یک سؤال مشخص برای شروع بررسی دیسک
فرض کنید مسئول پاسخ به رخداد می‌خواهد بداند آیا نسخه‌ای از یک سند پروژه روی لپ‌تاپ آزمایشگاه وجود داشته و چه شواهدی زمان حضور آن را روشن می‌کنند. Autopsy محیط گرافیکی بررسی ادله دیجیتال است که The Sleuth Kit و ماژول‌های تحلیل را در یک پرونده گرد هم می‌آورد. تحلیلگر می‌تواند یک تصویر دیسک یا مجموعه فایل‌های منطقی را به پرونده اضافه کند، پردازش‌های مناسب را انتخاب کند و هر نتیجه را به داده‌ای که از آن استخراج شده پیوند دهد. در این تمرین، ادعای نهایی به وجود سند و حدود زمانی محدود است. نسبت دادن کار به یک فرد به شواهد بیشتری نیاز دارد.
برای تمرین یک تصویر کوچک متعلق به آزمایشگاه تهیه کنید. پیش از تصویربرداری، یک سند متنی با شناسه‌ای ساختگی بسازید، یک نسخه از همان محتوا را با نام دیگر در پوشه جداگانه قرار دهید و نسخه سوم را با یک جمله متفاوت ذخیره کنید. زمان واقعی این سه عمل و منطقه زمانی سیستم را در یادداشتی مستقل نگه دارید. این یادداشت پاسخ مرجع شماست. بعداً می‌توان سنجید که جست‌وجوی واژه، تطبیق هش و بررسی زمان هرکدام چه بخشی از واقعیت شناخته‌شده را بازیابی کرده‌اند.
تصویر ورودی و پرونده را جدا نگه دارید
راهنمای Autopsy پرونده را ظرفی برای یک یا چند منبع داده معرفی می‌کند. هنگام افزودن تصویر، پرونده به محل منبع اشاره می‌کند و اصل تصویر به‌طور خودکار در پوشه پرونده کپی نمی‌شود. این جزئیات هنگام انتقال کار به میز تحلیل دوم مهم است. اگر فقط پوشه پرونده را جابه‌جا کنید، فهرست یافته‌ها ممکن است دیده شود اما دسترسی به محتوای منبع از بین برود. از ابتدا یک محل پایدار برای نسخه کاری تصویر تعیین کنید و نام، مسیر، اندازه، معرفی دستگاه و زمان دریافت را ثبت کنید.
نوع منبع بر حدود بررسی اثر می‌گذارد. تصویر کامل دیسک می‌تواند اطلاعات ساختار فایل‌سیستم را در خود داشته باشد، درحالی‌که پوشه‌ای از فایل‌های صادرشده فقط همان اقلام انتخابی را در اختیار تحلیلگر می‌گذارد. اگر تنها یک پوشه منطقی دریافت کرده‌اید، نبود فایل حذف‌شده در نتایج نمی‌تواند درباره همه دیسک پاسخ بدهد. در گزارش از همان ابتدا روشن کنید کدام نوع داده دریافت شده و چه بخش‌هایی هرگز در اختیار شما قرار نگرفته‌اند. این توضیح کوتاه مانع نتیجه‌گیری درباره فضایی می‌شود که اصلاً بررسی نشده است.
برای نصب، نسخه مناسب میز تحلیل را از صفحه رسمی دریافت و راهنمای همان نسخه را مطالعه کنید. منابع این مطلب شامل راهنمای نسخه ۴٫۲۲ است و نام منو یا مجموعه ماژول‌ها در نسخه دیگر می‌تواند تفاوت داشته باشد. محل پرونده به فضای نوشتنی برای پایگاه داده، نمایه‌ها، گزارش‌ها و خروجی‌های استخراج‌شده نیاز دارد. بهتر است قبل از کار روی تصویر اصلی، همین نمونه کوچک را پردازش کنید و رشد پوشه پرونده را بسنجید. فضای لازم را فقط از اندازه فایل ورودی حدس نزنید.
ساخت پرونده و بررسی یکپارچگی
یک پرونده جدید با شناسه تمرین بسازید و از مسیر افزودن Data Source تصویر را معرفی کنید. میزبان مربوط را با نامی قابل تشخیص تعیین کنید، به‌خصوص اگر چند تصویر و چند دستگاه در یک پرونده بررسی می‌شوند. نام مبهمی مانند «دیسک دوم» بعداً می‌تواند میان شواهد دو رایانه سردرگمی ایجاد کند. در یادداشت پرونده مشخص کنید کدام دستگاه متعلق به کدام مرحله آزمایش است و آیا منبع از نظر زمانی قبل یا بعد از تغییر مورد بررسی تهیه شده است.
