Sleuth Kit: Полное руководство по анализу файловых систем - команды и примеры 2026

<h2 id="obnovlenie-spiska-paketov">Обновление списка пакетов</h2>

sudo apt update



<h2 id="ustanovka-sleuth-kit">Установка Sleuth Kit</h2>

sudo apt install sleuthkit



<h2 id="proverka-ustanovki">Проверка установки</h2>

fls -V

<h2 id="ustanovka-zavisimostey-dlya-sborki">Установка зависимостей для сборки</h2>

sudo apt install build-essential autoconf libtool libafflib-dev libewf-dev libvmdk-dev libvhdi-dev



<h2 id="skachivanie-ishodnogo-koda">Скачивание исходного кода</h2>

wget https://github.com/sleuthkit/sleuthkit/archive/refs/tags/sleuthkit-4.12.1.tar.gz



<h2 id="raspakovka-arhiva">Распаковка архива</h2>

tar -xzf sleuthkit-4.12.1.tar.gz

cd sleuthkit-sleuthkit-4.12.1/



<h2 id="konfiguratsiya-i-sborka">Конфигурация и сборка</h2>

./configure

make



<h2 id="ustanovka-trebuyutsya-prava-administratora">Установка (требуются права администратора)</h2>

sudo make install



<h2 id="obnovlenie-kesha-bibliotek">Обновление кэша библиотек</h2>

sudo ldconfig

<h2 id="dlya-centos-rhel">Для CentOS/RHEL</h2>

sudo yum install sleuthkit



<h2 id="dlya-fedora">Для Fedora</h2>

sudo dnf install sleuthkit



<h2 id="proverka-ustanovki">Проверка установки</h2>

fsstat -V

<h2 id="vklyuchenie-wsl-v-windows">Включение WSL в Windows</h2>

wsl --install -d Ubuntu



<h2 id="posle-ustanovki-ubuntu-v-wsl">После установки Ubuntu в WSL</h2>

sudo apt update

sudo apt install sleuthkit

<h2 id="ustanovka-homebrew-esli-ne-ustanovlen">Установка Homebrew (если не установлен)</h2>

<h2 id="sledovat-instruktsiyam-na-https-brew-sh">Следовать инструкциям на https://brew.sh/</h2>




/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"



<h2 id="ustanovka-sleuth-kit">Установка Sleuth Kit</h2>

brew install sleuthkit



<h2 id="proverka-ustanovki">Проверка установки</h2>

fls -V

<h2 id="ustanovka-macports-esli-ne-ustanovlen">Установка MacPorts (если не установлен)</h2>

<h2 id="skachat-s-https-www-macports-org">Скачать с https://www.macports.org/</h2>




<h2 id="ustanovka-sleuth-kit">Установка Sleuth Kit</h2>

sudo port install sleuthkit

<h2 id="dobavlenie-repozitoriya">Добавление репозитория</h2>

sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 0x8E7C2A0E

sudo add-apt-repository "deb https://dl.bintray.com/sleuthkit/deb-dev /"



<h2 id="ustanovka">Установка</h2>

sudo apt update

sudo apt install autopsy

<h2 id="zapusk-servera-autopsy">Запуск сервера Autopsy</h2>

autopsy



<h2 id="otkryt-brauzer-i-pereyti-na-http-localhost-9999-autopsy">Открыть браузер и перейти на http://localhost:9999/autopsy</h2>

<h2 id="proverka-versii">Проверка версии</h2>

fsstat -V

fls -V

icat -V

mmls -V



<h2 id="vyvod-dolzhen-soderzhat-informatsiyu-o-versii-sleuth-kit">Вывод должен содержать информацию о версии Sleuth Kit</h2>

<h2 id="sozdanie-testovogo-obraza-dlya-testirovaniya">Создание тестового образа (для тестирования)</h2>

dd if=/dev/zero of=test.img bs=1M count=100

mkfs.ext4 test.img



<h2 id="testirovanie-instrumentov">Тестирование инструментов</h2>

mmls test.img

fsstat test.img

fls test.img

<h2 id="nayti-gde-ustanovlen-sleuth-kit">Найти где установлен Sleuth Kit</h2>

find /usr -name "fls" 2>/dev/null



<h2 id="dobavit-v-path-dobavit-v-bashrc">Добавить в PATH (добавить в ~/.bashrc)</h2>

export PATH=$PATH:/usr/local/sleuthkit/bin

source ~/.bashrc

<h2 id="ubuntu-debian">Ubuntu/Debian</h2>

sudo apt install libafflib-dev libewf-dev libvmdk-dev libvhdi-dev libsqlite3-dev



<h2 id="centos-rhel">CentOS/RHEL</h2>

sudo yum install afflib-devel libewf-devel sqlite-devel

sudo apt update && sudo apt upgrade

#!/bin/bash

<h2 id="skript-dlya-sozdaniya-testovogo-obraza-diska">Скрипт для создания тестового образа диска</h2>




<h2 id="sozdanie-pustogo-obraza">Создание пустого образа</h2>

dd if=/dev/zero of=test_disk.img bs=1M count=1000



<h2 id="sozdanie-razdela-i-faylovoy-sistemy">Создание раздела и файловой системы</h2>

parted test_disk.img mklabel msdos

parted test_disk.img mkpart primary ext4 1MiB 100%



<h2 id="montirovanie-i-sozdanie-testovyh-faylov">Монтирование и создание тестовых файлов</h2>

mkdir -p /mnt/test

mount -o loop,offset=1048576 test_disk.img /mnt/test



<h2 id="sozdanie-testovyh-faylov">Создание тестовых файлов</h2>

echo "Test file 1" > /mnt/test/file1.txt

echo "Test file 2" > /mnt/test/file2.txt

mkdir /mnt/test/testdir

echo "File in directory" > /mnt/test/testdir/nested.txt



<h2 id="udalenie-fayla-dlya-testirovaniya-vosstanovleniya">Удаление файла для тестирования восстановления</h2>

rm /mnt/test/file2.txt



umount /mnt/test

rmdir /mnt/test

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

mmstat [-t type] [-o offset] [-v] image



<h2 id="primer-ispolzovaniya">Пример использования</h2>

mmstat disk_image.dd



<h2 id="vyvod-dlya-ntfs-razdela">Вывод для NTFS раздела</h2>

mmstat: 0x07 (NTFS)



<h2 id="s-ukazaniem-smescheniya">С указанием смещения</h2>

mmstat -o 32256 disk_image.dd

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

mmls [-t type] [-o offset] [-v] [-a] [-A] image



<h2 id="primer-dlya-mbr-diska">Пример для MBR диска</h2>

mmls disk.img



<h2 id="vyvod">Вывод:</h2>

DOS Partition Table

Offset Sector: 0

Units are in 512-byte sectors



     Slot    Start        End          Length       Description

00:  Meta    0000000000   0000000000   0000000001   Primary Table (#0)

01:  --   0000000000   0000002047   0000002048   Unallocated

02:  00:00   0000002048   0020961279   0020959232   NTFS (0x07)

03:  --   0020961280   0020963327   0000002048   Unallocated

<h2 id="analiz-obraza-diska-s-neskolkimi-razdelami">Анализ образа диска с несколькими разделами</h2>

mmls windows_system.dd



<h2 id="opredelenie-smescheniya-dlya-kazhdogo-razdela">Определение смещения для каждого раздела</h2>

<h2 id="ntfs-sistemnyy-razdel-sector-2048">NTFS системный раздел: sector 2048</h2>

<h2 id="fat32-zagruzochnyy-razdel-sector-2097152">FAT32 загрузочный раздел: sector 2097152</h2>




<h2 id="vychislenie-baytovogo-smescheniya-dlya-ispolzovaniya-v-drugih-komandah">Вычисление байтового смещения для использования в других командах</h2>

<h2 id="offset-sector-512">offset = sector * 512</h2>

<h2 id="dlya-ntfs-2048-512-1048576-bytes">Для NTFS: 2048 * 512 = 1048576 bytes</h2>

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

fsstat [-f fstype] [-o offset] [-v] image



<h2 id="primer-dlya-ntfs">Пример для NTFS</h2>

fsstat -f ntfs -o 1048576 disk.img



<h2 id="vyvod-soderzhit">Вывод содержит:</h2>

<h2 id="tip-faylovoy-sistemy">- Тип файловой системы</h2>

<h2 id="razmer-toma">- Размер тома</h2>

<h2 id="kolichestvo-klasterov">- Количество кластеров</h2>

<h2 id="razmer-klastera">- Размер кластера</h2>

<h2 id="informatsiya-o-mft">- Информация о MFT</h2>

<h2 id="versiya-ntfs">- Версия NTFS</h2>

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

istat [-f fstype] [-o offset] [-v] [-r] [-s] image inode



<h2 id="primer-dlya-fayla">Пример для файла</h2>

istat -f ntfs -o 1048576 disk.img 46



<h2 id="vyvod-soderzhit">Вывод содержит:</h2>

<h2 id="nomer-inode">- Номер inode</h2>

<h2 id="tip-fayla">- Тип файла</h2>

<h2 id="razmer">- Размер</h2>

<h2 id="vremennye-metki-mace">- Временные метки (MACE)</h2>

<h2 id="prava-dostupa">- Права доступа</h2>

<h2 id="spisok-klasterov-s-dannymi">- Список кластеров с данными</h2>

<h2 id="analiz-sistemnogo-fayla-na-ntfs">Анализ системного файла на NTFS</h2>

istat -f ntfs -o 1048576 windows.dd 141



<h2 id="rezultat-pokazyvaet">Результат показывает:</h2>

<h2 id="created-wed-jan-15-10-30-45-2026">Created:  Wed Jan 15 10:30:45 2026</h2>

<h2 id="modified-wed-jan-15-10-30-45-2026">Modified: Wed Jan 15 10:30:45 2026</h2>

<h2 id="accessed-wed-jan-15-10-35-12-2026">Accessed: Wed Jan 15 10:35:12 2026</h2>

<h2 id="changed-wed-jan-15-10-30-45-2026">Changed:  Wed Jan 15 10:30:45 2026</h2>

<h2 id="mode-rwxrwxrwx">Mode: -rwxrwxrwx</h2>

<h2 id="size-1024">Size: 1024</h2>

<h2 id="blocks-2">Blocks: 2</h2>

<h2 id="direct-blocks-12345-12346">Direct blocks: 12345, 12346</h2>

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

fls [-f fstype] [-o offset] [-v] [-r] [-p] [-m] [-a] [-d] [-l] image [inode]



