Aperçu

Le module "Interesting Files Identifier" vous permet de marquer automatiquement les fichiers et répertoires qui correspondent à un ensemble de règles. Cela peut être utile si vous devez toujours vérifier si des fichiers avec un nom ou un chemin donné se trouvent dans une source de données, ou si vous êtes toujours intéressé par des fichiers ayant un certain type.

Ce module vous permet de créer des ensembles de règles qui seront exécutées sur chaque fichiers au fur et à mesure de leur traitement. Si un fichier correspond à l'une des règles, vous verrez une entrée concernant celui-ci dans l'Arborescence. Vous pouvez partager vos règles avec d'autres utilisateurs et importer des ensembles créés par d'autres dans votre copie d'Autopsy.

Terminologie

Le terme "Rule" correspond à un ensemble de conditions qui doivent être vraies pour un fichier afin qu'il corresponde à la règle. Toutes les conditions de la règle doivent être vraies. Par exemple, si une règle comporte des conditions "File Size > 1 MB" ("Taille du fichier > 1 Mo") et "File Extension = .txt" ("Extension du fichier = .txt"), seuls les fichiers qui correspondent aux deux conditions seront considérés comme une correspondance.
Le terme "Rule Set" correspond à un ensemble de règles. Si un fichier correspond à une règle de l'ensemble de règles, il sera marqué comme étant une correspondance pour cet ensemble de règles. Les ensembles de règles peuvent être activés et désactivés au moment de l'acquisition.

Configuration

Pour créer et modifier vos ensembles de règles, allez dans "Tools", "Options" puis sélectionnez l'onglet "Interesting Files". La zone sur le côté gauche vous montrera une liste de tous les ensembles de règles actuellement disponibles. Cela inclura les ensembles de règles officiels inclus avec Autopsy ainsi que tous les ensembles de règles que vous créez. La sélection d'un ensemble de règles affichera sa description et des informations sur chacune de ses règles sur le côté droit du panneau.

Les boutons situés en bas à gauche du panneau contrôlent les ensembles de règles.

New Set - Vous permet de créer un nouvel ensemble de règles (les règles seront ajoutées ultérieurement). Vous verrez une nouvelle fenêtre demandant le nom du nouvel ensemble de règles, une description facultative et si les fichiers connus doivent être ignorés (c'est-à-dire, si un fichier est dans le NSRL, il n'apparaîtra pas dans la liste des correspondances même s'il satisfait aux conditions de l'une des règles de l'ensemble).
Edit Set - Ouvre la même fenêtre que "New Set" et vous permet de modifier l'un des champs.
Delete Set - Supprime l'ensemble de règles sélectionné
Copy Set - Crée une copie de l'ensemble de règles sélectionné. Cela fera apparaître la même fenêtre que "New Set". Vous devez modifier le nom de l'ensemble de règles pour enregistrer la copie.
Import Set - Importe un ensemble de règles précédemment exporté. Une fois importé, vous n'aurez pas besoin de la copie originale.
Export Set - Exporte l'ensemble de règles sélectionné dans un format qui peut être partagé avec d'autres utilisateurs d'Autopsy.

Notez que les ensembles de règles prédéfinis ne peuvent pas être supprimés ou modifiés. Si vous pensez à des ajouts qui seraient utiles pour la communauté, consultez la page Mise à jour des ensembles officiels de fichiers intéressants pour obtenir les instructions pour soumettre des mises à jour.

La sélection d'un ensemble de règles affichera sa description, s'il ignore les fichiers connus et les règles contenues dans l'ensemble. La sélection d'une règle affichera les conditions de cette règle dans la section "Rule Details".

Les boutons sous la liste des règles vous permettent de créer de nouvelles règles et de modifier ou supprimer des règles existantes. Sélectionner "New Rule" fera apparaître une nouvelle fenêtre pour créer une règle.

La ligne du haut vous permet de choisir si vous voulez faire correspondre uniquement des fichiers ("Files"), uniquement des répertoires ("Directories") ou les deux ("All"). Si vous sélectionnez des répertoires ou les deux, certains types de conditions ne seront pas disponibles car ils ne s'appliquent qu'aux fichiers.

Chaque règle doit avoir au moins une condition. Pour créer des conditions, cochez la case à gauche de la condition que vous souhaitez activer. Ce qui suit est une description de chaque condition, avec quelques exemples complets.

