Communitygithub.com

Autopsyを使用したディスクイメージのフォレンジック分析

raw (dd)、E01、またはAFF形式のフォレンジックディスクイメージをAutopsyとThe Sleuth Kitで分析し、削除ファイルの復元、メタデータ調査、キーワード検索、タイムライン分析、視覚的レポート作成を実行します。

Autopsyを使用したディスクイメージのフォレンジック分析 とは？

このスキルは、AutopsyおよびThe Sleuth Kit（TSK）を使用して、フォレンジックディスクイメージを体系的に分析するためのワークフローを提供します。raw (dd)、E01 (EnCase)、AFF形式に対応し、ファイルシステムのメタデータ調査、削除ファイルの復元、キーワード検索、タイムラインの構築、視覚的なHTMLレポート生成を実行します。主な活用シナリオは、データ漏洩調査、マルウェア感染のフォレンジック、知的財産紛争、CSAM（児童性的虐待資料）調査などです。AutopsyのGUIとTSKのCLIを併用し、インジェストモジュールによる自動解析（ハッシュフィルタリング、ファイルタイプ識別、拡張子不一致検出、暗号化検出、埋め込みファイル抽出、EXIFメタデータ抽出、キーワードインデックス作成など）を活用します。Windows版Autopsyだけでなく、Linux上でのTSKとの連携手順も含んでおり、NIST NSRLなどの既知ファイルデータベースを利用した効率的な分析が可能です。

対応~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/main/skills/analyzing-disk-image-with-autopsy
オリジナルを見る→すべてのスキルを見る

お気に入りのAIに質問する

このエージェントスキルを事前に読み込んだ状態で新しいチャットを開きます。

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

ドキュメント

Autopsyを使用したディスクイメージの分析

使用するタイミング

  • フォレンジックディスクイメージを入手し、その内容を構造的に分析する必要がある場合
  • ファイル復元、キーワード検索、タイムライン分析を必要とする調査時
  • 非技術的な関係者に対してフォレンジック証拠の視覚的レポートを提供する必要がある場合
  • ファイルシステムのメタデータ、削除ファイル、埋め込みアーティファクトを調査する場合
  • 複数のディスクイメージから包括的なケースを構築する場合

前提条件

  • Autopsy 4.xがインストールされていること（Windows版）またはAutopsy 4.xとThe Sleuth Kit（Linux版）
  • raw (dd)、E01（EnCase）、またはAFF形式のフォレンジックディスクイメージ
  • 最低8GBのRAM（大規模イメージには16GB推奨）
  • Autopsy用のJava Runtime Environment（JRE）8+
  • Autopsyケースデータベース用の十分なディスク容量（イメージサイズの2～3倍）
  • ファイル識別用のハッシュデータベース（NSRL、既知不良ハッシュ）

ワークフロー

ステップ1: Autopsyのインストールと環境設定

# Linuxの場合、Sleuth KitとAutopsyをインストール
sudo apt-get install autopsy sleuthkit

# Autopsy 4.x（GUI版）を公式ソースからダウンロード
wget https://github.com/sleuthkit/autopsy/releases/download/autopsy-4.21.0/autopsy-4.21.0.zip
unzip autopsy-4.21.0.zip -d /opt/autopsy

# Windowsの場合は、sleuthkit.orgからMSIインストーラを実行
# Autopsyを起動
/opt/autopsy/bin/autopsy --nosplash

# Autopsyと併用するSleuth Kitのコマンドライン分析用
sudo apt-get install sleuthkit

ステップ2: 新しいケースを作成し、ディスクイメージを追加

1. Autopsyを起動 > 「New Case」
2. ケース名を入力: 「CASE-2024-001-Workstation」
3. ベースディレクトリを設定: /cases/case-2024-001/autopsy/
4. ケース番号、検査官名を入力
5. 「Add Data Source」をクリック
6. 「Disk Image or VM File」を選択
7. 参照先: /cases/case-2024-001/images/evidence.dd
8. 元のシステムのタイムゾーンを選択
9. インジェストモジュールを設定（ステップ3参照）

# または、Sleuth Kit CLIを使用してイメージを事前に確認
img_stat /cases/case-2024-001/images/evidence.dd

# イメージ内のパーティション一覧
mmls /cases/case-2024-001/images/evidence.dd

# 出力例:
# DOS Partition Table
# Offset Sector: 0
# Units are in 512-byte sectors
#      Slot    Start        End          Length       Description
#      00:  -----   0000000000   0000002047   0000002048   Primary Table (#0)
#      01:  00:00   0000002048   0001026047   0001024000   NTFS (0x07)
#      02:  00:01   0001026048   0976771071   0975745024   NTFS (0x07)