<h2 id="primer-spisok-kornevogo-kataloga">Пример - список корневого каталога</h2>

fls -f ntfs -o 1048576 disk.img



<h2 id="vyvod">Вывод:</h2>

<h2 id="r-r-5-attrdef">r/r * 5:	$AttrDef</h2>

<h2 id="r-r-6-badclus">r/r * 6:	$BadClus</h2>

<h2 id="r-r-7-bitmap">r/r * 7:	$Bitmap</h2>

<h2 id="d-d-141-documents-and-settings">d/d 141:	Documents and Settings</h2>

<h2 id="d-d-142-program-files">d/d 142:	Program Files</h2>

<h2 id="r-r-143-pagefile-sys">r/r 143:	pagefile.sys</h2>




<h2 id="rekursivnyy-vyvod">Рекурсивный вывод</h2>

fls -f ntfs -o 1048576 -r disk.img

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

ils [-f fstype] [-o offset] [-v] [-r] [-m] [-a] [-l] [-p] [-s] image



<h2 id="primer">Пример</h2>

ils -f ntfs -o 1048576 disk.img



<h2 id="vyvod-vseh-inode-s-ih-atributami">Вывод всех inode с их атрибутами</h2>

<h2 id="poisk-vseh-udalennyh-faylov">Поиск всех удаленных файлов</h2>

fls -f ntfs -o 1048576 -d disk.img



<h2 id="vyvod-s-polnymi-putyami">Вывод с полными путями</h2>

fls -f ntfs -o 1048576 -r -p disk.img



<h2 id="poisk-faylov-po-vremennomu-diapazonu">Поиск файлов по временному диапазону</h2>

fls -f ntfs -o 1048576 -m "2026-01-01..2026-01-31" disk.img

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

icat [-f fstype] [-o offset] [-v] [-r] [-s] image inode



<h2 id="primer-izvlecheniya-tekstovogo-fayla">Пример извлечения текстового файла</h2>

icat -f ntfs -o 1048576 disk.img 145 > extracted_file.txt



<h2 id="izvlechenie-udalennogo-fayla">Извлечение удаленного файла</h2>

icat -f ntfs -o 1048576 disk.img 146 > deleted_file.doc

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

ifind [-f fstype] [-o offset] [-v] [-a] [-d] [-l] [-p] [-n name] [-i number] image



<h2 id="poisk-inode-po-imeni-fayla">Поиск inode по имени файла</h2>

ifind -f ntfs -o 1048576 -n "Windows/System32/config/SYSTEM" disk.img



<h2 id="poisk-po-nomeru-inode">Поиск по номеру inode</h2>

ifind -f ntfs -o 1048576 -i 145 disk.img

<h2 id="poisk-i-izvlechenie-fayla-reestra">Поиск и извлечение файла реестра</h2>

INODE=$(ifind -f ntfs -o 1048576 -n "Windows/System32/config/SYSTEM" disk.img)

icat -f ntfs -o 1048576 disk.img $INODE > SYSTEM



<h2 id="izvlechenie-vseh-faylov-iz-kataloga">Извлечение всех файлов из каталога</h2>

for inode in $(fls -f ntfs -o 1048576 disk.img 141 | grep -v "^d" | awk '{print $2}' | cut -d: -f1); do

    filename=$(fls -f ntfs -o 1048576 disk.img 141 | grep "^r.*$inode:" | awk '{print $4}')

    icat -f ntfs -o 1048576 disk.img $inode > "extracted_$filename"

done

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

jls [-f fstype] [-o offset] [-v] [-b block] image



<h2 id="primer-dlya-ext4">Пример для EXT4</h2>

jls -f ext4 -o 1048576 disk.img

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

usnjls [-f ntfs] [-o offset] [-v] [-m] image



<h2 id="primer">Пример</h2>

usnjls -f ntfs -o 1048576 disk.img > usn_journal.txt

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

blkstat [-f fstype] [-o offset] [-v] [-a] [-l] image block



<h2 id="primer">Пример</h2>

blkstat -f ntfs -o 1048576 disk.img 12345

<h2 id="bazovyy-sintaksis">Базовый синтаксис</h2>

blkls [-f fstype] [-o offset] [-v] [-a] [-l] image



<h2 id="poisk-ostatkov-udalennyh-faylov">Поиск остатков удаленных файлов</h2>

blkls -f ntfs -o 1048576 disk.img > unallocated_data.dd

#!/bin/bash

<h2 id="skript-dlya-izvlecheniya-vseh-faylov-iz-kataloga">Скрипт для извлечения всех файлов из каталога</h2>




IMAGE=$1

OFFSET=$2

DIR_INODE=$3

OUTPUT_DIR=$4



<h2 id="sozdanie-vyhodnogo-kataloga">Создание выходного каталога</h2>

mkdir -p $OUTPUT_DIR



<h2 id="poluchenie-spiska-faylov">Получение списка файлов</h2>

fls -f ntfs -o $OFFSET -r $IMAGE $DIR_INODE | while read line; do

    # Пропуск каталогов

    if [[ $line == d/* ]]; then

        continue

    fi

    

    # Извлечение inode и имени файла

    inode=$(echo $line | awk '{print $2}' | cut -d: -f1)

    filename=$(echo $line | awk '{for(i=4;i<=NF;i++) printf "%s ", $i; print ""}' | sed 's/ *$//')

    

    # Извлечение файла

    icat -f ntfs -o $OFFSET $IMAGE $inode > "$OUTPUT_DIR/$filename"

    

    echo "Extracted: $filename (inode: $inode)"

done

#!/bin/bash

<h2 id="sozdanie-timeline-vseh-izmeneniy">Создание timeline всех изменений</h2>




IMAGE=$1

OFFSET=$2

OUTPUT_FILE=$3



<h2 id="poluchenie-vseh-inode-s-vremennymi-metkami">Получение всех inode с временными метками</h2>

ils -f ntfs -o $OFFSET -m $IMAGE | while read line; do

    inode=$(echo $line | awk '{print $1}')

    

    # Получение информации об inode

    istat -f ntfs -o $OFFSET $IMAGE $inode | grep -E "(Created|Modified|Accessed|Changed)" | while read time_line; do

        timestamp=$(echo $time_line | awk '{print $2, $3, $4, $5, $6}')

        action=$(echo $time_line | awk '{print $1}')

        

        echo "$timestamp|$action|$inode" >> $OUTPUT_FILE

    done

done



<h2 id="sortirovka-po-vremeni">Сортировка по времени</h2>

sort $OUTPUT_FILE -o $OUTPUT_FILE

<h2 id="sozdanie-loga-komand">Создание лога команд</h2>

exec > >(tee -a analysis.log) 2>&1



echo "=== Начало анализа $(date) ==="

echo "Образ диска: $IMAGE"

echo "Смещение: $OFFSET"

echo "Файловая система: $FSTYPE"



<h2 id="vypolnenie-komand-s-logirovaniem">Выполнение команд с логированием</h2>

mmls $IMAGE

fsstat -f $FSTYPE -o $OFFSET $IMAGE

fls -f $FSTYPE -o $OFFSET $IMAGE

<h2 id="vychislenie-hesh-summ">Вычисление хэш-сумм</h2>

md5sum $IMAGE > image.md5

sha256sum $IMAGE > image.sha256



<h2 id="proverka-posle-analiza">Проверка после анализа</h2>

md5sum -c image.md5

sha256sum -c image.sha256

<h2 id="ispolzovanie-bufsize-dlya-bolshih-obrazov">Использование bufsize для больших образов</h2>

export TSK_IMG_INFO_CACHE=100M



<h2 id="parallelnaya-obrabotka">Параллельная обработка</h2>

fls -f ntfs -o $OFFSET $IMAGE | parallel --pipe -N 100 'process_files.sh'

<h2 id="prosmotr-zapisey-mft">Просмотр записей MFT</h2>

fls -f ntfs -o 1048576 disk.img | head -20



<h2 id="analiz-konkretnoy-mft-zapisi">Анализ конкретной MFT записи</h2>

istat -f ntfs -o 1048576 disk.img 46



<h2 id="poisk-vseh-mft-zapisey">Поиск всех MFT записей</h2>

ils -f ntfs -o 1048576 disk.img | wc -l

<h2 id="izvlechenie-usn-journal">Извлечение USN Journal</h2>

usnjls -f ntfs -o 1048576 disk.img > usn_journal.txt



<h2 id="analiz-izmeneniy-fayla">Анализ изменений файла</h2>

grep "filename.txt" usn_journal.txt



<h2 id="poisk-izmeneniy-v-vremennom-diapazone">Поиск изменений в временном диапазоне</h2>

grep "2026-01-" usn_journal.txt

<h2 id="poisk-ads-v-faylah">Поиск ADS в файлах</h2>

fls -f ntfs -o 1048576 disk.img | grep ":"



<h2 id="izvlechenie-ads">Извлечение ADS</h2>

icat -f ntfs -o 1048576 disk.img 46:stream_name > ads_content.txt

<h2 id="poisk-udalennyh-faylov">Поиск удаленных файлов</h2>

fls -f ntfs -o 1048576 -d disk.img



<h2 id="proverka-vozmozhnosti-vosstanovleniya">Проверка возможности восстановления</h2>

istat -f ntfs -o 1048576 disk.img 12345



<h2 id="vosstanovlenie-fayla">Восстановление файла</h2>

icat -f ntfs -o 1048576 disk.img 12345 > recovered_file.doc

<h2 id="informatsiya-o-faylovoy-sisteme">Информация о файловой системе</h2>

fsstat -f ext4 -o 1048576 disk.img



<h2 id="vyvod">Вывод:</h2>

<h2 id="file-system-type-ext4">File System Type: EXT4</h2>

<h2 id="volume-name">Volume Name:</h2>

<h2 id="volume-id-1234567890abcdef">Volume ID: 1234567890abcdef</h2>

<h2 id="last-written-mon-jan-20-14-30-25-2026">Last Written: Mon Jan 20 14:30:25 2026</h2>

<h2 id="last-checked-mon-jan-20-14-30-25-2026">Last Checked: Mon Jan 20 14:30:25 2026</h2>

<h2 id="izvlechenie-journal">Извлечение journal</h2>

jls -f ext4 -o 1048576 disk.img > ext4_journal.txt



<h2 id="analiz-tranzaktsiy">Анализ транзакций</h2>

grep "transaction" ext4_journal.txt

<h2 id="prosmotr-extents-fayla">Просмотр extents файла</h2>

<h2 id="trebuetsya-dopolnitelnyy-analiz-struktury-inode">(требуется дополнительный анализ структуры inode)</h2>

istat -f ext4 -o 1048576 disk.img 12345

<h2 id="struktura-faylovoy-sistemy">Структура файловой системы</h2>

fsstat -f fat32 -o 1048576 disk.img



<h2 id="vyvod">Вывод:</h2>

<h2 id="file-system-type-fat32">File System Type: FAT32</h2>

<h2 id="oem-name-msdos5-0">OEM Name: MSDOS5.0</h2>

<h2 id="volume-id-1234abcd">Volume ID: 1234abcd</h2>

<h2 id="volume-label-usb-drive">Volume Label: USB DRIVE</h2>

<h2 id="poisk-udalennyh-faylov-imena-nachinayutsya-s">Поиск удаленных файлов (имена начинаются с ?)</h2>

fls -f fat32 -o 1048576 -d disk.img



<h2 id="vosstanovlenie-fayla">Восстановление файла</h2>

icat -f fat32 -o 1048576 disk.img 123 > recovered.jpg

<h2 id="struktura-faylovoy-sistemy">Структура файловой системы</h2>

fsstat -f hfs -o 1048576 disk.img



<h2 id="analiz-catalog-fayla">Анализ catalog файла</h2>

fls -f hfs -o 1048576 disk.img

<h2 id="bazovaya-informatsiya">Базовая информация</h2>

fsstat -f apfs -o 1048576 disk.img



<h2 id="primechanie-sleuth-kit-imeet-ogranichennuyu-podderzhku-apfs">Примечание: Sleuth Kit имеет ограниченную поддержку APFS</h2>

