Autopsy ist eine freie, quelloffene Plattform für die Digitale Forensik, die als grafische Oberfläche über den Kommandozeilen-Werkzeugen von The Sleuth Kit arbeitet. Entwickelt wird sie von Brian Carrier und dem Sleuth-Kit-Labs-Team; die Software läuft unter Windows, Linux und macOS.
Was Autopsy auszeichnet
Autopsy bringt Fallverwaltung und Automatisierung in die Datenträger-Analyse: Ein Ermittler legt einen Fall mit einem Abbild an, und sogenannte Ingest-Module laufen automatisch über die Daten. Dazu gehören das Erkennen von Dateitypen und Hash-Abgleiche gegen bekannte Listen (zum Beispiel gutartige Dateien aus dem NIST-NSRL-Katalog), die Extraktion von Web-Artefakten aus Browser-Verläufen und Cookies, E-Mail- und Chat-Analyse sowie die Wiederherstellung gelöschter Dateien. Eine Volltext- und Schlüsselwortsuche durchsucht auch nicht zugeordnete Speicherbereiche, und die Timeline-Ansicht ordnet Dateisystem-Aktivitäten zeitlich ein.
Arbeitsweise
Untersucht werden Abbilder gängiger Dateisysteme wie NTFS, FAT, ext4 oder APFS. Die Plattform unterstützt die gängigen Image-Formate (roh, E01) und hält Ergebnisse in einer Fall-Datenbank vor, sodass auch größere Untersuchungen strukturiert bleiben. Neuere Autopsy-Versionen laufen als zentraler Dienst mit Web-Oberfläche und erlauben Teamarbeit an einem Fall. Für die reine Speicheranalyse ist Autopsy nicht zuständig — dort kommt Volatility zum Einsatz.
Einordnung
Autopsy eignet sich besonders für die erste Sichtung und strukturierte Auswertung von Datenträgern in Incident-Response- und Ermittlungsfällen. Es ergänzt EDR-Telemetrie um die Perspektive des Abbilds und liefert mit seiner Schlüsselwortsuche und Timeline-Funktion die Grundlage für eine spätere YARA-Suche oder Threat-Hunting-Maßnahmen.
Verwandte Grundlagen: The Sleuth Kit, Volatility Framework, Memory-Forensik.