analyzing-disk-image-with-autopsy

Autopsy を使用したディスクイメージの分析

使用する場面

• フォレンジック用ディスクイメージがあり、その内容を体系的に分析する必要がある場合
• ファイルの復元、キーワード検索、タイムライン分析を必要とする調査
• 技術に詳しくない関係者がフォレンジック証拠の視覚的なレポートを必要とする場合
• ファイルシステムのメタデータ、削除されたファイル、埋め込まれたアーティファクトを調べる場合
• 複数のディスクイメージから包括的なケースを構築する場合

前提条件

• Autopsy 4.x（Windows）、または The Sleuth Kit を含む Autopsy 4.x（Linux）がインストールされていること
• raw（dd）、E01（EnCase）、または AFF 形式のフォレンジック用ディスクイメージ
• 最低 8GB の RAM（大容量のイメージには 16GB を推奨）
• Autopsy 用の Java Runtime Environment（JRE）8 以降
• Autopsy のケースデータベース用に十分なディスク容量（イメージサイズの 2～3 倍）
• ファイル識別用のハッシュデータベース（NSRL、既知の悪意あるハッシュ）

ワークフロー

ステップ 1：Autopsy をインストールして環境を設定する

# On Linux, install Sleuth Kit and Autopsy
sudo apt-get install autopsy sleuthkit

# Download Autopsy 4.x (GUI version) from official source
wget https://github.com/sleuthkit/autopsy/releases/download/autopsy-4.21.0/autopsy-4.21.0.zip
unzip autopsy-4.21.0.zip -d /opt/autopsy

# On Windows, run the MSI installer from sleuthkit.org
# Launch Autopsy
/opt/autopsy/bin/autopsy --nosplash

# For Sleuth Kit command-line analysis alongside Autopsy
sudo apt-get install sleuthkit

ステップ 2：新しいケースを作成してディスクイメージを追加する

1. Launch Autopsy > "New Case"
2. Enter Case Name: "CASE-2024-001-Workstation"
3. Set Base Directory: /cases/case-2024-001/autopsy/
4. Enter Case Number, Examiner Name
5. Click "Add Data Source"
6. Select "Disk Image or VM File"
7. Browse to: /cases/case-2024-001/images/evidence.dd
8. Select Time Zone of the original system
9. Configure Ingest Modules (see Step 3)

# Alternatively, use Sleuth Kit CLI to verify the image first
img_stat /cases/case-2024-001/images/evidence.dd

# List partitions in the image
mmls /cases/case-2024-001/images/evidence.dd

# Output example:
# DOS Partition Table
# Offset Sector: 0
# Units are in 512-byte sectors
#      Slot    Start        End          Length       Description
#      00:  -----   0000000000   0000002047   0000002048   Primary Table (#0)
#      01:  00:00   0000002048   0001026047   0001024000   NTFS (0x07)
#      02:  00:01   0001026048   0976771071   0975745024   NTFS (0x07)

# List files in a partition (offset 2048 sectors)
fls -o 2048 /cases/case-2024-001/images/evidence.dd

ステップ 3：取り込みモジュールを設定して実行する

Enable the following Autopsy Ingest Modules:
- Recent Activity: Extracts browser history, downloads, cookies, bookmarks
- Hash Lookup: Compares files against NSRL and known-bad hash sets
- File Type Identification: Identifies files by signature, not extension
- Keyword Search: Indexes content for full-text searching
- Email Parser: Extracts emails from PST, MBOX, EML files
- Extension Mismatch Detector: Finds files with wrong extensions
- Exif Parser: Extracts metadata from images (GPS, camera, timestamps)
- Encryption Detection: Identifies encrypted files and containers
- Interesting Files Identifier: Flags files matching custom rule sets
- Embedded File Extractor: Extracts files from ZIP, Office docs, PDFs
- Picture Analyzer: Categorizes images using PhotoDNA or hash matching
- Data Source Integrity: Verifies image hash during ingest

# Configure NSRL hash set for known-good filtering
# Download NSRL from https://www.nist.gov/itl/ssd/software-quality-group/national-software-reference-library-nsrl
wget https://s3.amazonaws.com/rds.nsrl.nist.gov/RDS/current/rds_modernm.zip
unzip rds_modernm.zip -d /opt/autopsy/hashsets/

# Import into Autopsy:
# Tools > Options > Hash Sets > Import > Select NSRLFile.txt
# Mark as "Known" (to filter out known-good files)

ステップ 4：ファイルシステムを分析し、削除されたファイルを復元する

# In Autopsy GUI: Navigate tree structure
# - Data Sources > evidence.dd > vol2 (NTFS)
# - Examine directory tree, note deleted files (marked with X)

# Using Sleuth Kit CLI for targeted recovery
# List deleted files
fls -rd -o 2048 /cases/case-2024-001/images/evidence.dd

# Recover a specific deleted file by inode
icat -o 2048 /cases/case-2024-001/images/evidence.dd 14523 > /cases/case-2024-001/recovered/deleted_document.docx

# Extract all files from a directory
tsk_recover -o 2048 -d /Users/suspect/Documents \
   /cases/case-2024-001/images/evidence.dd \
   /cases/case-2024-001/recovered/documents/

# Get detailed file metadata
istat -o 2048 /cases/case-2024-001/images/evidence.dd 14523
# Shows: creation, modification, access, MFT change timestamps, size, data runs

ステップ 5：キーワード検索を実行し、証拠にタグを付ける

In Autopsy:
1. Keyword Search panel > "Ad Hoc Keyword Search"
2. Search terms: credit card patterns, SSN regex, email addresses
3. Example regex for credit cards: \b(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14})\b
4. Example regex for SSN: \b\d{3}-\d{2}-\d{4}\b
5. Review results > Right-click items > "Add Tag"
6. Create tags: "Evidence-Critical", "Evidence-Supporting", "Requires-Review"
7. Add comments to tagged items documenting relevance