ماژول Data Source Integrity در صورت وجود مقدار هش مرجع، هش محاسبه‌شده را با آن مقایسه می‌کند. مقدار مرجع ممکن است هنگام افزودن تصویر وارد شود یا در منبعی مانند E01 موجود باشد. اگر مقدار مرجع در اختیار نباشد، ماژول می‌تواند هش را محاسبه و در پایگاه داده پرونده ذخیره کند. این دو نتیجه را با واژه‌های دقیق گزارش کنید. «هش محاسبه شد» با «هش با مقدار ثبت‌شده هنگام جمع‌آوری تطابق داشت» پشتوانه یکسانی ندارد. تطبیق موفق نیز به خودی خود نحوه تهیه تصویر و هویت تحویل‌دهنده را ثابت نمی‌کند.
اگر تطبیق شکست خورد، ابتدا مسیر تصویر و کامل بودن همه قطعه‌های آن را بررسی کنید. در راهنما برای شکست، علاوه بر پیام، یک یافته Verification Failed در پرونده ثبت می‌شود. به جای ادامه دادن با فرض خرابی اتفاقی، مقدار مورد انتظار و مقدار محاسبه‌شده را جدا ثبت کنید و منبع سالم یا توضیح اختلاف را پیدا کنید. محاسبه دوباره همان هش روی همان فایل تغییریافته ممکن است نتیجه قبلی را تکرار کند، اما منشأ اختلاف را توضیح نمی‌دهد.
انتخاب ماژول پردازش با توجه به فرضیه
پس از افزودن منبع، Autopsy امکان انتخاب Ingest Modules را می‌دهد. این پردازش‌ها در پس‌زمینه اجرا می‌شوند و یافته‌ها می‌توانند قبل از پایان کل کار ظاهر شوند. برای تمرین سند پروژه، شناسایی نوع فایل، جست‌وجوی واژه و تطبیق هش سه مسیر مرتبط هستند. پیش از پایان پردازش، نتیجه‌های اولیه را مقدماتی بنامید. اگر بخشی از پردازش لغو یا با خطا تمام شده، فهرست اقلام دیده‌شده با یک بررسی کامل برابر نیست. وضعیت اجرای ماژول‌ها و پیام‌های خطا را همراه پرونده نگه دارید.
ماژول Hash Lookup هش فایل‌های داخل منبع را با مجموعه‌های تعریف‌شده مقایسه می‌کند. این بررسی با سنجش یکپارچگی کل تصویر فرق دارد. برای تمرین، هش سند اصلی را در مجموعه آزمایشی ثبت کنید. انتظار می‌رود نسخه‌ای که فقط نام دیگری دارد نیز از نظر محتوا مطابق باشد، اما نسخه ویرایش‌شده تطبیق دقیق نداشته باشد. اگر هر دو نتیجه را با عبارت «همان سند» گزارش کنید، خواننده تفاوت میان بایت‌های یکسان و شباهت معنایی دو متن را از دست می‌دهد.
طبق راهنمای نسخه مورد استفاده، Hash Lookup برای جست‌وجو در مجموعه هش از MD5 فایل استفاده می‌کند و SHA-256 را نیز محاسبه می‌کند. این نکته را در روش بررسی ثبت کنید تا شخص دیگری بداند نتیجه چگونه به دست آمده است. مجموعه شناخته‌شده سیستم‌عامل می‌تواند حجم بازبینی دستی را کم کند. با این حال، در پرونده‌ای که موضوعش خود یک فایل سیستمی است، کنار گذاشتن خودکار همان دسته می‌تواند مدرک مرتبط را پنهان کند. انتخاب مجموعه باید به سؤال پرونده وابسته باشد.
جست‌وجوی واژه و بازبینی یافته
شناسه منحصربه‌فرد سند آزمایشی را در فهرست جست‌وجو قرار دهید. راهنما دو مسیر برای جست‌وجو توضیح می‌دهد. نمایه‌سازی کامل با Solr امکان پرسش‌های بعدی را فراهم می‌کند و هزینه پردازش و ذخیره‌سازی بیشتری دارد. جست‌وجوی درون‌خطی برای واژه‌های از پیش تعیین‌شده مناسب است. اگر احتمال دارد بعداً نام یا شناسه تازه‌ای پیدا شود، هزینه نمایه‌سازی را در برابر نیاز به بازپردازش بسنجید. عبارت فراگیر مثل یک عدد کوتاه می‌تواند نتیجه‌های زیادی ایجاد کند و وقت بازبین را صرف اقلام نامرتبط کند.