<h2 id="dlya-polnogo-analiza-rekomenduetsya-ispolzovat-spetsializirovannye-instrumenty">Для полного анализа рекомендуется использовать специализированные инструменты</h2>

<h2 id="skript-dlya-poiska-ads">Скрипт для поиска ADS</h2>

#!/bin/bash

IMAGE=$1

OFFSET=$2



fls -f ntfs -o $OFFSET -r $IMAGE | while read line; do

    if [[ $line == *":"* ]]; then

        echo "ADS найден: $line"

    fi

done

<h2 id="izvlechenie-neraspredelennyh-blokov">Извлечение нераспределенных блоков</h2>

blkls -f ntfs -o 1048576 disk.img > unallocated.bin



<h2 id="poisk-strok-v-neraspredelennom-prostranstve">Поиск строк в нераспределенном пространстве</h2>

strings unallocated.bin | grep -i "password\|secret"

<h2 id="slack-space-prostranstvo-mezhdu-kontsom-fayla-i-kontsom-klastera">Slack space - пространство между концом файла и концом кластера</h2>

<h2 id="mozhet-soderzhat-ostatki-predyduschih-dannyh">Может содержать остатки предыдущих данных</h2>




<h2 id="skript-dlya-analiza-slack-space">Скрипт для анализа slack space</h2>

#!/bin/bash

IMAGE=$1

OFFSET=$2

FSTYPE=$3



fls -f $FSTYPE -o $OFFSET $IMAGE | while read line; do

    inode=$(echo $line | awk '{print $2}' | cut -d: -f1)

    

    # Получение размера файла и выделенного пространства

    file_info=$(istat -f $FSTYPE -o $OFFSET $IMAGE $inode)

    file_size=$(echo "$file_info" | grep "Size:" | awk '{print $2}')

    allocated=$(echo "$file_info" | grep "Blocks:" | awk '{print $2}')

    

    # Расчет slack space

    cluster_size=4096  # для NTFS обычно 4KB

    slack=$(( ($file_size + $cluster_size - 1) / $cluster_size * $cluster_size - $file_size ))

    

    if [ $slack -gt 0 ]; then

        echo "File inode $inode has $slack bytes slack space"

    fi

done

<h2 id="skript-sozdaniya-timeline">Скрипт создания timeline</h2>

#!/bin/bash

IMAGE=$1

OFFSET=$2

OUTPUT=timeline.txt



<h2 id="poluchenie-mace-informatsii-dlya-vseh-faylov">Получение MACE информации для всех файлов</h2>

fls -f ntfs -o $OFFSET -m $IMAGE > $OUTPUT



<h2 id="sortirovka-po-vremeni">Сортировка по времени</h2>

sort -k 1,2 $OUTPUT -o $OUTPUT



<h2 id="analiz-patternov">Анализ паттернов</h2>

echo "=== Анализ timeline ==="

echo "Количество событий: $(wc -l $OUTPUT)"

echo "Первый timestamp: $(head -1 $OUTPUT | awk '{print $1, $2}')"

echo "Последний timestamp: $(tail -1 $OUTPUT | awk '{print $1, $2}')"

<h2 id="poisk-faylov-s-opredelennymi-imenami">Поиск файлов с определенными именами</h2>

fls -f ntfs -o $OFFSET -r $IMAGE | grep -i "password\|secret\|config"



<h2 id="analiz-vremennyh-metok">Анализ временных меток</h2>

fls -f ntfs -o $OFFSET -m $IMAGE | awk '$1 >= "2026-01-01" && $1 <= "2026-01-31"'

<h2 id="proverka-fragmentatsii-fayla">Проверка фрагментации файла</h2>

istat -f ntfs -o $OFFSET $IMAGE $INODE | grep "Blocks:"



<h2 id="analiz-raspredeleniya-blokov">Анализ распределения блоков</h2>

<h2 id="razbrosannye-bloki-ukazyvayut-na-fragmentatsiyu">Разбросанные блоки указывают на фрагментацию</h2>

<h2 id="sozdanie-raw-obraza-fizicheskogo-diska">Создание raw образа физического диска</h2>

sudo dd if=/dev/sdb of=evidence.dd bs=4M status=progress



<h2 id="sozdanie-obraza-s-raschetom-hesh-summy">Создание образа с расчетом хэш-суммы</h2>

sudo dd if=/dev/sdb bs=4M | tee evidence.dd | md5sum > evidence.md5



<h2 id="sozdanie-szhatogo-obraza">Создание сжатого образа</h2>

sudo dd if=/dev/sdb bs=4M | gzip > evidence.dd.gz

<h2 id="sozdanie-obraza-s-progressom-i-heshirovaniem">Создание образа с прогрессом и хэшированием</h2>

dc3dd if=/dev/sdb of=evidence.dd hash=md5 log=dc3dd.log



<h2 id="sozdanie-obraza-s-verifikatsiey">Создание образа с верификацией</h2>

dc3dd if=/dev/sdb of=evidence.dd hash=sha256 verify=evidence.dd

<h2 id="konsolnaya-versiya-ftk-imager">Консольная версия FTK Imager</h2>

ftkimager /dev/sdb evidence /md5 /sha1 /verify

<h2 id="sozdanie-ewf-obraza">Создание EWF образа</h2>

ewfacquire -t evidence -u -f encase6 /dev/sdb



<h2 id="s-dopolnitelnymi-optsiyami">С дополнительными опциями</h2>

ewfacquire -t evidence -u -f encase6 -c fast -S 2G /dev/sdb

<h2 id="md5-verifikatsiya">MD5 верификация</h2>

md5sum -c evidence.md5



<h2 id="sha256-verifikatsiya">SHA256 верификация</h2>

sha256sum -c evidence.sha256



<h2 id="dlya-ewf-obrazov">Для EWF образов</h2>

ewfverify evidence.E01

<h2 id="proverka-identichnosti-dvuh-obrazov">Проверка идентичности двух образов</h2>

diff evidence1.dd evidence2.dd



<h2 id="ili-s-ispolzovaniem-cmp">Или с использованием cmp</h2>

cmp evidence1.dd evidence2.dd

<h2 id="opredelenie-tipa-razdela">Определение типа раздела</h2>

mmstat evidence.dd



<h2 id="vyvod-tablitsy-razdelov">Вывод таблицы разделов</h2>

mmls evidence.dd



<h2 id="analiz-faylovoy-sistemy">Анализ файловой системы</h2>

fsstat -f ntfs -o 1048576 evidence.dd

<h2 id="sleuth-kit-podderzhivaet-ewf-cherez-biblioteku-libewf">Sleuth Kit поддерживает EWF через библиотеку libewf</h2>

<h2 id="dlya-raboty-s-ewf-trebuetsya-ustanovka-libewf-dev">Для работы с EWF требуется установка libewf-dev</h2>




<h2 id="analiz-ewf-obraza">Анализ EWF образа</h2>

mmls evidence.E01

fsstat -f ntfs -o 1048576 evidence.E01

fls -f ntfs -o 1048576 evidence.E01

<h2 id="montirovanie-vsego-diska">Монтирование всего диска</h2>

sudo mount -o loop,ro evidence.dd /mnt/evidence



<h2 id="montirovanie-razdela-so-smescheniem">Монтирование раздела со смещением</h2>

sudo mount -o loop,ro,offset=$((2048*512)) evidence.dd /mnt/evidence

<h2 id="xmount-pozvolyaet-montirovat-razlichnye-formaty-obrazov">xmount позволяет монтировать различные форматы образов</h2>

sudo xmount --in ewf evidence.E01 /mnt/evidence



<h2 id="montirovanie-v-rezhime-read-only">Монтирование в режиме read-only</h2>

sudo xmount --in dd evidence.dd --out vhd /mnt/evidence

<h2 id="ispolzovanie-dislocker-dlya-montirovaniya-bitlocker">Использование dislocker для монтирования BitLocker</h2>

sudo dislocker -V evidence.dd -p PASSWORD -- /mnt/bitlocker



<h2 id="montirovanie-rasshifrovannogo-obraza">Монтирование расшифрованного образа</h2>

sudo mount /mnt/bitlocker/dislocker-file /mnt/decrypted

<h2 id="dlya-filevault-trebuetsya-spetsializirovannoe-po">Для FileVault требуется специализированное ПО</h2>

<h2 id="rekomenduetsya-ispolzovat-instrumenty-apple-ili-spetsializirovannye-forenzicheskie-instrumenty">Рекомендуется использовать инструменты Apple или специализированные форензические инструменты</h2>

<h2 id="obedinenie-segmentov-dlya-dd-obrazov">Объединение сегментов (для dd образов)</h2>

cat evidence.dd.001 evidence.dd.002 > evidence_complete.dd



<h2 id="dlya-ewf-segmentov-sleuth-kit-rabotaet-avtomaticheski">Для EWF сегментов Sleuth Kit работает автоматически</h2>

mmls evidence.E01  # автоматически найдет все сегменты

<h2 id="ispolzovanie-pamyati-dlya-keshirovaniya">Использование памяти для кэширования</h2>

export TSK_IMG_INFO_CACHE=500M



<h2 id="ogranichenie-ispolzovaniya-pamyati">Ограничение использования памяти</h2>

export TSK_IMG_INFO_CACHE_MAX=1G

#!/bin/bash

<h2 id="skript-sozdaniya-testovogo-obraza">Скрипт создания тестового образа</h2>




IMAGE_SIZE=1G

IMAGE_FILE=test_disk.dd



<h2 id="sozdanie-pustogo-fayla">Создание пустого файла</h2>

dd if=/dev/zero of=$IMAGE_FILE bs=1M count=$((1024))



<h2 id="sozdanie-razdela">Создание раздела</h2>

parted $IMAGE_FILE mklabel msdos

parted $IMAGE_FILE mkpart primary ntfs 1MiB 100%



<h2 id="sozdanie-ntfs-faylovoy-sistemy">Создание NTFS файловой системы</h2>

mkntfs -F $IMAGE_FILE --offset=$((2048*512)) --size=$((1024*1024*1024 - 2048*512))



<h2 id="montirovanie-i-dobavlenie-testovyh-faylov">Монтирование и добавление тестовых файлов</h2>

mkdir -p /mnt/test

mount -o loop,offset=$((2048*512)) $IMAGE_FILE /mnt/test



<h2 id="sozdanie-testovyh-faylov">Создание тестовых файлов</h2>

echo "Тестовый файл 1" > /mnt/test/file1.txt

echo "Тестовый файл 2" > /mnt/test/file2.txt

mkdir /mnt/test/testdir

echo "Файл в подкаталоге" > /mnt/test/testdir/nested.txt



<h2 id="sozdanie-bolshogo-fayla-dlya-testirovaniya">Создание большого файла для тестирования</h2>

dd if=/dev/urandom of=/mnt/test/large_file.bin bs=1M count=100



<h2 id="udalenie-fayla-dlya-testirovaniya-vosstanovleniya">Удаление файла для тестирования восстановления</h2>

rm /mnt/test/file2.txt



umount /mnt/test

rmdir /mnt/test



echo "Тестовый образ создан: $IMAGE_FILE"

<h2 id="skachivanie-iz-aws-s3">Скачивание из AWS S3</h2>

aws s3 cp s3://evidence-bucket/case-123/evidence.dd .



