Autopsy — Analyse forensique de disque

Qu'est-ce que Autopsy ?

Autopsy est une interface graphique pour Sleuth Kit. Il analyse des images disque (.img, .dd, .E01) : fichiers supprimés, timeline d'activité, recherche de mots-clés, artefacts Windows.

Commandes CLI (Sleuth Kit)

mmls disk.img                   # table des partitions
fsstat -o 2048 disk.img         # infos système de fichiers
fls -r -o 2048 disk.img         # lister les fichiers
fls -d -o 2048 disk.img         # fichiers SUPPRIMÉS uniquement
icat -o 2048 disk.img 1234 > f  # récupérer par inode

# Timeline
fls -r -m / -o 2048 disk.img > body.txt
mactime -b body.txt -d > timeline.csv

File Carving

foremost -t jpg,pdf,zip -i disk.img -o recovered/
scalpel disk.img -o recovered/
binwalk -e firmware.bin
photorec disk.img