# パーティション内のファイル一覧（オフセット2048セクター）
fls -o 2048 /cases/case-2024-001/images/evidence.dd

ステップ3: インジェストモジュールの設定と実行

以下のAutopsyインジェストモジュールを有効にする:
- Recent Activity: ブラウザ履歴、ダウンロード、Cookie、ブックマークを抽出
- Hash Lookup: ファイルをNSRLおよび既知不良ハッシュセットと比較
- File Type Identification: 拡張子ではなくシグネチャでファイルを識別
- Keyword Search: 全文検索用にコンテンツをインデックス化
- Email Parser: PST、MBOX、EMLファイルからメールを抽出
- Extension Mismatch Detector: 誤った拡張子を持つファイルを検出
- Exif Parser: 画像からメタデータ（GPS、カメラ情報、タイムスタンプ）を抽出
- Encryption Detection: 暗号化されたファイルやコンテナを識別
- Interesting Files Identifier: カスタムルールセットに一致するファイルをフラグ付け
- Embedded File Extractor: ZIP、Office文書、PDFからファイルを抽出
- Picture Analyzer: PhotoDNAまたはハッシュマッチングを使用して画像を分類
- Data Source Integrity: インジェスト中にイメージハッシュを検証

# 既知良好フィルタリング用のNSRLハッシュセットを設定
# NSRLは https://www.nist.gov/itl/ssd/software-quality-group/national-software-reference-library-nsrl からダウンロード
wget https://s3.amazonaws.com/rds.nsrl.nist.gov/RDS/current/rds_modernm.zip
unzip rds_modernm.zip -d /opt/autopsy/hashsets/

# Autopsyにインポート:
# Tools > Options > Hash Sets > Import > NSRLFile.txt を選択
# 「Known」としてマーク（既知良好ファイルを除外するため）

ステップ4: ファイルシステムの分析と削除ファイルの復元

# Autopsy GUI: ツリー構造を操作
# - Data Sources > evidence.dd > vol2 (NTFS)
# - ディレクトリツリーを調べ、削除ファイルに注意（Xマーク）

# Sleuth Kit CLIを使用したターゲット復元
# 削除ファイルの一覧
fls -rd -o 2048 /cases/case-2024-001/images/evidence.dd

# inode番号で特定の削除ファイルを復元
icat -o 2048 /cases/case-2024-001/images/evidence.dd 14523 > /cases/case-2024-001/recovered/deleted_document.docx

# ディレクトリからすべてのファイルを抽出
tsk_recover -o 2048 -d /Users/suspect/Documents \
   /cases/case-2024-001/images/evidence.dd \
   /cases/case-2024-001/recovered/documents/

# 詳細なファイルメタデータを取得
istat -o 2048 /cases/case-2024-001/images/evidence.dd 14523
# 表示内容: 作成、変更、アクセス、MFT変更タイムスタンプ、サイズ、データラン

ステップ5: キーワード検索と証拠へのタグ付け

Autopsyでの操作:
1. Keyword Searchパネル > 「Ad Hoc Keyword Search」
2. 検索語: クレジットカードパターン、SSNの正規表現、メールアドレス
3. クレジットカードの正規表現例: \b(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14})\b
4. SSNの正規表現例: \b\d{3}-\d{2}-\d{4}\b
5. 結果を確認 > アイテムを右クリック > 「Add Tag」
6. タグを作成: 「Evidence-Critical」、「Evidence-Supporting」、「Requires-Review」
7. タグ付けされたアイテムに関連性を説明するコメントを追加

# Sleuth Kitを使用したCLIキーワード検索
srch_strings -a -o 2048 /cases/case-2024-001/images/evidence.dd | \
   grep -iE '(password|secret|confidential)' > /cases/case-2024-001/keyword_hits.txt

# 特定のファイルシグネチャを検索
sigfind -o 2048 /cases/case-2024-001/images/evidence.dd 25504446
# 25504446 = %PDFヘッダーシグネチャ

ステップ6: タイムラインの構築とレポートの生成

Autopsyでの操作:
1. タイムラインビューア: Tools > Timeline
2. 関心のある日付範囲（インシデント期間）を選択
3. イベントタイプでフィルタ: ファイル作成、変更、アクセス、Webアクティビティ
4. 疑わしい時間帯にズームイン
5. タイムラインイベントをCSVとしてエクスポートし、外部で分析