<h2 id="skachivanie-iz-google-cloud-storage">Скачивание из Google Cloud Storage</h2>

gsutil cp gs://evidence-bucket/evidence.dd .



<h2 id="verifikatsiya-posle-zagruzki">Верификация после загрузки</h2>

md5sum evidence.dd

<h2 id="obrabotka-obraza-bez-polnogo-skachivaniya">Обработка образа без полного скачивания</h2>

ssh remote-server "cat evidence.dd" | mmls -

<h2 id="ustanovka-atributa-immutable">Установка атрибута immutable</h2>

sudo chattr +i evidence.dd



<h2 id="sozdanie-read-only-kopii">Создание read-only копии</h2>

cp evidence.dd evidence_readonly.dd

chmod 444 evidence_readonly.dd

<h2 id="sozdanie-loga-operatsiy">Создание лога операций</h2>

echo "$(date): Образ получен от источника XYZ" >> chain_of_custody.log

echo "$(date): Хэш-сумма: $(md5sum evidence.dd)" >> chain_of_custody.log

echo "$(date): Анализ начат пользователем $(whoami)" >> chain_of_custody.log

<h2 id="sozdanie-obraza-pamyati-i-diska">Создание образа памяти и диска</h2>

<h2 id="volatility-f-memory-img-profile-win7sp1x64-imagecopy-o-disk-image-dd">volatility -f memory.img --profile=Win7SP1x64 imagecopy -O disk_image.dd</h2>

<h2 id="eksport-faylovoy-sistemy-v-formate-sovmestimom-s-drugimi-instrumentami">Экспорт файловой системы в формате, совместимом с другими инструментами</h2>

fls -f ntfs -o 1048576 evidence.dd > file_list.txt



<h2 id="sozdanie-csv-otcheta">Создание CSV отчета</h2>

fls -f ntfs -o 1048576 -m evidence.dd | awk -F'\t' 'BEGIN {print "Path,Size,Modified,Accessed,Created,Changed"} {print $0}' > timeline.csv

<h2 id="dobavlenie-repozitoriya">Добавление репозитория</h2>

sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 0x8E7C2A0E

sudo add-apt-repository "deb https://dl.bintray.com/sleuthkit/deb-dev /"



<h2 id="ustanovka">Установка</h2>

sudo apt update

sudo apt install autopsy



<h2 id="zapusk-servera">Запуск сервера</h2>

autopsy



<h2 id="otkryt-brauzer-http-localhost-9999-autopsy">Открыть браузер: http://localhost:9999/autopsy</h2>

<h2 id="cherez-homebrew">Через Homebrew</h2>

brew install autopsy



<h2 id="ili-skachat-s-ofitsialnogo-sayta">Или скачать с официального сайта</h2>

<h2 id="struktura-direktoriy-keysa">Структура директорий кейса</h2>

case_name/

├── autopsy.db    # База данных кейса

├── export/       # Экспортированные файлы

├── logs/         # Логи анализа

└── temp/         # Временные файлы

Name: Windows_Forensic_2026

   Host Name: Windows10_Workstation

   Image Path: C:\evidence\windows_system.dd

Terms:

   - password*.txt

   - *secret*

   - *.docx OR *.xlsx

:

   - Users/*/AppData/Local/Google/Chrome/User Data/Default/History

   - Users/*/AppData/Local/Microsoft/Edge/User Data/Default/History

: *.pst

   Extract: Email messages, contacts, calendar items

: Users/*/AppData/Roaming/Thunderbird/Profiles

   Analyze: Inbox, Sent Items, Contacts

from org.sleuthkit.autopsy.ingest import IngestModule

from org.sleuthkit.autopsy.ingest import IngestMessage



class SampleModule(IngestModule):

    def process(self, dataSource, progressBar):

        # Логика анализа

        files = dataSource.getFiles()

        for file in files:

            if file.getName().endswith('.txt'):

                # Анализ текстового файла

                content = file.read()

                if 'password' in content.lower():

                    # Создание артефакта

                    pass

<!-- Пример конфигурации отчета -->

<report>

  <title>Digital Forensic Report</title>

  <case>Investigation_2026_001</case>

  <sections>

    <section name="Executive Summary"/>

    <section name="File Analysis"/>

    <section name="Timeline"/>

    <section name="Keyword Search Results"/>

  </sections>

</report>

<h2 id="uvelichenie-pamyati">Увеличение памяти</h2>

JAVA_OPTS="-Xmx8g -Xms2g"



<h2 id="nastroyki-indeksatsii">Настройки индексации</h2>

lucene.index.cache.size=512m

lucene.index.merge.factor=10

<h2 id="sozdanie-obraza-s-verifikatsiey">Создание образа с верификацией</h2>

dc3dd if=/dev/sdb of=employee_laptop.dd hash=sha256 log=acquisition.log



<h2 id="proverka-tselostnosti">Проверка целостности</h2>

sha256sum -c employee_laptop.sha256

<h2 id="opredelenie-razdelov">Определение разделов</h2>

mmls employee_laptop.dd



<h2 id="analiz-osnovnoy-faylovoy-sistemy-predpolozhim-ntfs-na-sektore-2048">Анализ основной файловой системы (предположим NTFS на секторе 2048)</h2>

fsstat -f ntfs -o 1048576 employee_laptop.dd

<h2 id="poisk-dokumentov-po-rasshireniyam">Поиск документов по расширениям</h2>

fls -f ntfs -o 1048576 employee_laptop.dd | grep -E '\.(docx?|xlsx?|pdf)$'



<h2 id="poisk-po-klyuchevym-slovam-v-imenah-faylov">Поиск по ключевым словам в именах файлов</h2>

fls -f ntfs -o 1048576 employee_laptop.dd | grep -i "confidential\|secret\|trade_secret"

<h2 id="sozdanie-timeline-poslednih-izmeneniy">Создание timeline последних изменений</h2>

fls -f ntfs -o 1048576 -m employee_laptop.dd | sort > timeline.txt



<h2 id="poisk-faylov-izmenennyh-v-period-podozritelnoy-aktivnosti">Поиск файлов, измененных в период подозрительной активности</h2>

awk '$1 >= "2026-01-15" && $1 <= "2026-01-20"' timeline.txt

<h2 id="poisk-sledov-usb-ustroystv-v-reestre">Поиск следов USB устройств в реестре</h2>

<h2 id="izvlechenie-system-hive">Извлечение SYSTEM hive</h2>

icat -f ntfs -o 1048576 employee_laptop.dd $(ifind -f ntfs -o 1048576 -n "Windows/System32/config/SYSTEM" employee_laptop.dd) > SYSTEM



<h2 id="analiz-s-ispolzovaniem-regripper-ili-analogichnogo-instrumenta">Анализ с использованием regripper или аналогичного инструмента</h2>

<h2 id="poisk-brauzernoy-istorii">Поиск браузерной истории</h2>

fls -f ntfs -o 1048576 employee_laptop.dd | grep -i "history"



<h2 id="izvlechenie-chrome-istorii">Извлечение Chrome истории</h2>

icat -f ntfs -o 1048576 employee_laptop.dd $(ifind -f ntfs -o 1048576 -n "Users/*/AppData/Local/Google/Chrome/User Data/Default/History" employee_laptop.dd) > chrome_history.sqlite

<h2 id="poisk-faylov-s-rasshireniyami-ransomware">Поиск файлов с расширениями ransomware</h2>

fls -f ntfs -o 1048576 infected_system.dd | grep -E '\.(encrypted|locked|crypto)$' | wc -l



<h2 id="analiz-vremennyh-metok-shifrovaniya">Анализ временных меток шифрования</h2>

fls -f ntfs -o 1048576 -m infected_system.dd | grep "2026-02-01" | head -20

<h2 id="poisk-podozritelnyh-ispolnyaemyh-faylov">Поиск подозрительных исполняемых файлов</h2>

fls -f ntfs -o 1048576 infected_system.dd | grep -E '\.(exe|dll)$' | grep -v -E "(Windows|Program Files)"



<h2 id="analiz-vremen-sozdaniya-podozritelnyh-faylov">Анализ времен создания подозрительных файлов</h2>

for inode in $(fls -f ntfs -o 1048576 infected_system.dd | grep -E '\.(exe|dll)$' | awk '{print $2}' | cut -d: -f1); do

    istat -f ntfs -o 1048576 infected_system.dd $inode | grep "Created:"

done

<h2 id="izvlechenie-windows-event-logs">Извлечение Windows Event Logs</h2>

icat -f ntfs -o 1048576 infected_system.dd $(ifind -f ntfs -o 1048576 -n "Windows/System32/winevt/Logs/System.evtx" infected_system.dd) > System.evtx



<h2 id="analiz-s-ispolzovaniem-wevtutil-ili-analogichnogo-instrumenta">Анализ с использованием wevtutil или аналогичного инструмента</h2>

<h2 id="analiz-firewall-logov">Анализ firewall логов</h2>

icat -f ntfs -o 1048576 infected_system.dd $(ifind -f ntfs -o 1048576 -n "Windows/System32/LogFiles/Firewall/pfirewall.log" infected_system.dd) > firewall.log



<h2 id="poisk-podozritelnyh-soedineniy">Поиск подозрительных соединений</h2>

grep -i "ransomware\|malware\|c2" firewall.log

<h2 id="poisk-udalennyh-faylov-do-shifrovaniya">Поиск удаленных файлов до шифрования</h2>

fls -f ntfs -o 1048576 -d infected_system.dd | grep -v "encrypted"



