Tool Autopsy

Autopsy è un tool con interfaccia grafica (GUI) per l'analisi di dischi fissi e immagini forensi. Supporta i formati RAW, EWF (.E01) e AFF. È sostanzialmente il front-end visuale per operazioni che altrimenti richiederebbero molti tool da linea di comando.

Funzionalità principali:

• Analisi immagini forensi: mostra file e directory con relativi metadati
• Timeline delle attività: basata sui timestamp dei file (creazione, accesso, modifica)
• Verifica integrità: calcola hash MD5 di immagini forensi o file specifici
• Ricerca keyword: cerca stringhe o espressioni regolari — utile per cercare nome/cognome/soprannome di un sospettato
• Analisi metadati: visualizza i dettagli tecnici di ogni file
• Rilevamento incoerenze: segnala file dove l'estensione dichiarata non corrisponde al tipo reale rilevato dall'header (es. un .doc che in realtà è un JPEG) — questi file sono forensicamente sospetti

Timestamp e informazioni MACB

Un timestamp registra il momento in cui un evento avviene. Ogni file nel file system ha associati più timestamp, chiamati informazioni MACB:

In alcuni sistemi vengono riportate solo le informazioni MAC (senza B — la data di creazione).

Dove sono memorizzati i timestamp

• Linux: formato Posix/Epoch (32 bit), fuso orario in /etc/localtime
• Windows: formato FILETIME (64 bit), fuso orario nel registro di sistema a HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TimeZoneInformation

In Windows con file system NTFS, i timestamp sono memorizzati nella Master File Table (MFT). La MFT contiene un record per ogni file/directory, con puntatori ai dati e tutti i metadati. I timestamp stanno nel campo Standard Information di ogni record. Per file piccoli, il record MFT può contenere direttamente il contenuto del file.

Problemi delle Timeline Tradizionali