mirror of
https://github.com/overcuriousity/autopsy-flatpak.git
synced 2025-07-06 21:00:22 +00:00
Translate : search_all_cases, tree_viewer and triage pages
This commit is contained in:
parent
0db08d774d
commit
d13fe86921
@ -1,22 +1,22 @@
|
|||||||
/*! \page search_all_cases_page Search All Cases
|
/*! \page search_all_cases_page Rechercher dans tous les cas
|
||||||
|
|
||||||
[TOC]
|
[TOC]
|
||||||
|
|
||||||
|
|
||||||
\section search_all_cases_overview Overview
|
\section search_all_cases_overview Aperçu
|
||||||
|
|
||||||
The Search All Cases feature allows you to search the \ref central_repo_page for arbitrary properties. You must have the Central Repository enabled to run
|
La fonction de recherche dans tous les cas vous permet de rechercher dans le \ref central_repo_page avec des propriétés arbitraires. Vous devez avoir activé le référentiel central pour exécuter
|
||||||
this search, and you must have a case open (though the open case has no effect on the search results).
|
cette recherche, et vous devez avoir un cas ouvert (bien que le cas ouvert n'ait aucun effet sur les résultats de la recherche).
|
||||||
|
|
||||||
\section search_all_cases_usage Usage
|
\section search_all_cases_usage Usage
|
||||||
|
|
||||||
Go to Tools->Search Other Cases to open the search dialog. Here you can select the property type and value to search for. An example of what the value should look
|
Allez sur Tools->Search All Cases pour ouvrir la boîte de dialogue de recherche. Ici, vous pouvez sélectionner le type de propriété et la valeur à rechercher. Un exemple de ce à quoi la valeur devrait ressembler
|
||||||
like will be displayed in light grey in the Correlation Property Value box. If the entered value is invalid for that property type a red error message will be displayed.
|
sera affiché en gris clair dans la zone "Correlation Property Value". Si la valeur saisie n'est pas valide pour ce type de propriété, un message d'erreur rouge s'affiche.
|
||||||
|
|
||||||
\image html search_all_cases_dialog.png
|
\image html search_all_cases_dialog.png
|
||||||
|
|
||||||
Once you hit the Search button, any results will be displayed in the Result Viewer. The tab title will display what was
|
Une fois que vous avez cliqué sur le bouton Search, tous les résultats seront affichés dans la visionneuse de résultats. Le titre de l'onglet affichera ce qui était
|
||||||
searched for ("Email Addresses" and "sample@gmail.com" in the example).
|
recherché ("Email Addresses" et "sample@gmail.com" dans l'exemple).
|
||||||
|
|
||||||
\image html search_all_cases_results.png
|
\image html search_all_cases_results.png
|
||||||
|
|
||||||
|
@ -1,67 +1,67 @@
|
|||||||
/*! \page tree_viewer_page Tree Viewer
|
/*! \page tree_viewer_page Arborescence
|
||||||
|
|
||||||
[TOC]
|
[TOC]
|
||||||
|
|
||||||
|
|
||||||
The tree on the left-hand side of the main window is where you can browse the files in the data sources in the case and find saved results from automated analyis (ingest). The tree has five main areas:
|
L'arborescence sur le côté gauche de la fenêtre principale est l'endroit où vous pouvez parcourir les fichiers dans les sources de données du cas et trouver les résultats enregistrés à partir des analyses automatisées (Ingest). L'arborescence a cinq zones principales:
|
||||||
- <b>Persons / Hosts / Data Sources:</b> This shows the directory tree hierarchy of the data sources. You can navigate to a specific file or directory here. Each data source added to the case is represented as a distinct sub tree. If you add a data source multiple times, it shows up multiple times.
|
- <b>Persons / Hosts / Data Sources:</b> Cela montre la hiérarchie arborescente de répertoires des sources de données. Vous pouvez accéder à un fichier ou à un répertoire spécifique ici. Chaque source de données ajoutée au cas est représentée sous la forme d'une sous-arborescence distincte. Si vous ajoutez une source de données plusieurs fois, elle apparaît plusieurs fois.
|
||||||
- <b>Views:</b> Specific types of files from the data sources are shown here, aggregated by type or other properties. Files here can come from more than one data source.
|
- <b>Views:</b> Des types spécifiques de fichiers provenant des sources de données sont affichés ici, agrégés par type ou par d'autres propriétés. Les fichiers ici peuvent provenir de plusieurs sources de données.