<h2 id="popytka-vosstanovleniya">Попытка восстановления</h2>

icat -f ntfs -o 1048576 infected_system.dd 12345 > recovered_document.doc

<h2 id="izvlechenie-usn-journal-dlya-timeline-analiza">Извлечение USN Journal для timeline анализа</h2>

usnjls -f ntfs -o 1048576 infected_system.dd > usn_journal.txt



<h2 id="poisk-massovyh-operatsiy-shifrovaniya">Поиск массовых операций шифрования</h2>

grep "FILE_CREATE\|FILE_OVERWRITE" usn_journal.txt | sort | uniq -c | sort -nr

<h2 id="poisk-outlook-pst-faylov">Поиск Outlook PST файлов</h2>

fls -f ntfs -o 1048576 suspect_workstation.dd | grep -i "\.pst$"



<h2 id="izvlechenie-pst-fayla">Извлечение PST файла</h2>

icat -f ntfs -o 1048576 suspect_workstation.dd $(ifind -f ntfs -o 1048576 -n "Documents/Outlook.pst" suspect_workstation.dd) > outlook.pst

<h2 id="izvlechenie-istorii-chrome">Извлечение истории Chrome</h2>

icat -f ntfs -o 1048576 suspect_workstation.dd $(ifind -f ntfs -o 1048576 -n "Users/*/AppData/Local/Google/Chrome/User Data/Default/History" suspect_workstation.dd) > chrome_history



<h2 id="poisk-posescheniy-oblachnyh-hranilisch">Поиск посещений облачных хранилищ</h2>

strings chrome_history | grep -i -E "(dropbox|googledrive|onedrive|mega)"

<h2 id="poisk-veracrypt-konteynerov">Поиск VeraCrypt контейнеров</h2>

fls -f ntfs -o 1048576 suspect_workstation.dd | grep -E "\.(tc|hc|vc)$"



<h2 id="poisk-truecrypt-sledov-v-reestre">Поиск TrueCrypt следов в реестре</h2>

icat -f ntfs -o 1048576 suspect_workstation.dd $(ifind -f ntfs -o 1048576 -n "Windows/System32/config/SOFTWARE" suspect_workstation.dd) > SOFTWARE

<h2 id="analiz-rdp-logov">Анализ RDP логов</h2>

icat -f ntfs -o 1048576 suspect_workstation.dd $(ifind -f ntfs -o 1048576 -n "Windows/System32/LogFiles/Terminal Services/*" suspect_workstation.dd) > rdp_logs.txt



<h2 id="poisk-udalennyh-podklyucheniy">Поиск удаленных подключений</h2>

grep "RDP" rdp_logs.txt

<h2 id="poisk-spooler-faylov">Поиск spooler файлов</h2>

fls -f ntfs -o 1048576 suspect_workstation.dd | grep -i "spooler\|print"



<h2 id="analiz-vremen-pechati-dokumentov">Анализ времен печати документов</h2>

istat -f ntfs -o 1048576 suspect_workstation.dd $(ifind -f ntfs -o 1048576 -n "Windows/System32/spool/PRINTERS/*" suspect_workstation.dd)

<h2 id="sozdanie-detalnogo-timeline">Создание детального timeline</h2>

fls -f ntfs -o 1048576 -m suspect_workstation.dd > full_timeline.txt



<h2 id="filtratsiya-po-rabochim-chasam-i-nerabochim-dnyam">Фильтрация по рабочим часам и нерабочим дням</h2>

awk '{

    split($1, date, "-");

    split($2, time, ":");

    hour = time[1];

    weekday = strftime("%w", mktime(date[1] " " date[2] " " date[3] " " hour " 0 0"));

    if (weekday >= 1 && weekday <= 5 && (hour < 9 || hour > 18)) print $0

}' full_timeline.txt > suspicious_activity.txt

<h2 id="dlya-obrazov-mobilnyh-ustroystv-chasto-ispolzuetsya-raw-format">Для образов мобильных устройств часто используется raw формат</h2>

mmls mobile_device.dd



<h2 id="opredelenie-tipa-faylovoy-sistemy-chasto-ext4-ili-f2fs">Определение типа файловой системы (часто EXT4 или F2FS)</h2>

fsstat -f ext4 -o 1048576 mobile_device.dd

<h2 id="poisk-telegram-dannyh">Поиск Telegram данных</h2>

fls -f ext4 -o 1048576 mobile_device.dd | grep -i telegram



<h2 id="izvlechenie-bazy-dannyh-telegram">Извлечение базы данных Telegram</h2>

icat -f ext4 -o 1048576 mobile_device.dd $(ifind -f ext4 -o 1048576 -n "data/data/org.telegram.messenger/cache/*" mobile_device.dd) > telegram_cache.db

<h2 id="poisk-gps-kesha">Поиск GPS кэша</h2>

fls -f ext4 -o 1048576 mobile_device.dd | grep -i -E "(location|gps|geo)"



<h2 id="izvlechenie-google-maps-istorii">Извлечение Google Maps истории</h2>

icat -f ext4 -o 1048576 mobile_device.dd $(ifind -f ext4 -o 1048576 -n "data/data/com.google.android.apps.maps/*" mobile_device.dd) > maps_data.db

<h2 id="poisk-fotografiy-i-video">Поиск фотографий и видео</h2>

fls -f ext4 -o 1048576 mobile_device.dd | grep -E "\.(jpg|jpeg|png|mp4|avi)$" | wc -l



<h2 id="analiz-exif-dannyh-fotografiy">Анализ EXIF данных фотографий</h2>

<h2 id="ispolzovanie-exiftool-na-izvlechennyh-faylah">(использование exiftool на извлеченных файлах)</h2>

<h2 id="izvlechenie-bazy-dannyh-kontaktov">Извлечение базы данных контактов</h2>

icat -f ext4 -o 1048576 mobile_device.dd $(ifind -f ext4 -o 1048576 -n "data/data/com.android.contacts/databases/contacts2.db" mobile_device.dd) > contacts.db



<h2 id="izvlechenie-sms-bazy">Извлечение SMS базы</h2>

icat -f ext4 -o 1048576 mobile_device.dd $(ifind -f ext4 -o 1048576 -n "data/data/com.android.messaging/databases/bugle_db" mobile_device.dd) > sms.db

#!/bin/bash

<h2 id="kompleksnyy-skript-analiza-obraza-diska">Комплексный скрипт анализа образа диска</h2>




IMAGE=$1

OFFSET=$2

OUTPUT_DIR="analysis_$(date +%Y%m%d_%H%M%S)"



mkdir -p $OUTPUT_DIR



echo "=== Анализ образа диска ===" > $OUTPUT_DIR/report.txt

echo "Образ: $IMAGE" >> $OUTPUT_DIR/report.txt

echo "Смещение: $OFFSET" >> $OUTPUT_DIR/report.txt

echo "Дата анализа: $(date)" >> $OUTPUT_DIR/report.txt



<h2 id="struktura-diska">Структура диска</h2>

echo -e "\n=== Структура диска ===" >> $OUTPUT_DIR/report.txt

mmls $IMAGE >> $OUTPUT_DIR/report.txt



<h2 id="informatsiya-o-faylovoy-sisteme">Информация о файловой системе</h2>

echo -e "\n=== Файловая система ===" >> $OUTPUT_DIR/report.txt

fsstat -f ntfs -o $OFFSET $IMAGE >> $OUTPUT_DIR/report.txt



<h2 id="timeline">Timeline</h2>

echo -e "\n=== Timeline (последние 100 событий) ===" >> $OUTPUT_DIR/report.txt

fls -f ntfs -o $OFFSET -m $IMAGE | sort | tail -100 >> $OUTPUT_DIR/report.txt



<h2 id="udalennye-fayly">Удаленные файлы</h2>

echo -e "\n=== Удаленные файлы ===" >> $OUTPUT_DIR/report.txt

fls -f ntfs -o $OFFSET -d $IMAGE >> $OUTPUT_DIR/report.txt



<h2 id="poisk-podozritelnyh-faylov">Поиск подозрительных файлов</h2>

echo -e "\n=== Подозрительные файлы ===" >> $OUTPUT_DIR/report.txt

fls -f ntfs -o $OFFSET -r $IMAGE | grep -E "\.(exe|dll|bat|scr)$" | grep -v -E "(Windows|Program Files)" >> $OUTPUT_DIR/report.txt



echo "Анализ завершен. Результаты в $OUTPUT_DIR"

<h2 id="izvlechenie-neraspredelennogo-prostranstva">Извлечение нераспределенного пространства</h2>

blkls -f ntfs -o 1048576 disk.img > unallocated.dd



<h2 id="poisk-strok-v-neraspredelennom-prostranstve">Поиск строк в нераспределенном пространстве</h2>

strings -a unallocated.dd | grep -i "password\|secret\|key" > sensitive_strings.txt



<h2 id="poisk-patternov-kreditnyh-kart">Поиск паттернов кредитных карт</h2>

strings -a unallocated.dd | grep -E "\b\d{4}[\s-]?\d{4}[\s-]?\d{4}[\s-]?\d{4}\b" > credit_cards.txt



<h2 id="poisk-email-adresov">Поиск email адресов</h2>

strings -a unallocated.dd | grep -E "\b[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Z|a-z]{2,}\b" > emails.txt

<h2 id="ispolzovanie-foremost-dlya-carving">Использование foremost для carving</h2>

foremost -i unallocated.dd -o carved_files/



<h2 id="ispolzovanie-scalpel-dlya-tochnogo-carving">Использование scalpel для точного carving</h2>

scalpel -c scalpel.conf unallocated.dd -o scalpel_output/

<h2 id="skript-analiza-slack-space-vseh-faylov">Скрипт анализа slack space всех файлов</h2>

#!/bin/bash

IMAGE=$1

OFFSET=$2

FSTYPE=$3



echo "Файл;Размер;Slack Space" > slack_analysis.csv



fls -f $FSTYPE -o $OFFSET -r $IMAGE | while read line; do

    # Пропуск каталогов

    [[ $line == d/* ]] && continue

    

    inode=$(echo $line | awk '{print $2}' | cut -d: -f1)

    filename=$(echo $line | awk '{for(i=4;i<=NF;i++) printf "%s ", $i; print ""}' | sed 's/ *$//')

    

    # Получение информации о файле

    file_info=$(istat -f $FSTYPE -o $OFFSET $IMAGE $inode)

    size=$(echo "$file_info" | grep "Size:" | awk '{print $2}')

    

    if [ ! -z "$size" ]; then

        # Расчет slack space (для кластеров 4KB)

        cluster_size=4096

        slack=$(( ($size + $cluster_size - 1) / $cluster_size * $cluster_size - $size ))

        

        echo "$filename;$size;$slack" >> slack_analysis.csv

    fi

done



echo "Анализ завершен. Результаты в slack_analysis.csv"