یک تطبیق را باز کنید و محتوای اطراف آن را بخوانید. شناسه شاید در متن اصلی، در یک پیوست استخراج‌شده یا در داده کمکی برنامه دیده شده باشد. مسیر منبع، نام فایل مادر و محل متن پیدا‌شده را یادداشت کنید. اگر قالب پشتیبانی نشود، ابزار ممکن است رشته‌های قابل خواندن را از داده خام استخراج کند. چنین رشته‌ای می‌تواند سرنخ بدهد، اما همیشه ساختار یا جمله اصلی را بازسازی نمی‌کند. برای فایل رمزگذاری‌شده نیز نبود تطبیق متن آشکار انتظار دور از ذهنی نیست.
در نمونه آزمایش، از یک نویسه فارسی با دو شکل رایج استفاده کنید و پرس‌وجو را با هر شکل تکرار کنید. اگر نتیجه‌ها تفاوت دارند، مسئله ممکن است از شیوه ذخیره یونیکد، استخراج متن یا تنظیم جست‌وجو ناشی شود. راه عملی این است که متن یک فایل مرجع را مستقلاً باز کنید و شکل دقیق نویسه را با ورودی جست‌وجو مقایسه کنید. جایگزین کردن همه نتایج منفی با جمله «این عبارت وجود نداشته» دامنه شواهد واقعی را بیش از حد بزرگ می‌کند.
زمان، رابطه و انتساب
نمای Timeline به تحلیلگر کمک می‌کند رخدادهای استخراج‌شده را در یک بازه ببیند. پیش از ساخت روایت، مشخص کنید هر زمان به چه رویدادی اشاره دارد. زمان تغییر محتوای فایل، زمان ایجاد یک نسخه در محل تازه و زمان بازدید ثبت‌شده در یک برنامه پاسخ‌های متفاوت می‌دهند. اگر فایل با ابزار دیگری کپی شده باشد، برخی زمان‌ها ممکن است رفتار منبع یا عملیات کپی را منعکس کنند. اختلاف ساعت دستگاه و تنظیم نمایش منطقه زمانی را نیز با یادداشت مرجع تمرین مقایسه کنید.
فرض کنید نسخه هم‌نام در پوشه دانلود پیدا شده و چند دقیقه بعد نسخه ویرایش‌شده در پوشه پروژه وجود دارد. این توالی از یک فرضیه درباره جابه‌جایی پشتیبانی می‌کند، ولی به تنهایی هویت کسی را که پشت رایانه بوده تعیین نمی‌کند. به دنبال شاهد مستقلی مانند رویداد ثبت‌شده برنامه یا سابقه ورود مربوط به همان بازه بگردید و توضیح دهید کدام رابطه مستند و کدام رابطه استنباطی است. اگر تنها داده همان سه فایل آزمایشی باشد، بهترین گزارش دقیقاً به همان سه فایل محدود می‌ماند.
برچسب‌ها و گزارش قابل تکرار
در Autopsy می‌توان خود فایل یا نتیجه استخراج‌شده از آن را برچسب زد. اگر موضوع بررسی یک پاراگراف یا رکورد مشخص است، برچسب زدن نتیجه مسیر بازبینی را کوتاه می‌کند. اگر محتوای کامل فایل اهمیت دارد، برچسب فایل مناسب‌تر است. در توضیح بنویسید چرا این مورد به سؤال پرونده مربوط است. عبارت «مهم» برای بازبین بعدی راهنمایی کافی نیست. توضیحی مانند «شناسه پروژه در نسخه تغییریافته با یک جمله افزوده دیده شد» یافته و دلیل انتخاب را به هم وصل می‌کند.
برای گزارش HTML یا صفحه‌گسترده، اقلام و منبع‌های مورد نظر را آگاهانه انتخاب کنید. راهنمای رسمی توضیح می‌دهد که ممکن است نام منبع کنارگذاشته‌شده همچنان در صفحه اصلی گزارش HTML دیده شود، هرچند نتایج آن منبع درج نشده باشند. بنابراین پیش از تحویل فایل، گزارش را از دید گیرنده باز کنید، مسیر پیوندها را بررسی کنید و از نمایش داده خارج از محدوده پرونده مطمئن شوید. گزارشی که فقط روی رایانه تحلیلگر قابل خواندن است برای بازبینی مستقل آماده نیست.
در پایان تمرین، یک همکار باید بتواند با نسخه ابزار، مسیر تصویر، هش مرجع، فهرست ماژول‌ها و واژه‌های جست‌وجوی ثبت‌شده دوباره به یافته برسد. از او بخواهید بدون خواندن نتیجه‌گیری شما نسخه تغییرنام‌یافته و نسخه ویرایش‌شده را جدا کند و زمان‌هایشان را توضیح دهد. مقایسه پاسخ مستقل با یادداشت اولیه نشان می‌دهد کدام بخش تحلیل از شواهد پشتیبانی می‌شود و کدام قسمت به فرض اضافی نیاز دارد. چنین بازبینی‌ای ارزش پرونده را فراتر از یک تصویر از صفحه نتایج بالا می‌برد.