|
||||||
- <b>Results:</b> This is where you can see the results from both the automated analysis (ingest) running in the background and your search results.
|
- <b>Results:</b> C'est ici que vous pouvez voir les résultats des analyses automatisées (Ingest) exécutée en arrière-plan ainsi que vos résultats de recherche.
|
||||||
- <b>Tags:</b> This is where files and results that have been \ref tagging_page "tagged" are shown.
|
- <b>Tags:</b> C'est là que les fichiers et les résultats qui ont été \ref tagging_page "marqués" sont affichés.
|
||||||
- <b>Reports:</b> Reports that you have generated, or that ingest modules have created, show up here.
|
- <b>Reports:</b> Les rapports que vous avez générés ou que les modules d'acquisition ont créés s'affichent ici.
|
||||||
|
|
||||||
You can also use the "Group by Person/Host" option available through the \ref view_options_page to move the Views, Results, and Tags tree nodes under their corresponding person and host. This can be helpful on very large cases to reduce the size of each sub tree.
|
Vous pouvez également utiliser l'option "Group by Person/Host" disponible via la page \ref view_options_page pour déplacer les nœuds d'arborescence Views, Results, et Tags sous les catégories "Persons" et "Hosts" correspondantes. Cela peut être utile dans les cas très volumineux pour réduire la taille de chaque sous-arborescence.
|
||||||
|
|
||||||
\section ui_tree_ds Persons / Hosts / Data Sources
|
\section ui_tree_ds Persons / Hosts / Data Sources (Personnes / Hôtes / Sources de données)
|
||||||
By default, the top node of the tree viewer will contain all data sources in the case. The Data Sources node is organized by host and then the data source itself. Right clicking on the various nodes in the Data Sources area of the tree will allow you to get more options for each data source and its contents.
|
Par défaut, le nœud supérieur de l'arborescence contiendra toutes les sources de données du cas. Le nœud "Data Sources" est organisé par hôte, puis par source de données elle-même. Un clic droit sur les différents nœuds dans la zone "Data Sources" de l'arborescence vous permettra d'obtenir plus d'options pour chaque source de données et son contenu.
|
||||||
|
|
||||||
\image html ui_tree_top_ds.png
|
\image html ui_tree_top_ds.png
|
||||||
|
|
||||||
If the "Group by Person/Host" option has been selected in the \ref view_options_group "View Options", the hosts and data sources will be organized under any persons that have been associated with the hosts. Additionally, the rest of the nodes (Views, Results, etc) will be found under each data source.
|
Si l'option "Group by Person/Host" a été sélectionnée dans le panneau \ref view_options_group "Options", les hôtes et les sources de données seront organisés par rapport à toutes les personnes ayant été associées aux hôtes. De plus, le reste des nœuds (Views, Results, etc...) se trouve sous chaque source de données.
|
||||||
|
|
||||||
\image html ui_tree_top_persons.png
|
\image html ui_tree_top_persons.png
|
||||||
|
|
||||||
\subsection ui_tree_persons Persons
|
\subsection ui_tree_persons Persons (Personnes)
|
||||||
|
|
||||||
If the "Group by Person/Host" option in the \ref view_options_group "View Options" has been set, the top level nodes will display persons. Persons are manually created and can be associated with one or more hosts. To add or remove a person from a host, right-click on the host and select the appropriate option.
|
Si l'option "Group by Person/Host" a été sélectionnée dans le panneau \ref view_options_group "Options", les nœuds de niveau supérieur afficheront les personnes. Les personnes sont créées manuellement et peuvent être associées à un ou plusieurs hôtes. Pour ajouter ou supprimer une personne d'un hôte, cliquez avec le bouton droit sur l'hôte et sélectionnez l'option appropriée.
|
||||||
|
|
||||||
\image html ui_person_select.png
|
\image html ui_person_select.png
|
||||||
|
|
||||||
You can edit and delete persons by right-clicking on the node.
|
Vous pouvez modifier et supprimer des personnes en faisant un clic droit sur le nœud.
|
||||||
|
|
||||||
\subsection ui_tree_hosts Hosts
|
\subsection ui_tree_hosts Hosts (Hôtes)
|
||||||
|
|
||||||
All data sources are organized under host nodes. See the \ref host_page "hosts page" for more information on using hosts.
