Autopsy / The Sleuth Kit
منصة تحقيق جنائي رقمي متكاملة بواجهة رسومية، تتيح تحليل الأقراص واستعادة الملفات المحذوفة وبناء الخط الزمني للأحداث.
دفاعمفتوحة المصدرLinuxmacOSWindows
www.autopsy.comدليل Autopsy / The Sleuth Kit الشامل
تعد مجموعة أدوات (The Sleuth Kit - TSK) المكتبة البرمجية المفتوحة المصدر الرائدة في مجال التحليل الجنائي الرقمي للأقراص (Disk Forensics)، بينما يمثل برنامج Autopsy الواجهة الرسومية (GUI) لها. تتيح هذه الأدوات معاً تحليل أنظمة الملفات المتعددة مثل FAT، NTFS، ext، HFS، و APFS، واستعادة الملفات المحذوفة، وبناء الخطوط الزمنية (Timelines)، ومطابقة البصمات الرقمية (Hash-matching) مقابل قواعد البيانات المعروفة، والبحث عن الكلمات المفتاحية، وتشغيل إضافات مخصصة لتحليل سجلات المتصفح، والريجستري (Registry)، والبريد الإلكتروني، مما يغطي كامل دورة التحليل الجنائي للأقراص.
التثبيت (Install)
# Linux: TSK CLI (أدوات سطر الأوامر)
$ apt install sleuthkit autopsy
$
# Windows / macOS: تطبيق Autopsy الكامل
$ https://www.autopsy.com/download/
أدوات Sleuth Kit لسطر الأوامر (CLI)
| الأداة | الغرض من الاستخدام |
|---|---|
mmls | عرض خريطة الأقسام (Partition map) |
fsstat | عرض تفاصيل نظام الملفات (Filesystem) |
fls | قائمة الملفات (النشطة والمحذوفة) |
ils | عرض فهارس العناوين (Inodes) المحذوفة |
icat | عرض محتوى ملف بناءً على رقم الـ Inode |
mactime | ترتيب مخرجات fls/ils بناءً على تواقيت MAC (العديل، الوصول، التغيير) |
tsk_recover | استعادة الملفات المحذوفة بشكل جماعي |
tsk_loaddb | تحميل صورة القرص (Disk Image) في قاعدة بيانات Autopsy |
blkls | استخراج الكتل غير المخصصة (Unallocated blocks) |
srch_strings | استخراج السلاسل النصية (Strings) من قسم معين |
سير عمل سريع للتحليل الجنائي للأقراص
# تحديد الأقسام الموجودة في الصورة
$ mmls disk.dd
# DOS Partition Table
# Slot Start End Length Description
# 02:00 0000002048 0008390655 00008388608 NTFS / exFAT (07)
$
# إدراج الملفات بشكل متكرر لقسم يبدأ عند الإزاحة (offset) 2048
$ fls -r -o 2048 disk.dd > files.fls
$
# توليد خط زمني (Timeline)
$ fls -r -m C: -o 2048 disk.dd > body.txt
$ mactime -d -z UTC -y -b body.txt > timeline.csv
$
# استعادة كافة الملفات المحذوفة
$ tsk_recover -o 2048 -a disk.dd recovered/
سير العمل في واجهة Autopsy الرسومية
- قضية جديدة (New Case) ← إنشاء مجلد خاص بالقضية.
- إضافة مصدر بيانات (Add Data Source) ← اختيار صورة القرص (
.dd,.E01,.AFF)، أو قرص وهمي (.vmdk)، أو جهاز حي (Live host). - وحدات المعالجة (Ingest Modules) — اختيار الوحدات المطلوب تشغيلها (قد تستغرق دقائق لكل وحدة):
- التعرف على نوع الملف والبحث عن البصمة (File Type ID, Hash Lookup) — التحقق مقابل قواعد بيانات NSRL.
- مستخرج الملفات المضمنة (Embedded File Extractor) — فتح الأرشيفات واستخراج بيانات EXIF من الصور.
- النشاط الأخير (Recent Activity) — سجل المتصفحات، أجهزة USB المتصلة، والمستندات المفتوحة مؤخراً.
- البحث عن الكلمات المفتاحية (Keyword Search) — قوالب جاهزة (روابط، إيميلات، IPs) + تعبيرات نمطية مخصصة (Regex).
- محلل البريد الإلكتروني (Email Parser) — ملفات Outlook PST، mbox، و Maildir.
- اكتشاف التشفير (Encryption Detection).
- أداة PhotoRec Carver — استعادة الملفات (File carving) من المساحات غير المخصصة.
- تكامل VAD / Volatility.
