Судебные средства

Добавление хоста

Когда вы вошли в дело, необходимо задать по крайней мере один хост, который вы собираетесь освидетельствовать. Этот хост представляет конкретную исследуемую машину.

1. В Case Gallery щелкните мышью на Add Host. Появится экран Add a New Host (рис. 11.3).
   

   
   Рис. 11.3. Экран Add a New Host
2. Введите имя хоста.
3. При желании введите краткое описание хоста.
4. Задайте часовой пояс и отклонение часов - расхождение с временной меткой основного файла дела, чтобы Sleuth Kit по-особому трактовал временные метки на хосте. Это может быть очень важно при осмотре нескольких серверов с различным временем на часах.
5. При желании добавьте необязательную запрошенную информацию.
6. Щелкните мышью на Add Host, чтобы добавить хост и вернуться в Case Gallery.
7. Выполните эту процедуру для каждого хоста, на котором имеются данные.

Добавление образа

Теперь следует добавить образы данных для созданных хостов. Используйте копии данных, сделанные с помощью dd, Norton Ghost или какой-либо иной утилиты тиражирования данных.

1. Выберите хост на экране Host Gallery и щелкните мышью на OK.
2. Щелкните мышью на кнопке Add Image. Появится экран Add a New Image (рис. 11.4).
   

   
   Рис. 11.4. Экран Add a New Image
3. Введите расположение и данные о файле образа. Можно скопировать файл в каталог для этого хоста в хранилище свидетельств или просто создать символьную ссылку на него. Будьте осторожны и не перемещайте файлы образов, особенно больших, слишком часто, так как это может привести к потере данных, если во время переноса возникнут проблемы.
4. Выберите тип файловой системы. Это определяет способ, которым Sleuth Kit смотрит на данные в образе.
5. Sleuth Kit автоматически создает файл хэша. Вы можете в любое время проверить соответствие хэша и данных в файле. Это значительно повышает легитимность ваших усилий в суде.
6. Для каждого хоста можно добавить несколько образов. Например, вам, возможно, понадобится разбить большой диск на несколько файлов образов. Щелкните мышью на Add Image, чтобы добавить образ и вернуться в основное окно Case Gallery.

Анализ данных

Теперь вы, наконец, готовы приступить к анализу. Может показаться, что работы по настройке слишком много, но вы оцените Sleuth Kit, когда вам придется манипулировать большим числом образов или понадобится быстро выдать определенный фрагмент данных. Перейдите в Image Gallery и щелкните мышью на образе, который хотите анализировать. В табл. 11.5 перечислены типы анализа, который можно выполнять на образах данных.

Sleuth Kit в сочетании с Autopsy Forensic Browser - мощное средство организации и анализа судебных данных на уровне любой профессиональной лаборатории в стране. В этом разделе затронуты лишь некоторые основные функции, но об этом замечательном инструменте можно написать целые тома. Здесь не рассмотрены многие команды и функции. Дополнительную информацию можно найти в оперативном руководстве и других ресурсах на web-сайте. На сайте предлагается также ежемесячный бюллетень с интересными статьями и рекомендациями для интересующихся судебной информатикой.

Рис. 11.5. Результаты поиска по ключевым словам

The Forensic Toolkit - еще одна замечательная свободная программа компании Foundstone. Этот набор средств полезен при осмотре файловых систем на платформе Windows и сборе информации для судебного расследования. Версия 1.4 программы имеет полностью открытые исходные тексты с лицензией GPL. Версия 2.0 условно свободна и может применяться для коммерческих целей, но имеет ограничения на внесение в программу дополнений и изменений, а ее исходные тексты в настоящее время недоступны.

Отметим, что эти средства работают только с файловыми системами NTFS. Если вы желаете исследовать раздел FAT32, вам придется воспользоваться другим инструментарием.