|
Toutes les sources de données sont organisées sous des nœuds "Hosts" (Hôtes). Voir la page \ref host_page "Hôtes" pour plus d'informations sur l'utilisation des hôtes.
|
||||||
|
|
||||||
\subsection ui_tree_ds_node Data Sources
|
\subsection ui_tree_ds_node Data Sources (Sources de données)
|
||||||
Under the hosts are the nodes for each data source.
|
Sous les hôtes se trouvent les nœuds de chaque source de données.
|
||||||
|
|
||||||
Unallocated space is the chunks of a file system that are currently not being used for anything. Unallocated space can hold deleted files and other interesting artifacts. In an image data source, unallocated space is stored in blocks with distinct locations in the file system. However, because of the way carving tools work, it is better to feed these tools a single, large unallocated space file. Autopsy provides access to both methods of looking at unallocated space.
|
L'espace non alloué (Unallocated space) représente les parties d'un système de fichiers qui ne sont actuellement utilisées pour rien. L'espace non alloué peut contenir des fichiers supprimés et d'autres artefacts intéressants. Dans une source de données d'image disque, l'espace non alloué est stocké dans des blocs situés à des emplacements distincts dans le système de fichiers. Cependant, en raison du fonctionnement des outils de carving, il est préférable d'alimenter ces outils avec un seul et grand fichier d'espace non alloué. Autopsy permet d'accéder aux deux méthodes d'examen de l'espace non alloué.
|
||||||
\li <b>Individual blocks in a volume</b> For each volume, there is a "virtual" folder named "$Unalloc". This folder contains all the individual unallocated blocks in contiguous runs (unallocated space files) as the image is storing them. You can right click and extract any unallocated space file the same way you can extract any other type of file in the Data Sources area.
|
\li <b>Blocs individuels dans un volume</b> - Pour chaque volume, il y a un dossier "virtuel" nommé "$Unalloc". Ce dossier contient tous les blocs non alloués individuels situés de façon contiguës (fichiers d'espace non alloué) à la manière dont l'image les stocke. Vous pouvez faire un clic droit et extraire tout fichier d'espace non alloué de la même manière que vous pouvez extraire tout autre type de fichier dans la zone "Data Sources".
|
||||||
\li <b>Single files</b> Right click on a volume and select "Extract Unallocated Space as Single File" to concatenate all of the unallocated space files in the volume into a single, continuous file. (If desired, you can right click on an image, and select "Extract Unallocated Space to Single Files" which will do the same thing, but once for each volume in the image).
|
\li <b>Fichiers uniques</b> - Faites un clic droit sur un volume et sélectionnez "Extract Unallocated Space as Single File" pour concaténer tous les fichiers d'espace non alloués du volume en un seul fichier continu. (Si vous le souhaitez, vous pouvez faire un clic droit sur une image et sélectionner "Extract Unallocated Space to Single Files", ce qui fera la même chose mais une fois pour chaque volume de l'image).
|
||||||
|
|
||||||
An example of the single file extraction option is shown below.
|
Un exemple de l'option d'extraction de fichier unique est illustré ci-dessous.
|
||||||
\image html extracting-unallocated-space.PNG
|
\image html extracting-unallocated-space.PNG
|
||||||
|
|
||||||
\section ui_tree_views Views
|
\section ui_tree_views Views (Vues)
|
||||||
|
|
||||||
Views filter all the files in the case by some property of the file.
|
La zone "Views" filtre tous les fichiers du cas en fonction de certaines propriétés du fichier.
|
||||||
- <b>File Types</b> Sorts files by file extension or by MIME type, and shows them in the appropriate group. For example, files with .mp3 and .wav extensions end up in the "Audio" group.
|
- <b>File Types</b> - Trie les fichiers par extension ou par type MIME et les affiche dans le groupe approprié. Par exemple, les fichiers avec les extensions .mp3 et .wav se retrouvent dans le groupe "Audio".
|
||||||
- <b>Deleted Files</b> Displays files that have been deleted, but the names have been recovered.
|
- <b>Deleted Files</b> - Affiche les fichiers qui ont été supprimés, mais dont les noms ont été récupérés.
|
||||||
- <b>File Size</b> Sorts files based on size.
|
- <b>File Size</b> - Trie les fichiers en fonction de leur taille.
|
||||||
|
|
||||||
|
|
||||||
\section ui_tree_results Results
|
\section ui_tree_results Results (Résultats)
|
||||||
- <b>Extracted Content:</b> Many ingest modules will place results here; EXIF metadata, GPS locations, or Web history for example.