- وحدة Yara — فحص الملفات بناءً على قواعد Yara.
- بعد الانتهاء، تصفح النتائج:
- الشجرة (Tree) — عرض نظام الملفات.
- طرق العرض (Views) — حسب نوع الملف، الملفات المحذوفة، المشفرة، أو نوع MIME.
- النتائج (Results) — نتائج الكلمات المفتاحية، العلامات المرجعية، سلاسل البريد، وقائمة أجهزة USB.
- التقارير (Reports) — استخراج التقارير بصيغ HTML / Excel / KML أو SQLite.
الأدلة الرقمية (Artifacts) الشائعة
| المصدر | المعلومات المستخرجة |
|---|---|
$MFT | سجل لكل ملف وجد على نظام NTFS مع تواقيته |
سلة المهملات | الملفات "المحذوفة" مع مسارها الأصلي |
Prefetch | توقيت آخر تشغيل لحوالي 1024 ملف تنفيذي |
Amcache.hve | سجل تشغيل البرامج (أدق من Prefetch في أنظمة Win10/11) |
ملفات LNK | الملفات التي تم فتحها (مع المسار، القرص، وعنوان MAC للجهاز الأصلي) |
JumpLists | العناصر المفتوحة مؤخراً الخاصة بكل تطبيق |
سجلات Evtx | إدخالات سجل أحداث ويندوز (Windows Event Log) |
خلايا الريجستري (Registry Hives) | مفاتيح التشغيل التلقائي (Run keys)، معرفات USB، سجل الشبكة، و ShimCache |
قواعد بيانات المتصفح | سجل Chrome / Firefox / Edge، التحميلات، وملفات تعريف الارتباط (Cookies) |
قواعد بيانات البريد | إدخالات بريد Outlook PST |
يقوم Autopsy بتحليل هذه الأدلة تلقائياً عبر وحدات "Recent Activity" و "Email Parser".
المشكلات الشائعة والحلول
| العرض | الحل |
|---|---|
فشل تحميل الصورة (unsupported) | تحقق من الصيغة؛ قم بالتحويل باستخدام qemu-img convert إلى صيغة خام .dd |
| المعالجة (Ingest) بطيئة جداً | عطل وحدة carver إذا لم تكن ضرورية؛ أوقف البحث عن الكلمات المفتاحية حتى وقت لاحق |
| الخط الزمني ضخم جداً | قم بالتصفية بناءً على مسار الملف أو نافذة زمنية محددة قبل التصدير |
| نظام ملفات مشفر | BitLocker ← يتطلب مفتاح الاسترداد (من AD)؛ FileVault ← فتح سلسلة المفاتيح |
| ملفات الذاكرة المقتطعة | استخدم أدوات تحليل الذاكرة مثل Volatility؛ Autopsy ليس أداة مخصصة للذاكرة (RAM) |
منظور الاستجابة للحوادث (IR)
يعتبر Autopsy الأداة العالمية لتحليل الأقراص بعد سحبها لمعرفة ما حدث. بعد قيام أداة KAPE بجمع الأدلة المستهدفة، يمكن تحميل الملف الناتج في Autopsy لتحليله وبناء الخط الزمني.
في حالات برامج الفدية (Ransomware): تظل الملفات المشفرة مرئية في $MFT ، وغالباً ما توجد النسخ الأصلية في نسخ الظل (Volume Shadow Copies - vss) — يمكن لـ TSK تثبيت هذه النسخ للاستعادة.
أمن العمليات (OPSEC) للمحلل
- العمل دائماً على نسخة جنائية (Forensic copy) وليس القرص الأصلي. استخدم أجهزة منع الكتابة (Write-blocker).
- حساب بصمة SHA-256 قبل وبعد التحليل لإثبات سلامة البيانات (Integrity).
- الاحتفاظ بسجل تسلسل العهدة (Chain of custody) لضمان قبول النتائج قانونياً.
أدوات ذات صلة
| الأداة | التخصص |
|---|---|
| KAPE | الفرز السريع (Triage) للأجهزة الحية واستخراج أدلة محددة |
| Plaso / log2timeline | توليد خطوط زمنية فائقة (Super-timelines) من أنواع متعددة من الأدلة |
| Velociraptor | البحث (Hunting) في الأجهزة الحية مع استخراج أدلة مشابهة |
| Magnet Axiom / EnCase / FTK | مجموعات أدوات التحقيق الجنائي الرقمي (DFIR) التجارية |
| bulk_extractor | استخراج الأنماط (مثل بطاقات الائتمان والإيميلات) من الصور الخام |
| PhotoRec / TestDisk | متخصصة في استعادة الملفات |