<h2 id="kombinirovannyy-timeline-iz-neskolkih-istochnikov">Комбинированный timeline из нескольких источников</h2>

#!/bin/bash

IMAGE=$1

OFFSET=$2



<h2 id="mft-timeline">MFT timeline</h2>

fls -f ntfs -o $OFFSET -m $IMAGE > mft_timeline.txt



<h2 id="usn-journal-timeline">USN Journal timeline</h2>

usnjls -f ntfs -o $OFFSET $IMAGE > usn_timeline.txt



<h2 id="registry-timeline-esli-izvlecheny-hive-fayly">Registry timeline (если извлечены hive файлы)</h2>

<h2 id="kod-dlya-analiza-reestra">... код для анализа реестра ...</h2>




<h2 id="obedinenie-i-sortirovka">Объединение и сортировка</h2>

cat mft_timeline.txt usn_timeline.txt | sort | uniq > combined_timeline.txt



<h2 id="filtratsiya-po-tipam-sobytiy">Фильтрация по типам событий</h2>

grep "FILE_CREATE" combined_timeline.txt > file_creations.txt

grep "FILE_DELETE" combined_timeline.txt > file_deletions.txt

<h2 id="poisk-anomalnoy-aktivnosti">Поиск аномальной активности</h2>

#!/bin/bash

TIMELINE=$1



<h2 id="gruppirovka-po-chasam">Группировка по часам</h2>

awk '{print $1, substr($2,1,2)}' $TIMELINE | sort | uniq -c | sort -nr > hourly_activity.txt



<h2 id="poisk-pikov-aktivnosti">Поиск пиков активности</h2>

echo "Топ часов активности:" > activity_report.txt

head -10 hourly_activity.txt >> activity_report.txt



<h2 id="poisk-aktivnosti-v-nerabochee-vremya">Поиск активности в нерабочее время</h2>

awk '{

    hour = substr($2,1,2) + 0;

    if (hour < 6 || hour > 22) print $0

}' $TIMELINE > night_activity.txt

<h2 id="izvlechenie-mft">Извлечение MFT</h2>

icat -f ntfs -o $OFFSET $IMAGE $(ifind -f ntfs -o $OFFSET -n "\$MFT" $IMAGE) > mft.raw



<h2 id="analiz-s-ispolzovaniem-spetsializirovannyh-instrumentov">Анализ с использованием специализированных инструментов</h2>

<h2 id="mft2csv-mftview-i-t-d">mft2csv, MFTView и т.д.</h2>

<h2 id="poisk-vseh-ads">Поиск всех ADS</h2>

fls -f ntfs -o $OFFSET -r $IMAGE | grep ":" > ads_files.txt



<h2 id="izvlechenie-soderzhimogo-ads">Извлечение содержимого ADS</h2>

while read line; do

    inode=$(echo $line | awk '{print $2}' | cut -d: -f1 | cut -d: -f1)

    stream=$(echo $line | awk '{print $2}' | cut -d: -f2)

    filename=$(echo $line | awk '{for(i=4;i<=NF;i++) printf "%s ", $i; print ""}' | sed 's/ *$//')

    

    icat -f ntfs -o $OFFSET $IMAGE ${inode}:${stream} > "ads_${filename}_${stream}"

done < ads_files.txt

<h2 id="izvlechenie-i-analiz-sacl-dacl">Извлечение и анализ SACL/DACL</h2>

<h2 id="trebuet-parsinga-binarnyh-struktur-ntfs">Требует парсинга бинарных структур NTFS</h2>

<h2 id="analiz-po-obschim-atributam">Анализ по общим атрибутам</h2>

#!/bin/bash

IMAGE=$1

OFFSET=$2

SEARCH_TERM=$3



<h2 id="poisk-faylov-po-soderzhimomu-imeni">Поиск файлов по содержимому имени</h2>

related_files=$(fls -f ntfs -o $OFFSET -r $IMAGE | grep -i "$SEARCH_TERM")



echo "Связанные файлы:" > related_analysis.txt

echo "$related_files" >> related_analysis.txt



<h2 id="poisk-faylov-v-tom-zhe-kataloge">Поиск файлов в том же каталоге</h2>

search_dir=$(dirname "$(echo "$related_files" | head -1 | awk '{for(i=4;i<=NF;i++) printf "%s/", $i; print ""}' | sed 's|/$||')")

echo -e "\nФайлы в том же каталоге:" >> related_analysis.txt

fls -f ntfs -o $OFFSET $IMAGE | grep "^d.*$search_dir" | head -1 | while read dir_line; do

    dir_inode=$(echo $dir_line | awk '{print $2}' | cut -d: -f1)

    fls -f ntfs -o $OFFSET $IMAGE $dir_inode >> related_analysis.txt

done

<h2 id="gruppirovka-sobytiy-po-vremennym-oknam">Группировка событий по временным окнам</h2>

#!/bin/bash

TIMELINE=$1

WINDOW_MINUTES=5



awk -v window="$WINDOW_MINUTES" '{

    # Преобразование времени в минуты от начала дня

    split($2, time_parts, ":");

    minutes = time_parts[1] * 60 + time_parts[2];

    window_start = int(minutes / window) * window;

    window_end = window_start + window;

    

    printf "%s %02d:%02d-%02d:%02d %s\n", $1, int(window_start/60), window_start%60, int(window_end/60), window_end%60, $3

}' $TIMELINE | sort | uniq -c | sort -nr > clustered_activity.txt

<h2 id="poisk-sledov-ispolzovaniya-cipher-exe-ili-sdelete">Поиск следов использования cipher.exe или sdelete</h2>

fls -f ntfs -o $OFFSET $IMAGE | grep -i -E "(cipher|sdelete|ccleaner|bleachbit)"



<h2 id="analiz-patternov-perezapisi">Анализ паттернов перезаписи</h2>

blkls -f ntfs -o $OFFSET $IMAGE | xxd | grep -E "(0000|FFFF){4,}" > wipe_patterns.txt

<h2 id="analiz-entropii-faylov">Анализ энтропии файлов</h2>

#!/bin/bash

IMAGE=$1

OFFSET=$2



fls -f ntfs -o $OFFSET -r $IMAGE | while read line; do

    [[ $line == d/* ]] && continue

    

    inode=$(echo $line | awk '{print $2}' | cut -d: -f1)

    filename=$(echo $line | awk '{for(i=4;i<=NF;i++) printf "%s ", $i; print ""}' | sed 's/ *$//')

    

    # Извлечение файла и расчет энтропии

    icat -f ntfs -o $OFFSET $IMAGE $inode > /tmp/temp_file 2>/dev/null

    

    if [ -f /tmp/temp_file ] && [ -s /tmp/temp_file ]; then

        entropy=$(ent /tmp/temp_file | grep "Entropy" | awk '{print $3}')

        echo "$filename;$entropy" >> entropy_analysis.csv

    fi

    

    rm -f /tmp/temp_file

done

#!/bin/bash

<h2 id="avtomatizirovannyy-analiz-obraza-diska">Автоматизированный анализ образа диска</h2>




set -e  # Выход при ошибке



<h2 id="parametry">Параметры</h2>

IMAGE=$1

OFFSET=$2

CASE_NAME=${3:-"case_$(date +%Y%m%d)"}



<h2 id="sozdanie-struktury-keysa">Создание структуры кейса</h2>

mkdir -p cases/$CASE_NAME/{evidence,reports,timeline,extracted,logs}



<h2 id="logirovanie">Логирование</h2>

exec > >(tee cases/$CASE_NAME/logs/analysis.log) 2>&1



echo "=== Начало анализа кейса $CASE_NAME ==="

echo "Образ: $IMAGE"

echo "Смещение: $OFFSET"

echo "Время: $(date)"



<h2 id="kopirovanie-obraza-v-keys">Копирование образа в кейс</h2>

cp $IMAGE cases/$CASE_NAME/evidence/



<h2 id="analiz-struktury">Анализ структуры</h2>

echo "Анализ структуры диска..."

mmls $IMAGE > cases/$CASE_NAME/reports/disk_structure.txt

fsstat -f ntfs -o $OFFSET $IMAGE > cases/$CASE_NAME/reports/fs_structure.txt



<h2 id="sozdanie-timeline">Создание timeline</h2>

echo "Создание timeline..."

fls -f ntfs -o $OFFSET -m $IMAGE | sort > cases/$CASE_NAME/timeline/mft_timeline.txt



<h2 id="poisk-udalennyh-faylov">Поиск удаленных файлов</h2>

echo "Поиск удаленных файлов..."

fls -f ntfs -o $OFFSET -d $IMAGE > cases/$CASE_NAME/reports/deleted_files.txt



<h2 id="izvlechenie-vazhnyh-faylov">Извлечение важных файлов</h2>

echo "Извлечение системных файлов..."

mkdir -p cases/$CASE_NAME/extracted/system



<h2 id="izvlechenie-reestra">Извлечение реестра</h2>

for hive in SYSTEM SOFTWARE SAM; do

    inode=$(ifind -f ntfs -o $OFFSET -n "Windows/System32/config/$hive" $IMAGE)

    if [ ! -z "$inode" ]; then

        icat -f ntfs -o $OFFSET $IMAGE $inode > cases/$CASE_NAME/extracted/system/$hive

    fi

done



<h2 id="analiz-neraspredelennogo-prostranstva">Анализ нераспределенного пространства</h2>

echo "Анализ нераспределенного пространства..."

blkls -f ntfs -o $OFFSET $IMAGE > cases/$CASE_NAME/evidence/unallocated.dd

strings cases/$CASE_NAME/evidence/unallocated.dd | grep -i "password\|secret" > cases/$CASE_NAME/reports/sensitive_strings.txt



<h2 id="generatsiya-otcheta">Генерация отчета</h2>

echo "Генерация отчета..."

cat > cases/$CASE_NAME/reports/summary.txt << EOF

Анализ кейса: $CASE_NAME

Дата анализа: $(date)

Образ диска: $(basename $IMAGE)



Статистика:

- Удаленных файлов: $(wc -l < cases/$CASE_NAME/reports/deleted_files.txt)

- Подозрительных строк: $(wc -l < cases/$CASE_NAME/reports/sensitive_strings.txt)

- Событий timeline: $(wc -l < cases/$CASE_NAME/timeline/mft_timeline.txt)



Извлеченные системные файлы:

$(ls cases/$CASE_NAME/extracted/system/)

EOF



echo "=== Анализ завершен ==="

echo "Результаты в cases/$CASE_NAME/"

<h2 id="python-skript-dlya-klasterizatsii-faylov-po-vremennym-patternam">Python скрипт для кластеризации файлов по временным паттернам</h2>

import pandas as pd

from sklearn.cluster import KMeans

import matplotlib.pyplot as plt



<h2 id="zagruzka-timeline-dannyh">Загрузка timeline данных</h2>

timeline_df = pd.read_csv('timeline.csv', parse_dates=['timestamp'])