|
- <b>Extracted Content:</b> De nombreux modules d'acquisition placeront les résultats ici: métadonnées EXIF, emplacements GPS ou historiques Web par exemple.
|
||||||
- <b>Keyword Hits:</b> Keyword search hits show up here.
|
- <b>Keyword Hits:</b> Les résultats de la recherche par mot-clé s'affichent ici.
|
||||||
- <b>Hashset Hits:</b> Hashset hits show up here.
|
- <b>Hashset Hits:</b> Les résultats de la recherche de hachage s'affichent ici.
|
||||||
- <b>E-Mail Messages:</b> Email messages show up here.
|
- <b>E-Mail Messages:</b> Les e-mails s'affichent ici.
|
||||||
- <b>Interesting Items:</b> Things deemed interesting show up here.
|
- <b>Interesting Items:</b> Les éléments jugés intéressants apparaissent ici.
|
||||||
- <b>Accounts:</b> Credit card accounts show up here.
|
- <b>Accounts:</b> Les comptes de carte de crédit s'affichent ici.
|
||||||
- <b>Tags:</b> Any item you tag shows up here so you can find it again easily.
|
- <b>Tags:</b> Tout élément que vous avez marqué apparaît ici pour que vous puissiez le retrouver facilement.
|
||||||
|
|
||||||
\section ui_tree_reports Reports
|
\section ui_tree_reports Reports (Rapports)
|
||||||
|
|
||||||
Reports can be added by \subpage ingest_page or created using the \subpage reporting_page tool.
|
Les rapports peuvent être ajoutés par les \subpage ingest_page ou créés en utilisant l'outil \subpage reporting_page.
|
||||||
|
|
||||||
*/
|
*/
|
||||||
|
@ -1,104 +1,104 @@
|
|||||||
/*! \page triage_page Triage
|
/*! \page triage_page Triage
|
||||||
|
|
||||||
[TOC]
|
[TOC]
|
||||||
|
|
||||||
|
|
||||||
\section triage_overview Overview
|
\section triage_overview Aperçu
|
||||||
|
|
||||||
Sometimes you need to make a quick decision about a system or systems and don't have the time or resources to make full images. For example, during a knock and talk you want to know if there is notable data on their system. Or you are at a location with many systems and want to know which should be analyzed first. Autopsy has features that will allow you to quickly find the data of interest without making full images of the devices. Those features will be described below, followed by some example scenarios that show how to put everything together.
|
Parfois, vous devez prendre une décision rapide sur un ou plusieurs systèmes et vous n'avez ni le temps ni les ressources pour créer des images complètes. Par exemple, lors d'une perquisition, vous voulez savoir s'il existe des données notables sur le système. Ou vous êtes à un endroit avec de nombreux systèmes et vous voulez savoir lesquels doivent être analysés en premier. Autopsy a des fonctionnalités qui vous permettront de trouver rapidement les données d'intérêt sans faire des images complètes des appareils. Ces fonctionnalités seront décrites ci-dessous, suivies de quelques exemples de scénarios qui montrent comment tout assembler.
|
||||||
|
|
||||||
\section triage_features Triage-related Features
|
\section triage_features Caractéristiques liées au triage
|
||||||
|
|
||||||
There are many features of Autopsy that can come into play in a triage situation. Some help you process the files most likely to be relevant earlier, and others allow you to continue analyzing the data after disconnecting from the target system.
|
Il existe de nombreuses fonctionnalités d'Autopsy qui peuvent entrer en jeu dans une situation de triage. Certaines vous aident à traiter au plus tôt les fichiers les plus susceptibles d'être pertinents, et d'autres vous permettent de continuer à analyser les données après la déconnexion du système cible.
|
||||||
|
|
||||||
\subsection triage_prioritization Prioritization
|
\subsection triage_prioritization Priorisation
|
||||||
|
|
||||||
The goal is to find the most important files first when there is limited time to analyze a system. Autopsy always runs on the user folders first (if present), since in many situations they are the most likely folders to contain data of interest.
|
L'objectif est de trouver d'abord les fichiers les plus importants lorsque le temps d'analyse d'un système est limité. Autopsy s'exécute toujours en premier sur les dossiers de l'utilisateur (le cas échéant), car dans de nombreuses situations, ce sont les dossiers les plus susceptibles de contenir des données d'intérêt.