レポートの生成:
1. Generate Report > HTML Report
2. タグ付けされたアイテムとデータソースを含める範囲を選択
3. レポートセクションを設定: ファイル一覧、キーワードヒット、タイムライン
4. /cases/case-2024-001/reports/ にエクスポート

# Sleuth Kitのmactimeを使用したCLIタイムライン
fls -r -m "/" -o 2048 /cases/case-2024-001/images/evidence.dd > /cases/case-2024-001/bodyfile.txt

# bodyfileからタイムラインを生成
mactime -b /cases/case-2024-001/bodyfile.txt -d > /cases/case-2024-001/timeline.csv

# 特定の日付範囲にタイムラインをフィルタリング
mactime -b /cases/case-2024-001/bodyfile.txt \
   -d 2024-01-15..2024-01-20 > /cases/case-2024-001/incident_timeline.csv

主要な概念

概念説明
インジェストモジュールデータソースのインポート時に処理を行う自動分析プラグイン
MFT（マスターファイルテーブル）すべてのファイルエントリと属性を記録するNTFSメタデータ構造
ファイルカービングファイルシグネチャを使用して未割り当て領域からファイルを復元
ハッシュフィルタリングNSRLまたはカスタムハッシュセットを使用して既知良好ファイルを除外、または既知不良ファイルにフラグを付ける
タイムライン分析ファイルシステムおよびユーザーアクティビティイベントの時系列的な再構築
削除ファイルの復元ディレクトリエントリが削除されたがデータが残っているファイルを復元
キーワードインデックス作成スラックスペースを含むすべてのファイルコンテンツから構築される全文検索インデックス
アーティファクト抽出ブラウザ、メール、レジストリ、OS固有のアーティファクトの自動解析

ツールとシステム

ツール目的
Autopsyディスクイメージ分析用のオープンソースGUIフォレンジックプラットフォーム
The Sleuth Kit (TSK)Autopsyの基盤となるコマンドラインフォレンジックツールキット
fls削除エントリを含むディスクイメージ内のファイルとディレクトリを一覧表示
icatディスクイメージからinode番号でファイルコンテンツを抽出
mactimeTSK bodyfile形式からタイムラインを生成
mmlsディスクイメージのパーティションレイアウトを表示
NSRL既知のソフトウェアファイルを識別するためのNISTハッシュデータベース
sigfindセクターレベルでファイルシグネチャを検索

一般的なシナリオ

シナリオ1: 従業員によるデータ窃取調査 従業員のワークステーションイメージをインポートし、すべてのインジェストモジュールを実行、企業機密のファイル名とキーワードを検索、Recent ActivityでUSB接続アーティファクトを調査、クラウドストレージクライアントのアーティファクトを確認、データステージングの証拠がないか削除ファイルをレビュー、法務チーム向けにHTMLレポートを生成。

シナリオ2: マルウェア感染のフォレンジック 侵害されたシステムのイメージを追加し、Extension MismatchモジュールとEncryption Detectionモジュールを有効化、Prefetchディレクトリで実行証拠を調査、既知のマルウェアハッシュを検索、感染期間を中心にタイムラインを構築、疑わしい実行ファイルを抽出してサンドボックスでさらに分析。

シナリオ3: 児童性的虐待資料（CSAM）調査 PhotoDNAとProject VICハッシュセットを有効にしてイメージをインポート、Picture Analyzerモジュールを実行、すべての画像ファイルを既知不良データベースと照合、一致したものを重要度でタグ付けおよび分類、チェーン・オブ・カストディ（証拠保全）文書を含む法執行機関向けレポートを生成。

シナリオ4: 知的財産権紛争 1つのケースに複数の従業員のディスクイメージを個別のデータソースとしてインポート、プロプライエタリな用語やプロジェクト名をキーワード検索、ソース間でファイルハッシュを比較、ファイルアクセスと転送パターンを示すタイムラインを構築、法的レビュー用に証拠をエクスポート。

出力形式

Autopsyケース分析サマリー:
  ケース:           CASE-2024-001-Workstation
  イメージ:          evidence.dd (500GB NTFS)
  パーティション:    2（システム予約 + プライマリ）
  総ファイル数:      245,832
  削除ファイル数:    12,456（復元可能: 8,234）

  インジェスト結果:
    ハッシュ一致（既知不良）: 3ファイル
    拡張子不一致:           17ファイル
    キーワードヒット:       45ファイルに234件
    暗号化ファイル:         5つのコンテナを検出
    EXIFデータ抽出:        1,245枚の画像にメタデータあり

  タグ付けされた証拠:
    クリティカル:   12件
    補助的:         34件
    レビュー:       67件

  タイムラインイベント: 1,234,567エントリ（インシデント期間でフィルタ後: 892）
  レポート:          /cases/case-2024-001/reports/autopsy_report.html

