Software-update: Autopsy 4.11.0

The Sleuth Kit is een collectie forensische tools die gebruikt kunnen worden om de harde schijf nader te bekijken. Het is mogelijk om verschillende verwijderde bestanden terug te halen of gedeeltelijk te bekijken. Autopsy is een grafische interface voor deze kit, en draait op Linux, macOS en Windows. Het wordt uitgegeven onder de Apache 2.0-licentie en is geschreven in Java. Voor meer informatie verwijzen we naar deze handleiding. De ontwikkelaars hebben een nieuwe versie uitgebracht met 4.11.0 als versienummer. De lijst met veranderingen ziet er als volgt uit:

New Features:

Adding Data:

• Hashes can optionally be entered when adding a disk image data source to a case.
• Acquisition details can be stored when the data source is added.

Ingest Modules:

• Added support for Microsoft Edge browser (cookies, history, and bookmarks)
• Added support for Safari web browser (downloads, cookies, history, and bookmarks)
• Expanded Chrome browser support to include cache parsing and form/auto fill.
• Expanded Firefox browser support to extract form/auto fill fields.
• Parse Zone.Identifier files to identify the source of files.
• Added a TSK_SOURCE artifact to downloaded files to help users trace back to where it came from.
• Added support for parsing vCards (virtual cards).
• Extract more information about Windows user accounts (number of logins, creation date, and last login)
• Detect more operating system types, which get saved as a TSK_OS_INFO artifact.
• Detect Android media cards, which gets saved as a TSK_DATA_SOURCE_USAGE artifact.

UI:

• The Application content viewer now displays HTML files.
• Video playback now uses gstreamer on 64-bit systems, which supports more video formats.
• Pictures can be rotated and zoomed in the Application content viewer.
• The Other Occurrences content viewer layout was reorganized to make viewing the data easier.
• New "Data Source Summary" panel shows high-level statistics and details about the data sources in the case.
• Data sources are now listed in the data sources tree in alphabetical order.
• The presentation of finding common properties within a case was revised to group results in a more helpful way.

Report / Export:

• Portable Cases can be created based on tagged data. These cases contain a subset of the case data and can be opened anywhere.
• Users can now choose tabs or commas as the delimiter for a files report.
• Case notes are included in the HTML report.

Other:

• Added a new file type that allows module writers to specify a file based on its byte range.
• Data sources can be analyzed and have a CASE/UCO report generated using only the command line.

Bug Fixes

• Decreased the time required to execute inter-case common properties searches of the Central Repository.
• Assorted small bug fixes are included.

Versienummer	4.11.0
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, macOS, Windows 8, Windows 10
Website	Autopsy
Download	https://github.com/sleuthkit/autopsy/releases/tag/autopsy-4.11.0
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (7)

Iemand ervaring mee of het echt zo goed werkt?

Als je er behendig mee bent wel. Ik ben zelf beter onderlegd in andere forensische pakketten, maar als ik een keer tijd te veel heb plan ik Autopsy wel weer eens uit te proberen, de nieuwere versie dus.

Wat voor pakketten gebruik je?

Net als bij andere forensische pakketten heb je aardig wat kennis nodig wil je hier echt iets uithalen wat bv ook juridisch houdbaar is. Bij mij was de vorige versie niet altijd even stabiel onder Windows 10. Hopelijk gaat dat nu beter.

Ik gebruik het regelmatig en vind dat het programma steeds beter wordt. Vraag is of het echt gratis zal blijven. Voor wat betreft analyse van geheugenkaarten, USB sticks,... kan het zeker de concurrentie aan met de commerciële software... wat betreft een computersysteem/pc... zijn de gebruiksmogelijkheden en het gemak van pakweg Axiom veel groter... de prijs is er natuurlijk naar. Als je bekijkt welke artifacts Axiom automatisch ophaalt en geordend/gecatalogiseerd weergeeft... wat niet uitsluit dat je met Autopsy toch redelijk ver kan geraken. Het programma is eigenlijk opgebouwd uit reeds andere bestaande tools/modules en de makers zijn daar heel open in. Juridisch is er met dit programma niet echt een probleem als je weet dat de Linux versie van het programma één van de weinige aanvaarde programma's is in de rechtbanken in de VS... er is ook een forum maar de inbreng van de gebruikers is momenteel beperkt. Er wordt wel steeds gewerkt aan bijkomende aparte modules die soms wel betalend zijn... al bij al vind ik het zeker geen slechte software als je alleen al de prijs vergelijkt (gratis) met de commerciële software (duizenden euro's/dollars). Er was in het verleden een vrij goede handleiding op hun website beschikbaar maar ik weet niet hoe het momenteel zit... als je een aantal keer met het programma werkt heb je de basis vrij snel door... de interface is vrij gebruiksvriendelijk. Het programma is wat mij betreft vrij stabiel maar de snelheid van de verwerking van de gegevens zouden ze wel kunnen verbeteren tenzij je een zeer krachtige pc hebt.

[Reactie gewijzigd door Bacchero op 2 mei 2019 22:32]

Voor het eerst eens aan het uitproberen. Weet eigenlijk niet wat ik er moet van denken. Weet eigenlijk niet of het iets doet.

De PhotoRec Carver module is nu al enkele uren aan het werken. Rechtsbeneden staat "Analyzing files from ..." met het balkje op 100%. Hij zal wel iets doen want processor zit constant rond de 10% en er wordt 35MB/s weggeschreven.
Zal nog eens laten verder doen tot vanavond en zien wat het resultaat is.

Ook wel beetje vreemd dat ik deze melding krijg : https://i.imgur.com/XFTe5QD.png
terwijl ik met versie 4.11.0 werk.

Als je pakweg een harde schijf van meer dan 500 GB grondig laat onderzoeken (carven, internet historieken,...) is het programma wel een dagje zoet maar dat heb je met commerciële programma's als Axiom ook. Enkel X-ways is vrij snel met zijn eerste analyse maar je hebt dan wel niet zo veel beschikbare informatie die "op een dienblaadje" wordt geserveerd. De melding is mij niet bekend.