|
||||||
|
|
||||||
\image html triage/pipelineFolders.png
|
\image html triage/pipelineFolders.png
|
||||||
|
|
||||||
\subsection triage_file_filter File Filters
|
\subsection triage_file_filter Filtres de fichiers
|
||||||
|
|
||||||
For a particular scenario, you may know specific file types that you are interested in. For example, if you are only concerned with finding images, you could save time by not analyzing any non-image files. This will allow a system to be processed far faster than if you analyzed every file.
|
Dans certains cas particuliers, vous pouvez connaître les types de fichiers spécifiques qui vous intéressent. Par exemple, si vous êtes uniquement intéressé par la recherche d'images, vous pouvez gagner du temps en n'analysant aucun fichier non image. Cela permettra à un système d'être traité beaucoup plus rapidement que si vous analysiez chaque fichier.
|
||||||
|
|
||||||
\image html triage/fileFilterImage.png
|
\image html triage/fileFilterImage.png
|
||||||
|
|
||||||
File filters allow you to limit which types of files will be processed. The \ref file_filters section of \ref ingest_page page shows how to create a file filter. You can filter on file name/extension, path, or how recently the file was modified. Once saved, your new file filter can be selected when configuring ingest modules.
|
Les filtres de fichiers vous permettent de limiter les types de fichiers qui seront traités. La section \ref file_filters de la page relative aux \ref ingest_page montre comment créer un filtre de fichiers. Vous pouvez filtrer sur le nom/l'extension du fichier, le chemin ou la date à laquelle le fichier a été récemment modifié. Une fois enregistré, votre nouveau filtre de fichiers peut être sélectionné lors de la configuration des modules d'acquisition.
|
||||||
|
|
||||||
\image html triage/fileFilter.png
|
\image html triage/fileFilter.png
|
||||||
|
|
||||||
\subsection triage_profile Ingest Profiles
|
\subsection triage_profile Profils d'acquisition
|
||||||
|
|
||||||
Another way to speed up analysis is to only run some of the ingest modules. For example, if we're only interested in images, there may be no point in running the \ref keyword_search_page or the \ref encryption_page. You can manually select and configure the modules you want to run each time, but since many sessions are similar it may be easier to set up an ingest profile. An ingest profile allows you to store which file filter you want to run, which ingest modules should be enabled, and your configuration for each ingest module.
|
Une autre façon d'accélérer l'analyse consiste à n'exécuter que certains des modules d'acquisition. Par exemple, si nous ne nous intéressons qu'aux images, il peut être inutile d'exécuter le module \ref keyword_search_page ou le module \ref encryption_page. Vous pouvez sélectionner et configurer manuellement et à chaque fois les modules que vous souhaitez exécuter, mais comme de nombreuses sessions sont similaires, il peut être plus facile de configurer un profil d'acquisition. Un profil d'acquisition vous permet de stocker le filtre de fichiers que vous souhaitez exécuter, les modules d'acquisition qui doivent être activés et votre configuration pour chaque module d'acquisition.
|
||||||
|
|
||||||
\image html triage/ingestProfile.png
|
\image html triage/ingestProfile.png
|
||||||
|
|
||||||
Once you have at least one ingest profile configured, a new screen will appear before the normal ingest module configuration panel. If you choose your user-defined profile, that ingest module configuration panel will be skipped entirely and the ingest modules from that profile will be run on the data source.
|
Une fois que vous avez configuré au moins un profil d'acquisition, un nouvel écran apparaîtra avant le panneau de configuration normal des modules d'acquisition. Si vous choisissez votre profil défini par l'utilisateur, le panneau de configuration des modules d'acquisition sera entièrement ignoré et les modules d'acquisition de ce profil seront exécutés sur la source de données.
|
||||||
|
|
||||||
\image html triage/profileSelect.png
|
\image html triage/profileSelect.png
|
||||||
|
|
||||||
See the \ref ingest_profiles section of the \ref ingest_page page for additional information on how to set up and use an ingest profile.
|
Voir la section \ref ingest_profiles de la page \ref ingest_page pour plus d'informations sur la configuration et l'utilisation d'un profil d'acquisition.
