The Sleuth Kit — Boîte à outils forensic disque

Présentation

The Sleuth Kit (TSK) est une suite CLI open-source d'analyse de systèmes de fichiers et de disques, moteur derrière Autopsy. Elle fonctionne par couches : volume, système de fichiers, métadonnées (inode), nom de fichier.

Commandes par couche

# Couche volume
mmls disk.dd                 # table des partitions

# Couche système de fichiers
fsstat -o 2048 disk.dd       # infos du FS

# Couche fichier/nom
fls -r -o 2048 disk.dd       # lister (récursif, supprimés)

# Couche métadonnées
istat -o 2048 disk.dd 12345  # détail inode
icat -o 2048 disk.dd 12345   # extraire le contenu

Récupération

tsk_recover -o 2048 disk.dd output/   # récup. fichiers supprimés
tsk_gettimes disk.dd | mactime        # timeline bodyfile