<h2 id="izvlechenie-priznakov">Извлечение признаков</h2>

timeline_df['hour'] = timeline_df['timestamp'].dt.hour

timeline_df['day_of_week'] = timeline_df['timestamp'].dt.dayofweek



<h2 id="klasterizatsiya">Кластеризация</h2>

features = timeline_df[['hour', 'day_of_week']]

kmeans = KMeans(n_clusters=5, random_state=42)

timeline_df['cluster'] = kmeans.fit_predict(features)



<h2 id="vizualizatsiya">Визуализация</h2>

plt.scatter(timeline_df['hour'], timeline_df['day_of_week'], c=timeline_df['cluster'])

plt.xlabel('Час дня')

plt.ylabel('День недели')

plt.title('Кластеризация активности файлов')

plt.savefig('activity_clusters.png')

<h2 id="carving-s-uchetom-struktury-faylovoy-sistemy">Carving с учетом структуры файловой системы</h2>

#!/bin/bash



<h2 id="izvlechenie-unallocated-space">Извлечение unallocated space</h2>

blkls -f ntfs -o $OFFSET $IMAGE > unallocated.dd



<h2 id="carving-razlichnyh-tipov-faylov">Carving различных типов файлов</h2>

foremost -i unallocated.dd -o carving_results/ -c foremost.conf



<h2 id="analiz-carve-rezultatov">Анализ carve-результатов</h2>

find carving_results/ -type f -exec file {} \; | grep -v "empty" > carved_files_inventory.txt



<h2 id="validatsiya-carved-faylov">Валидация carved файлов</h2>

while read line; do

    file_path=$(echo "$line" | cut -d: -f1)

    file_type=$(echo "$line" | cut -d: -f2)

    

    # Дополнительная проверка для изображений

    if [[ $file_type == *"image"* ]]; then

        identify "$file_path" > /dev/null 2>&1

        if [ $? -eq 0 ]; then

            echo "Valid image: $file_path" >> validation_report.txt

        else

            echo "Invalid image: $file_path" >> validation_report.txt

        fi

    fi

done < carved_files_inventory.txt

<h2 id="sozdanie-dampa-pamyati-s-ispolzovaniem-lime-linux">Создание дампа памяти с использованием LiME (Linux)</h2>

insmod lime.ko "path=/tmp/mem_dump.lime format=lime"



<h2 id="analiz-s-volatility">Анализ с Volatility</h2>

volatility -f /tmp/mem_dump.lime imageinfo



<h2 id="poluchenie-profilya">Получение профиля</h2>

volatility -f /tmp/mem_dump.lime --profile=LinuxUbuntu16045x64 pslist



<h2 id="poisk-setevyh-soedineniy">Поиск сетевых соединений</h2>

volatility -f /tmp/mem_dump.lime netscan



<h2 id="izvlechenie-reestra-iz-pamyati">Извлечение реестра из памяти</h2>

volatility -f /tmp/mem_dump.lime printkey -K "SOFTWARE\Microsoft\Windows\CurrentVersion"

<h2 id="izvlechenie-protsessov-iz-pamyati">Извлечение процессов из памяти</h2>

volatility -f mem_dump.lime psscan > memory_processes.txt



<h2 id="sravnenie-s-protsessami-na-diske">Сравнение с процессами на диске</h2>

fls -f ntfs -o $OFFSET disk.img | grep -E "\.(exe|dll)$" > disk_processes.txt



<h2 id="poisk-nesootvetstviy">Поиск несоответствий</h2>

comm -23 <(sort memory_processes.txt) <(sort disk_processes.txt)

<h2 id="poisk-pcap-faylov-na-diske">Поиск PCAP файлов на диске</h2>

fls -f ntfs -o $OFFSET disk.img | grep -i "\.pcap$"



<h2 id="izvlechenie-pcap-fayla">Извлечение PCAP файла</h2>

icat -f ntfs -o $OFFSET disk.img $(ifind -f ntfs -o $OFFSET -n "capture.pcap" disk.img) > extracted_capture.pcap



<h2 id="analiz-v-wireshark">Анализ в Wireshark</h2>

wireshark extracted_capture.pcap



<h2 id="filtratsiya-http-trafika">Фильтрация HTTP трафика</h2>

tshark -r extracted_capture.pcap -Y "http" -T fields -e http.host -e http.request.uri

<h2 id="izvlechenie-system-hive">Извлечение SYSTEM hive</h2>

icat -f ntfs -o $OFFSET disk.img $(ifind -f ntfs -o $OFFSET -n "Windows/System32/config/SYSTEM" disk.img) > SYSTEM



<h2 id="analiz-s-regripper">Анализ с RegRipper</h2>

rip.pl -r SYSTEM -f system > system_analysis.txt



<h2 id="analiz-usb-ustroystv">Анализ USB устройств</h2>

cat system_analysis.txt | grep -A 10 -B 5 "USB"



<h2 id="analiz-poslednih-polzovateley">Анализ последних пользователей</h2>

cat system_analysis.txt | grep -A 5 "ProfileList"

// Пример Java модуля для Autopsy

public class CustomFileAnalyzer extends IngestModuleAdapter {



    @Override

    public void process(Content dataSource, IngestJobContext context) {

        // Анализ каждого файла

        for (AbstractFile file : dataSource.getFiles()) {

            if (file.getName().toLowerCase().endsWith(".log")) {

                // Анализ log файла

                String content = file.read();

                if (content.contains("ERROR")) {

                    // Создание артефакта

                    BlackboardArtifact artifact = file.newArtifact(ARTIFACT_TYPE.TSK_CUSTOM_ARTIFACT);

                    artifact.addAttribute(new BlackboardAttribute(ATTRIBUTE_TYPE.TSK_COMMENT, content));

                }

            }

        }

    }

}

<h2 id="import-timeline-dannyh-v-elasticsearch">Импорт timeline данных в Elasticsearch</h2>

fls -f ntfs -o $OFFSET disk.img -m | jq -R -s 'split("\n") | map(split("\t")) | map({"timestamp": .[0] + " " + .[1], "action": .[2], "file": .[3]})' | curl -XPOST "localhost:9200/timeline/_bulk" -H "Content-Type: application/x-ndjson" --data-binary @-



<h2 id="sozdanie-kibana-vizualizatsiy">Создание Kibana визуализаций</h2>

<h2 id="timeline-heatmap">Timeline heatmap</h2>

<h2 id="file-type-distribution">File type distribution</h2>

<h2 id="user-activity-patterns">User activity patterns</h2>

#!/bin/bash

<h2 id="kompleksnyy-analiz-s-ispolzovaniem-neskolkih-instrumentov">Комплексный анализ с использованием нескольких инструментов</h2>




IMAGE=$1

OUTPUT_DIR="comprehensive_analysis_$(date +%s)"



mkdir -p $OUTPUT_DIR/{sleuthkit,volatility,wireshark,registry}



<h2 id="sleuth-kit-analiz">Sleuth Kit анализ</h2>

echo "Sleuth Kit analysis..."

mmls $IMAGE > $OUTPUT_DIR/sleuthkit/disk_structure.txt

fls -f ntfs -o 1048576 -m $IMAGE > $OUTPUT_DIR/sleuthkit/timeline.txt



<h2 id="volatility-analiz-esli-est-damp-pamyati">Volatility анализ (если есть дамп памяти)</h2>

if [ -f "memory.dmp" ]; then

    echo "Volatility analysis..."

    volatility -f memory.dmp pslist > $OUTPUT_DIR/volatility/processes.txt

    volatility -f memory.dmp netscan > $OUTPUT_DIR/volatility/network.txt

fi



<h2 id="wireshark-analiz-esli-est-pcap">Wireshark анализ (если есть PCAP)</h2>

if [ -f "traffic.pcap" ]; then

    echo "Wireshark analysis..."

    tshark -r traffic.pcap -q -z conv,tcp > $OUTPUT_DIR/wireshark/conversations.txt

fi



<h2 id="registry-analiz">Registry анализ</h2>

echo "Registry analysis..."

icat -f ntfs -o 1048576 $IMAGE $(ifind -f ntfs -o 1048576 -n "Windows/System32/config/SYSTEM" $IMAGE) > $OUTPUT_DIR/registry/SYSTEM

rip.pl -r $OUTPUT_DIR/registry/SYSTEM > $OUTPUT_DIR/registry/system_analysis.txt



<h2 id="generatsiya-svodnogo-otcheta">Генерация сводного отчета</h2>

cat > $OUTPUT_DIR/summary_report.txt << EOF

Комплексный анализ цифровых доказательств

Дата: $(date)

Образ диска: $IMAGE



=== Резюме анализа ===



Sleuth Kit:

- Структур диска: $(wc -l < $OUTPUT_DIR/sleuthkit/disk_structure.txt)

- Событий timeline: $(wc -l < $OUTPUT_DIR/sleuthkit/timeline.txt)



Volatility:

$(if [ -f "$OUTPUT_DIR/volatility/processes.txt" ]; then echo "- Процессов: $(wc -l < $OUTPUT_DIR/volatility/processes.txt)"; fi)



Registry:

- Найденных ключей: $(grep -c "^Key:" $OUTPUT_DIR/registry/system_analysis.txt)



Рекомендации:

$(if grep -q "suspicious" $OUTPUT_DIR/*/analysis.txt; then echo "Обнаружены подозрительные артефакты"; else echo "Подозрительных артефактов не найдено"; fi)

EOF



echo "Анализ завершен. Результаты в $OUTPUT_DIR"

<h2 id="json-format-dlya-vseh-instrumentov">JSON формат для всех инструментов</h2>

fls -f ntfs -o $OFFSET $IMAGE -m | jq -R 'split("\t") | {timestamp: .[0] + " " + .[1], action: .[2], file: .[3]}' > timeline.json



<h2 id="csv-dlya-importa-v-drugie-sistemy">CSV для импорта в другие системы</h2>

echo "timestamp,action,file,size" > analysis.csv

fls -f ntfs -o $OFFSET -m $IMAGE | while read line; do

    echo "$line" | awk -F'\t' '{print $1 "," $2 "," $3 "," $4}' >> analysis.csv

done

<h2 id="primer-ansible-playbook-dlya-kompleksnogo-analiza">Пример Ansible playbook для комплексного анализа</h2>




- name: Digital Forensics Analysis

  hosts: forensics_server

  tasks:

    - name: Acquire disk image

      command: dc3dd if=/dev/sdb of=evidence.dd hash=sha256

      

    - name: Run Sleuth Kit analysis

      command: fls -f ntfs -o 1048576 -m evidence.dd > timeline.txt

      

    - name: Extract registry hives

      command: icat -f ntfs -o 1048576 evidence.dd $(ifind -f ntfs -o 1048576 -n "Windows/System32/config/SYSTEM" evidence.dd) > SYSTEM

      