Individual skills in this repo

This repo contains 20 individual skills — each has its own dedicated page.

abusing-dpapi-for-credential-access

Extract and decrypt Windows DPAPI-protected secrets (Credential Manager, browser logins/cookies, Wi-Fi credentials, KeePass keys) online or offline using SharpDPAPI, SharpChrome, Mimikatz, or Impacket

abusing-shadow-credentials-for-privesc

Take over Active Directory accounts by writing attacker-controlled public keys to msDS-KeyCredentialLink (Shadow Credentials) with pyWhisker, Whisker, or Certipy, then authenticate via PKINIT to recover the target

achieving-cmmc-level-2-compliance

>-

acquiring-disk-image-with-dd-and-dcfldd

Create forensically sound bit-for-bit disk images with dd or dcfldd on a Linux forensic workstation, preserving evidence integrity through hash verification (MD5/SHA) during acquisition. Use when imaging a suspect drive, USB device, or memory card for investigation, preserving volatile disk evidence during incident response, or producing a verified copy for legal or law-enforcement proceedings before any destructive analysis.

analyzing-active-directory-acl-abuse

Detect dangerous ACL misconfigurations in Active Directory using ldap3

analyzing-android-malware-with-apktool

Perform static analysis of Android APK malware using apktool for resource decompilation, jadx for Java source recovery, and androguard for manifest inspection, dangerous permission-combination detection, and identification of obfuscated code, dynamic code loading, and reflection-based API calls. Use to statically triage a suspicious APK without executing it or to build mobile malware detection rules.

analyzing-api-gateway-access-logs

Parses API Gateway access logs (AWS API Gateway, Kong, Nginx) to detect

analyzing-apt-group-with-mitre-navigator

Query ATT&CK data with attackcti, mitreattack-python, and stix2, then build MITRE ATT&CK Navigator layers and multi-layer heatmap overlays mapping one or more APT groups

analyzing-azure-activity-logs-for-threats

Queries Azure Monitor activity logs and sign-in logs via azure-monitor-query

analyzing-bootkit-and-rootkit-samples

Analyzes bootkit and advanced rootkit malware infecting the Master

analyzing-browser-forensics-with-hindsight

Parse Chromium-based browser databases with Hindsight to extract and correlate browsing history, downloads, cookies, cached content, autofill data, saved passwords, and extensions from Chrome, Edge, Brave, Opera, and Vivaldi into a unified timeline (XLSX, JSON, or SQLite output). Use during incident response, insider-threat investigations, or criminal cases when you need to reconstruct a user

analyzing-campaign-attribution-evidence

Systematically evaluate cyber-campaign evidence to attribute an operation to a threat actor, using the Diamond Model and Analysis of Competing Hypotheses (ACH) to weigh infrastructure overlaps, TTP consistency, malware code similarity, and timing/language artifacts into confidence-weighted attribution assessments. Use when an incident investigation needs a defensible attribution confidence level.

analyzing-certificate-transparency-for-phishing

Monitor Certificate Transparency logs using crt.sh and Certstream to

analyzing-cloud-storage-access-patterns

Detect abnormal access in AWS S3, GCS, and Azure Blob Storage by analyzing CloudTrail Data Events, GCS audit logs, and Azure Storage Analytics for after-hours bulk downloads, new-IP access, and API-call spikes (e.g. GetObject) via statistical baselines and time-series anomaly detection. Use when investigating suspected cloud data exfiltration or building related detection rules.

analyzing-cobalt-strike-beacon-configuration

Extract and analyze Cobalt Strike beacon configuration from PE files

analyzing-cobaltstrike-malleable-c2-profiles

Parse and analyze Cobalt Strike Malleable C2 profiles with dissect.cobaltstrike (profiles and beacon-payload configs) and pyMalleableC2 (AST parsing) to extract HTTP/DNS transforms, URIs, headers, sleep/jitter, and injection behavior, then generate network detection signatures. Use when reverse-engineering a captured malleable profile or building detections against Cobalt Strike Beacon traffic.

analyzing-command-and-control-communication

Analyzes malware C2 communication over HTTP, HTTPS, DNS, and custom

analyzing-cyber-kill-chain

Analyzes intrusion activity against the Lockheed Martin Cyber Kill Chain

analyzing-dns-logs-for-exfiltration

Analyzes DNS query logs to detect data exfiltration via DNS tunneling,

analyzing-docker-container-forensics

Investigate compromised Docker containers by analyzing images, layers,

関連スキル

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community