# Using Sleuth Kit for CLI keyword search
srch_strings -a -o 2048 /cases/case-2024-001/images/evidence.dd | \
   grep -iE '(password|secret|confidential)' > /cases/case-2024-001/keyword_hits.txt

# Search for specific file signatures
sigfind -o 2048 /cases/case-2024-001/images/evidence.dd 25504446
# 25504446 = %PDF header signature

ステップ 6：タイムラインを作成し、レポートを生成する

In Autopsy:
1. Timeline viewer: Tools > Timeline
2. Select date range of interest (incident window)
3. Filter by event type: File Created, Modified, Accessed, Web Activity
4. Zoom into suspicious time periods
5. Export timeline events as CSV for external analysis

Generate Report:
1. Generate Report > HTML Report
2. Select tagged items and data sources to include
3. Configure report sections: file listings, keyword hits, timeline
4. Export to /cases/case-2024-001/reports/

# Using Sleuth Kit mactime for CLI timeline
fls -r -m "/" -o 2048 /cases/case-2024-001/images/evidence.dd > /cases/case-2024-001/bodyfile.txt

# Generate timeline from bodyfile
mactime -b /cases/case-2024-001/bodyfile.txt -d > /cases/case-2024-001/timeline.csv

# Filter timeline to specific date range
mactime -b /cases/case-2024-001/bodyfile.txt \
   -d 2024-01-15..2024-01-20 > /cases/case-2024-001/incident_timeline.csv

主な概念

概念	説明
取り込みモジュール	データソースのインポート時に処理を行う、自動分析プラグイン
MFT（マスターファイルテーブル）	すべてのファイルエントリーと属性を記録する NTFS のメタデータ構造
ファイルカービング	ファイルシグネチャを使用して未割り当て領域からファイルを復元すること
ハッシュフィルタリング	NSRL またはカスタムのハッシュセットを使用して、既知の安全なファイルを除外したり、既知の悪意あるファイルにフラグを付けたりすること
タイムライン分析	ファイルシステムやユーザーの操作イベントを時系列に再構成すること
削除されたファイルの復元	ディレクトリエントリーは削除されているものの、データが残っているファイルを復元すること
キーワードインデックス作成	スラック領域を含むすべてのファイルコンテンツから構築される全文検索インデックス
アーティファクト抽出	ブラウザー、メール、レジストリ、OS 固有のアーティファクトを自動的に解析すること

ツールとシステム

ツール	用途
Autopsy	ディスクイメージ分析用のオープンソース GUI フォレンジックプラットフォーム
The Sleuth Kit（TSK）	Autopsy の基盤となるコマンドラインフォレンジックツールキット
fls	削除済みエントリーを含め、ディスクイメージ内のファイルとディレクトリを一覧表示する
icat	ディスクイメージから inode 番号を指定してファイルコンテンツを抽出する
mactime	TSK の bodyfile 形式からタイムラインを生成する
mmls	ディスクイメージのパーティションレイアウトを表示する
NSRL	既知のソフトウェアファイルを識別するための NIST ハッシュデータベース
sigfind	セクターレベルでファイルシグネチャを検索する

一般的なシナリオ

シナリオ 1：従業員データ窃取の調査 従業員のワークステーションのイメージをインポートし、すべての取り込みモジュールを実行します。社外秘のファイル名やキーワードを検索し、「最近のアクティビティ」で USB 接続の痕跡を調べ、クラウドストレージクライアントの痕跡を確認します。削除済みファイルを調べてデータの持ち出し準備を示す証拠を探し、法務チーム向けの HTML レポートを生成します。

シナリオ 2：マルウェア感染のフォレンジック調査 侵害されたシステムのイメージを追加し、「拡張子の不一致」モジュールと「暗号化の検出」モジュールを有効にします。プリフェッチディレクトリを調べて実行の証拠を探し、既知のマルウェアのハッシュを検索します。感染期間を中心とするタイムラインを作成し、不審な実行ファイルを抽出してサンドボックスでさらに分析します。

シナリオ 3：児童性的虐待素材（CSAM）の調査 PhotoDNA と Project VIC のハッシュセットを有効にした状態でイメージをインポートし、「画像アナライザー」モジュールを実行します。すべての画像ファイルを既知の不正コンテンツデータベースと照合し、一致したものにタグを付け、重大度別に分類します。証拠保全の記録を含む法執行機関向けレポートを生成します。

シナリオ 4：知的財産権紛争 複数の従業員のディスクイメージを、1 つのケースの個別のデータソースとしてインポートします。独自用語やプロジェクト名をキーワード検索し、データソース間でファイルハッシュを比較します。ファイルへのアクセスや転送のパターンを示すタイムラインを作成し、法務レビュー用に証拠をエクスポートします。

出力形式

Autopsy Case Analysis Summary:
  Case:           CASE-2024-001-Workstation
  Image:          evidence.dd (500GB NTFS)
  Partitions:     2 (System Reserved + Primary)
  Total Files:    245,832
  Deleted Files:  12,456 (recoverable: 8,234)

  Ingest Results:
    Hash Matches (Known Bad):  3 files
    Extension Mismatches:      17 files
    Keyword Hits:              234 across 45 files
    Encrypted Files:           5 containers detected
    EXIF Data Extracted:       1,245 images with metadata

  Tagged Evidence:
    Critical:     12 items
    Supporting:   34 items
    Review:       67 items

  Timeline Events:  1,234,567 entries (filtered to incident window: 892)
  Report:          /cases/case-2024-001/reports/autopsy_report.html