|
||||||
|
|
||||||
\subsection triage_no_image Running on Live Systems and Devices
|
\subsection triage_no_image Exécution sur des systèmes et des périphériques en fonctionnement
|
||||||
|
|
||||||
In a triage situation, there is generally not time to make a full image of the system in question. There are a few ways to process live systems and devices with Autopsy:
|
Dans une situation de triage, il n'y a généralement pas le temps de faire une image complète du système en question. Il existe plusieurs façons de traiter des systèmes et des appareils allumés avec Autopsy:
|
||||||
|
|
||||||
<ul>
|
<ul>
|
||||||
<li> Devices such as USB drives can be analyzed as local disks without needing to create an image file. See the \ref ds_local section for more details.
|
<li> Les périphériques tels que les clés USB peuvent être analysés en tant que disques locaux sans avoir besoin de créer un fichier image. Voir la section \ref ds_local pour plus de détails.
|
||||||
<li> A live triage drive can be created that will allow you to run Autopsy from a USB drive on a live system. All case data will be saved to the USB drive with minimal changes to the system being analyzed. See \ref live_triage_page for more details.
|
<li> Un lecteur de triage en direct peut être créé qui vous permettra d'exécuter Autopsy à partir d'un lecteur USB sur un système allumé. Toutes les données du cas seront enregistrées sur la clé USB avec des modifications minimes sur le système analysé. Voir \ref live_triage_page pour plus de détails.
|
||||||
<li> The target computer can be booted from a trusted Linux or Windows USB and Autopsy can be run from it. <a href="https://sumuri.com/software/paladin/">Paladin</a> includes Autopsy in its bootable Linux USB and a Windows FE image can be created as well.
|
<li> L'ordinateur cible peut être démarré à partir d'une clé USB Linux ou Windows de confiance et Autopsy peut être exécutée à partir de celle-ci. <a href="https://sumuri.com/software/paladin/">Paladin</a> inclut Autopsy dans sa clé USB Linux bootable et une image Windows FE peut également être créée.
|
||||||
</ul>
|
</ul>
|
||||||
|
|
||||||
\subsubsection triage_vhd Making a Sparse Image
|
\subsubsection triage_vhd Créer une image sparse
|
||||||
|
|
||||||
With any of the above methods for analyzing live systems and devices there is still the problem that your Autopsy case won't be very useful after you disconnect from the drive. It will refer to a device that no longer exists and, more importantly, you may not have a copy of any files of interest that you observed during the triage.
|
Avec les méthodes énumérées ci-dessus pour analyser les systèmes et les périphériques en direct, un problème persiste: votre cas Autopsy ne sera pas très utile après la déconnexion du lecteur. Il fera référence à un appareil qui n'existe plus et, plus important encore, vous pourriez ne pas avoir de copie des fichiers d'intérêt que vous avez observés lors du triage.
|
||||||
|
|
||||||
To solve this problem you can choose to make a "sparse VHD" as Autopsy is processing the device. This will save a copy of every sector that Autopsy reads, which will include file system structures (such as Master File Tables) and files that passed the ingest filters (such as all pictures).
|
Pour résoudre ce problème, vous pouvez choisir de faire un "sparse VHD" lorsque Autopsie traite l’appareil. Cela enregistrera une copie de chaque secteur lu par Autopsy, qui comprendra les structures du système de fichiers (telles que les Master File Tables) et les fichiers qui ont été analysés par les filtres d'acquisition (telles que toutes les images).
|
||||||
|
|
||||||
VHD is a file format used by Microsoft Virtual Machines that is readable by Windows and other forensic tools. The VHD will grow in size as Autopsy reads more data from the target drive.
|
VHD est un format de fichier utilisé par les machines virtuelles Microsoft qui est lisible par Windows et d'autres outils d'investigation. La taille du disque dur virtuel augmentera au fur et à mesure qu'Autopsy lit les données à partir du lecteur cible.
|
||||||
|
|
||||||
To create a sparse VHD, check the box for "Make a VHD image..." when selecting the disk to analyze.
|
Pour créer un VHD sparse, cochez la case "Make a VHD image..." lors de la sélection du disque à analyser.
|
||||||
|
|
||||||
\image html triage/createVHD.png
|
\image html triage/createVHD.png
|
||||||
|
|
||||||
\section triage_scenarios Scenarios
|
\section triage_scenarios Scénarios
|
||||||
|
|
||||||
\subsection triage_scen1 Scenario: Previewing computer for child exploitation material
|
\subsection triage_scen1 Scénario: Prévisualisation d'un ordinateur pour la recherche de contenu pédo-pornographique
|
||||||
|
|
||||||
In this scenario, you are trying to answer whether child exploitation images exist in a knock and talk type situation where you will have a limited amount of time with the target system.