    - name: Analyze registry

      command: rip.pl -r SYSTEM > registry_analysis.txt

      

    - name: Generate report

      template:

        src: report_template.j2

        dest: final_report.html

<h2 id="analiz-bolshih-obrazov-mozhet-zanimat-znachitelnoe-vremya">Анализ больших образов может занимать значительное время</h2>

time fls -f ntfs -o 1048576 large_disk.img -r > large_timeline.txt

<h2 id="mozhet-vypolnyatsya-neskolko-chasov-dlya-diskov-1tb">Может выполняться несколько часов для дисков &gt; 1TB</h2>

<h2 id="dlya-bolshih-obrazov-trebuetsya-znachitelnyy-obem-ram">Для больших образов требуется значительный объем RAM</h2>

export TSK_IMG_INFO_CACHE=2G

<h2 id="bez-dostatochnoy-pamyati-analiz-mozhet-byt-nepolnym">Без достаточной памяти анализ может быть неполным</h2>

<h2 id="bitlocker-zashifrovannye-razdely">BitLocker зашифрованные разделы</h2>

mmls encrypted_disk.dd

<h2 id="vyvod-cannot-determine-partition-type-encrypted">Вывод: Cannot determine partition type (Encrypted)</h2>




<h2 id="reshenie-predvaritelnaya-rasshifrovka">Решение: предварительная расшифровка</h2>

dislocker -V encrypted_disk.dd -p PASSWORD -- /mnt/decrypted

mmls /mnt/decrypted/dislocker-file

<h2 id="povrezhdennyy-mft">Поврежденный MFT</h2>

fsstat -f ntfs -o 1048576 damaged_disk.dd

<h2 id="oshibka-unable-to-read-mft">Ошибка: Unable to read MFT</h2>




<h2 id="reshenie-ispolzovanie-alternativnyh-instrumentov">Решение: использование альтернативных инструментов</h2>

testdisk damaged_disk.dd

<h2 id="timestomping-podmena-vremennyh-metok">Timestomping - подмена временных меток</h2>

<h2 id="obnaruzhenie-cherez-analiz-usn-journal">Обнаружение через анализ USN Journal</h2>

usnjls -f ntfs -o $OFFSET disk.img | grep "timestamp"



<h2 id="secure-delete-bezopasnoe-udalenie">Secure delete - безопасное удаление</h2>

<h2 id="obnaruzhenie-cherez-analiz-unallocated-space">Обнаружение через анализ unallocated space</h2>

strings unallocated.dd | grep -E "(random|zero){10,}"

<h2 id="raznye-versii-mogut-davat-raznye-rezultaty">Разные версии могут давать разные результаты</h2>

fls -V  # Проверка версии

<h2 id="vazhno-ispolzovat-consistent-versii-dlya-vsego-analiza">Важно использовать consistent версии для всего анализа</h2>

<h2 id="problemy-s-ne-ascii-imenami-faylov">Проблемы с не-ASCII именами файлов</h2>

fls -f ntfs -o $OFFSET disk.img | grep "файл"  # Может не работать корректно



<h2 id="reshenie-ispolzovanie-utf-8">Решение: использование UTF-8</h2>

export LANG=en_US.UTF-8

<h2 id="poisk-password-v-unallocated-space">Поиск &quot;password&quot; в unallocated space</h2>

strings unallocated.dd | grep "password"

<h2 id="mozhet-nayti-sluchaynye-sovpadeniya-v-binarnyh-dannyh">Может найти случайные совпадения в бинарных данных</h2>

<h2 id="usechennye-fayly-v-slack-space">Усеченные файлы в slack space</h2>

<h2 id="mogut-soderzhat-tolko-nachalo-fayla">Могут содержать только начало файла</h2>

blkls -f ntfs -o $OFFSET disk.img | head -c 100

<h2 id="nepravilnaya-interpretatsiya-vremennyh-metok">Неправильная интерпретация временных меток</h2>

fls -f ntfs -o $OFFSET disk.img -m

<h2 id="vazhno-uchityvat-timezone-sistemy">Важно учитывать timezone системы</h2>

<h2 id="sozdanie-dedicated-forensic-rabochey-stantsii">Создание dedicated forensic рабочей станции</h2>

sudo apt install sleuthkit autopsy volatility wireshark regripper



<h2 id="nastroyka-swap-fayla-dlya-bolshih-obrazov">Настройка swap файла для больших образов</h2>

sudo fallocate -l 16G /swapfile

sudo chmod 600 /swapfile

sudo mkswap /swapfile

sudo swapon /swapfile



<h2 id="nastroyka-keshirovaniya">Настройка кэширования</h2>

echo 'vm.dirty_ratio = 5' >> /etc/sysctl.conf

echo 'vm.dirty_background_ratio = 10' >> /etc/sysctl.conf

sysctl -p

<h2 id="struktura-direktoriy-dlya-keysov">Структура директорий для кейсов</h2>

mkdir -p cases/{current_case}/{evidence,reports,extracted,timeline,logs}



<h2 id="avtomaticheskoe-rezervnoe-kopirovanie">Автоматическое резервное копирование</h2>

rsync -av cases/ /backup/cases/

<h2 id="sozdanie-aliasov-dlya-chastyh-komand">Создание алиасов для частых команд</h2>

echo "alias autopsy='cd /cases && autopsy'" >> ~/.bashrc

echo "alias timeline='fls -f ntfs -o 1048576 -m \$1 | sort'" >> ~/.bashrc



<h2 id="funktsii-dlya-avtomatizatsii">Функции для автоматизации</h2>

function quick_analysis() {

    IMAGE=$1

    mmls $IMAGE > ${IMAGE}_structure.txt

    fsstat -f ntfs -o 1048576 $IMAGE > ${IMAGE}_fsstat.txt

    echo "Quick analysis complete for $IMAGE"

}

<h2 id="vsegda-proveryat-heshi">Всегда проверять хэши</h2>

function verify_image() {

    IMAGE=$1

    HASH_FILE="${IMAGE}.sha256"

    

    if [ -f "$HASH_FILE" ]; then

        sha256sum -c "$HASH_FILE"

        if [ $? -eq 0 ]; then

            echo "Image integrity verified"

        else

            echo "WARNING: Image integrity compromised!"

            exit 1

        fi

    else

        echo "No hash file found, creating one..."

        sha256sum "$IMAGE" > "$HASH_FILE"

    fi

}

<h2 id="logirovanie-vseh-komand">Логирование всех команд</h2>

PROMPT_COMMAND='echo "$(date +%Y-%m-%d\ %H:%M:%S) $(whoami) $(history 1)" >> ~/.forensics_log'

<h2 id="sozdanie-testovyh-stsenariev">Создание тестовых сценариев</h2>

<h2 id="1-sozdat-virtualnuyu-mashinu">1. Создать виртуальную машину</h2>

<h2 id="2-vypolnit-razlichnye-deystviya">2. Выполнить различные действия</h2>

<h2 id="3-sozdat-obraz-diska">3. Создать образ диска</h2>

<h2 id="4-proanalizirovat-s-sleuth-kit">4. Проанализировать с Sleuth Kit</h2>

<h2 id="5-sravnit-rezultaty-s-ozhidaemymi">5. Сравнить результаты с ожидаемыми</h2>

<h2 id="sozdanie-obraza-noutbuka-podozrevaemogo">Создание образа ноутбука подозреваемого</h2>

dc3dd if=/dev/sdb of=suspect_laptop.dd hash=sha256 log=acquisition_20260115.log



<h2 id="proverka-tselostnosti">Проверка целостности</h2>

sha256sum -c suspect_laptop.sha256

<h2 id="opredelenie-struktury-diska">Определение структуры диска</h2>

mmls suspect_laptop.dd

<h2 id="vyyavleno-3-razdela-efi-ntfs-c-recovery">Выявлено 3 раздела: EFI, NTFS C:, Recovery</h2>




<h2 id="analiz-osnovnoy-faylovoy-sistemy">Анализ основной файловой системы</h2>

fsstat -f ntfs -o 1048576 suspect_laptop.dd

<h2 id="razmer-toma-500gb-mft-records-125000">Размер тома: 500GB, MFT records: 125000</h2>

<h2 id="sozdanie-timeline">Создание timeline</h2>

fls -f ntfs -o 1048576 -m suspect_laptop.dd | sort > suspect_timeline.txt



<h2 id="poisk-aktivnosti-v-period-podozreniya-yanvar-2026">Поиск активности в период подозрения (январь 2026)</h2>

awk '$1 >= "2026-01-01" && $1 <= "2026-01-15"' suspect_timeline.txt > suspect_january.txt



<h2 id="analiz-usb-podklyucheniy-cherez-reestr">Анализ USB подключений через реестр</h2>

icat -f ntfs -o 1048576 suspect_laptop.dd $(ifind -f ntfs -o 1048576 -n "Windows/System32/config/SYSTEM" suspect_laptop.dd) > SYSTEM

rip.pl -r SYSTEM | grep -A 5 "USB" > usb_analysis.txt

<h2 id="poisk-sledov-oblachnyh-hranilisch">Поиск следов облачных хранилищ</h2>

fls -f ntfs -o 1048576 suspect_laptop.dd | grep -i -E "(dropbox|onedrive|google)" > cloud_traces.txt



<h2 id="analiz-brauzernoy-istorii">Анализ браузерной истории</h2>

icat -f ntfs -o 1048576 suspect_laptop.dd $(ifind -f ntfs -o 1048576 -n "Users/*/AppData/Local/Google/Chrome/User Data/Default/History" suspect_laptop.dd) > chrome_history

strings chrome_history | grep -i "upload\|share" > upload_activity.txt



<h2 id="poisk-bolshih-faylov-peredannyh-po-seti">Поиск больших файлов, переданных по сети</h2>

<h2 id="analiz-prefetch-faylov">Анализ prefetch файлов</h2>

fls -f ntfs -o 1048576 suspect_laptop.dd | grep "Windows/Prefetch" > prefetch_files.txt

<h2 id="poisk-udalennyh-faylov">Поиск удаленных файлов</h2>

fls -f ntfs -o 1048576 -d suspect_laptop.dd > deleted_files.txt



<h2 id="vosstanovlenie-podozritelnyh-dokumentov">Восстановление подозрительных документов</h2>

grep -i "confidential\|secret" deleted_files.txt | while read line; do

    inode=$(echo $line | awk '{print $2}' | cut -d: -f1)

    filename=$(echo $line | awk '{for(i=4;i<=NF;i++) printf "%s_", $i; print ""}' | sed 's/_$//')

    icat -f ntfs -o 1048576 suspect_laptop.dd $inode > "recovered_${filename}"

done

dd if=/dev/sdb of=disk_image.dd bs=4M

fls -f ntfs -o 1048576 -d disk_image.dd

icat -f ntfs -o 1048576 disk_image.dd 12345 > extracted_file