Name - Entrez soit le nom complet du fichier ("Full Name") soit une ou plusieurs extensions ("Extension Only"), et sélectionnez s'il s'agit d'une correspondance exacte ou d'une sous-chaîne de caractères/expression régulière ("Substring/Regex"). Si la correspondance "Substring/Regex" est activée, elle ajoutera automatiquement des caractères génériques au début et à la fin du texte. Si vous ne faites correspondre que des répertoires, cela correspondra au nom du répertoire. Si vous utilisez une liste d'extensions séparées par des virgules, assurez-vous que la case à cocher "Substring/Regex" est désactivée - tout le contenu sera interprété comme une expression régulière lorsque la case est cochée. Le tableau suivant montre quelques exemples d'utilisation des différentes combinaisons.

Type	Substring/Regex	Texte	Description	Exemple de correspondance
Full Name	faux	test.txt	Correspondra aux fichiers nommés "test.txt"	text.txt
Full Name	vrai	bomb	Associera les fichiers avec "bomb" à n'importe quel endroit de leur nom	Pipe_bomb.png
Full Name	vrai	virus.*\.exe	Correspondra aux fichiers avec "virus" suivi de ".exe" à n'importe quel endroit de leur nom	bad_virus.exe
Extension Only	faux	zip	Correspondra aux fichiers .zip	myArchive.zip
Extension Only	faux	zip,rar,7z	Correspondra aux fichiers .zip, .rar, et .7z files	anotherArchive.rar
Extension Only	vrai	jp	Correspondra aux fichiers .jpg, .jpeg, et tous les autres ayant "jp" dans l'extension	myImage.jpg

Path Substring - Entrez un nom de dossier qui doit faire partie du chemin du fichier pour qu'il corresponde. Si vous souhaitez uniquement spécifier un mot apparaîssant quelque part dans le chemin, utilisez l'option regex.

Regex	Texte	Description	Exemple de correspondance
faux	Documents	Correspond à n'importe quel fichier qui a un dossier nommé "Documents" dans son chemin	/folder1/Documents/fileA.doc
vrai	bomb	Correspond à n'importe quel fichier qui a "bomb" dans son chemin	/folder1/bomb making/file2.doc
vrai	Users/.*/Downloads	Correspond à n'importe quel fichier qui a "Users" et "Downloads" dans son chemin	C:/Users/user1/Downloads/myFile.txt

MIME Type - Utilisez la liste déroulante pour sélectionner un type MIME. Un seul type MIME peut être sélectionné.
File Size - Indiquez si vous souhaitez faire correspondre des fichiers de taille égale, inférieure ou supérieure à une taille donnée.
Modified Within - Sélectionnez la date à laquelle un fichier doit avoir été modifié pour correspondre à la règle.

Enfin, vous pouvez éventuellement saisir un nom pour la règle. Cela sera affiché dans l'interface utilisateur pour chaque correspondance.

Exemples

Voici quelques exemples de règles en cours de création.

C'est une règle qui correspond à tout fichier avec "bomb" dans le nom qui a également un type MIME "image/png".

Il s'agit d'une règle qui correspond aux dossiers nommés "Private".

Cette règle recherche les archives dans le répertoire de téléchargement de l'utilisateur. Elle nécessite "Users" et "Downloads" dans le chemin du fichier, ainsi qu'une extension .zip, .rar ou .7z.

Il s'agit d'une règle qui correspond aux fichiers d'une taille d'au moins 50 Mo qui ont été modifiés la semaine dernière.

Exécution du module

Lors du paramétrage, vous pouvez sélectionner les ensembles de règles que vous souhaitez exécuter sur votre source de données.

Affichage des résultats

Les fichiers qui correspondent à l'une des règles des ensembles de règles activés seront affichés dans la section Results de l'Arborescence sous "Interesting Items", puis sous le nom de l'ensemble de règles correspondant. Notez que d'autres modules en plus de "Interesting Files Identifier" placent leurs résultats dans cette section de l'arborescence, il peut donc y avoir plus d'éléments que ceux qui correspondent à vos ensembles de règles. Sélectionner le nœud "Interesting Files" sous l'un de vos ensembles de règles affichera tous les fichiers correspondants dans la Visionneuse de résultats.

Vous pouvez voir quelle règle correspond dans la colonne "Category". Vous pouvez exporter tout ou partie des fichiers pour une analyse plus approfondie. Pour ce faire, utilisez d'abord la méthode standard de sélection de fichier sous Windows afin de mettre en évidence les fichiers que vous souhaitez exporter via la Visionneuse de résultats :

Maintenez la touche Ctrl enfoncée et cliquez sur chaque fichier que vous souhaitez exporter
Maintenez la touche Maj enfoncée pour sélectionner une plage de fichiers
Cliquez sur n'importe quel fichier dans la visionneuse de résultats, puis appuyez sur Ctrl+A pour sélectionner tous les fichiers

Une fois que vous avez sélectionné les fichiers souhaités, faites un clic-droit et sélectionnez "Extract Files" pour en enregistrer une copie.