|
Dans ce scénario, vous essayez de déterminer si des images d'exploitation d'enfants existent dans une situation de perquisition où vous disposerez d'un temps limité avec le système cible.
|
||||||
|
|
||||||
<b>Preparation at the office:</b>
|
<b>Préparation au bureau:</b>
|
||||||
<ul>
|
<ul>
|
||||||
<li> Create a \ref live_triage_page "live triage drive" on your USB drive
|
<li> Créez un \ref live_triage_page "support de triage en direct" sur votre clé USB
|
||||||
<li> Launch Autopsy from that USB drive and create an \ref ingest_profiles "ingest profile" that:
|
<li> Lancez Autopsy à partir de cette clé USB et créez un \ref ingest_profiles "profil d'acquisition" qui:
|
||||||
<ul>
|
<ul>
|
||||||
<li> Uses a \ref file_filters "file filter" that runs on only picture and ZIP extensions
|
<li> Utilise un \ref file_filters "filtre de fichiers" qui ne s'appliquera que sur les extensions d'image et ZIP
|
||||||
<li> Runs only the \ref hash_db_page "Hash Lookup Module", \ref EXIF_parser_page \ref file_type_identification_page, and \ref embedded_file_extractor_page
|
<li> Exécute uniquement les modules \ref hash_db_page, \ref EXIF_parser_page, \ref file_type_identification_page et \ref embedded_file_extractor_page
|
||||||
<li> Uses known child exploitation hash sets, following the instructions in \ref live_triage_hash_db to copy them to the USB drive
|
<li> Utilise les ensembles de hachage connus de fichiers pédo-pornographiques, en suivant les instructions de la section \ref live_triage_hash_db pour les copier sur la clé USB
|
||||||
</ul>
|
</ul>
|
||||||
</ul>
|
</ul>
|
||||||
|
|
||||||
<b>At the house:</b>
|
<b>Sur les lieux de la perquisition:</b>
|
||||||
<ul>
|
<ul>
|
||||||
<li>Start the analysis:
|
<li>Démarrez l'analyse:
|
||||||
<ul>
|
<ul>
|
||||||
<li>Plug the live triage drive you made at the office into their laptop
|
<li>Branchez le lecteur de triage en direct que vous avez créé au bureau sur l'ordinateur du suspect
|
||||||
<li>Launch Autopsy from the .bat file
|
<li>Lancer Autopsy à partir du fichier .bat
|
||||||
<li>\ref cases_page "Create a case" (saving to your USB drive)
|
<li>\ref cases_page "Créer un cas" (enregistrement sur votre clé USB)
|
||||||
<li>Add a \ref ds_local "local drive data source"
|
<li>Ajouter en \ref ds_local "source de données le lecteur local"
|
||||||
<ul>
|
<ul>
|
||||||
<li>"C:"
|
<li>"C:"
|
||||||
<li>Choose to make VHD and keep default location
|
<li>Choisissez de créer un VHD et de conserver l'emplacement par défaut
|
||||||
</ul>
|
</ul>
|
||||||
</ul>
|
</ul>
|
||||||
<li>As the automated analysis continues:
|
<li>Au fur et à mesure que l'analyse automatisée se poursuit:
|
||||||
<ul>
|
<ul>
|
||||||
<li>Choose View->File Types->Images in the \ref tree_viewer_page "tree viewer" and review the thumbnails
|
<li>Choisissez View->File Types->Images dans l'\ref tree_viewer_page "arborescence" et passez en revue les miniatures
|
||||||
<li>Wait for hash set hits
|
<li>Attendez les hits de l'ensemble de hachage
|
||||||
<li>Review EXIF files
|
<li>Examinez les fichiers EXIF
|
||||||
<li>\ref tagging_page "Tag" any notable files found
|
<li>\ref tagging_page "Marquez" tous les fichiers notables trouvés
|
||||||
</ul>
|
</ul>
|
||||||
<li>You can stop the analysis at any time. All data read so far will be in the VHD file.
|
<li>Vous pouvez arrêter l'analyse à tout moment. Toutes les données lues jusqu'à présent seront dans le fichier VHD.
|
||||||
</ul>
|
</ul>
|
||||||
|
|
||||||
*/
|
*/
|
Loading…
x
Reference in New Issue
Block a user