◆目的
Autopsy を使用してファイルシステム分析を学習し実行できるように支援することです。ファイルシステム分析を実行すると、調査者は次の情報を判断できます。

・ファイルシステムの種類
・メタデータ情報
・コンテンツ情報

◆概要
Autopsy を使用したファイルシステム分析について学びます。Autopsy でケースを作成し、アプリケーションを使用してファイルシステムを調べる方法を理解するのに役立ちます。

Autopsyツールを使用して Linux イメージのファイルシステムを調べます。

１
デスクトップにImage File Analysisという名前のフォルダーを作成します。

２
Autopsyをインストールする

３
インストールが完了したら、「完了」をクリックしてセットアップ・ウィザードを終了します。

４
Autopsy Welcomeウィンドウが Autopsy メインウィンドウとともにバックグラウンドで表示されます。[ようこそ]ウィンドウで、[新しいケース]をクリックします。

５
[新しいケース情報]ウィンドウが開き、ケース名とベースディレクトリを入力するように求められます。ベースディレクトリは、ケースデータが保存される場所です。識別目的に応じてケース名を入力できます。今回はケース名をLinux_Analysisとして割り当てます。

６
ベースディレクトリを指定する前に、デスクトップ上にImage File Analysisという名前のフォルダを作成し、ベースディレクトリのパスをこのフォルダに設定します。

７
ベースディレクトリを設定したら、[次へ]をクリックします。

８
新しいケース情報]ウィンドウに、審査官の名前やケース番号などの詳細を指定できる[オプション情報]セクションが表示されます。審査官の名前ケース番号(1001-125)を入力します。他のオプションのフィールドに入力することもできます。オプションのフィールドに詳細を入力したら、「完了」をクリックします。

９
[データソースの追加]ウィンドウが表示され、 [追加するデータソースのタイプを選択]セクションが表示されます。ここでは、入力として提供されるデータソースのタイプを選択する必要があります。このラボでは、ディスクイメージを分析します。したがって、 [ディスクイメージ] または [VM ファイル]オプションを選択し、[次へ]をクリックします。

１０
[データソースの追加]ウィンドウに[データソースの選択]セクションが表示され、調査するイメージの場所を選択する必要があります。[参照]をクリックします。

１１
フォレンジックイメージを指定する必要がある[開く]ウィンドウが表示されます。
Linux系の証拠(Linux_Evidence_001.img)を選択して、[開く]をクリックします。

１２
画像ファイルのパスを設定したら、「次へ」をクリックします。

１３
「データソースの追加」ウィンドウに「取り込みモジュールの構成」セクションが表示されます。このセクションには、チェックされたオプションのリストが含まれています。要件に応じてオプションを選択し、「次へ」をクリックします。

１４
[データソースの追加]ウィンドウに[データソースの追加]セクションが表示され、データソースが追加されたことが示されます。「完了」をクリックします。

１５
アプリケーションはAutopsyメインウィンドウに結果を表示します。左側のペインで「データソース」ノードを展開し、イメージファイル ( Linux_Evidence_001.img )をクリックします。次のスクリーンショットに示すように、画像ファイルの内容が表示されます。

１６
イメージファイル(Linux_Evidence_001.img)を展開して、その内容を確認します。イメージを展開すると、次のスクリーンショットに示すように、Autopsy によって Linux イメージのファイルシステムが表示されます。

１７
ファイルシステム分析の一環として、イメージに保存されているすべての必要なファイルを検査できます。このラボでは、 \etc の場所に保存されているpasswdファイルを表示します。したがって、左側のペインからetcフォルダーを選択します

１８
フォルダーを選択すると、 etcに存在するすべてのファイルとフォルダーがウィンドウの右側のペインに表示されます。

１９
ウィンドウを下にスクロールして、passwdファイルを選択します。

２０
「テキスト」タブをクリックします。

２１
Autopsy は、次のスクリーンショットに示すように、 passwdファイルに存在するすべてのテキスト (ユーザーアカウント情報) を[文字列]タブに表示します。

２２
同様に、[ファイルメタデータ]、[16 進数] 、および[注釈]タブをクリックして、選択したファイルに関するその他の詳細を表示します。

２３
このようにして、選択した他のすべてのファイルとフォルダーを分析して、それらに関する詳細情報を取得できます。

２４
ファイルシステムの検査とは別に、検査するファイルのハッシュを計算することもできます。これは、証拠の整合性を検証するのに役立ちます。このラボでは、 /home/roger/Documents 内にあるSeatPlan.xlsという名前のファイルの MD5 ハッシュを計算します。

２５
このファイルの MD5 ハッシュ値を表示するには、左側のペインで[home] --> [roger] --> [Documents]を展開します。SeatPlan.xlsファイルが Autopsy ウィンドウの右側のペインに表示されます。ファイルをクリックします。

２６
[ファイルメタデータ]セクションには、ファイルの作成、変更、アクセス時刻とその MD5 ハッシュ値など、選択したフォルダー/ファイルのメタデータ情報が表示されます。

２７
[ファイルメタデータ]をクリックし、セクションを下にスクロールして、SeatPlan.xlsファイルの MD5 値を見つけます。

２８
削除されたデータの回復とファイル拡張子の不一致の検出のラボについては、「モジュール 05 アンチフォレンジック技術の打ち破り」で説明されています。

２９
調査に必要なAutopsyのすべてのオプションを詳細に検討します。

３０
開いているウィンドウをすべて閉じます。