SIFT Workstation 3.0 に含まれるツールの確認(5) Autopsy

SIFT Ver3.0 に含まれるソフトウェアですが、以前から含まれている古典？ツールとしては The Sleuth Kit のフロントエンド GUIとしての Autopsy があります。

現在、AutopsyはWindows用のバージョン3と、Linux上で動作するバージョン2があるようですので、SIFTに含まれているのは Autopsy 2 になるかと思います。

http://www.sleuthkit.org/autopsy/index.php

Autopsy 2 のダウンロードページを確認してみたのですが、最新 2.24 は 2010年3月31日が最終更新となっています。SIFT に含まれているのはこれだと推測されますので、何も変化はないという事になるでしょうか。

 SANS FOR508 を受講した際にも、TSK については取り扱いがありましたが、Autopsyについては特に言及がない状況でしたので、Linux用が古く特に更新されてないというのもその理由の一つにあるのかもしれません。

Windows版のAutopsy 3 最新版3.0.9 (Feb 3, 2014) については、ヒストリのページで状況を確認できますが、細々と修正や拡張が行われているようです。「Added search engine parsers for linkedin, twitter, and facebook」といった記載もあり、ファイルシステムだけでなく個別アーティファクトのパースにも積極的に？取り組んでいるようですね。

Autopsyをフロントとして使うのであれば、SIFT上でというよりは Windows 上で実行し、 SIFT と連携させながら使うのが良さそうですね。

しばらく使っていなかったので、日本語データなど多言語対応がどの程度進んでいるか未確認なのですが、学生さんとかでこの辺り研究していたりしないですかね？