
Rapport : /cases/case-2024-001/reports/autopsy_report.html