The Sleuth Kit (TSK) ist eine Sammlung quelloffener Kommandozeilen-Werkzeuge und eine Programmbibliothek (libtsk) zur Untersuchung von Datenträger- und Dateisystem-Abbildern. Entwickelt von Brian Carrier aus dem früheren The Coroner’s Toolkit (TCT) heraus, gilt TSK als Standard-Bausatz der unteren Forensik-Ebenen und bildet das Fundament der grafischen Plattform Autopsy.
Die Werkzeuge
Die über zwanzig Einzelprogramme folgen den Schichten eines Datenträgers: mmls listet Partitionen und Volume-Systeme, fsstat zeigt Dateisystem-Metadaten, fls listet Dateien inklusive gelöschter Einträge, icat extrahiert den Inhalt einer Datei über ihre Inode-Nummer, ils und istat arbeiten auf Inode-Ebene und blkls/blkcat lesen rohe Datenblöcke. Mit tsk_recover lassen sich gelöschte Dateien automatisiert wiederherstellen, solange ihre Blöcke nicht überschrieben wurden. Unterstützt werden NTFS, FAT, ext2/3/4, HFS+, APFS, UFS, XFS und weitere Dateisysteme.
Timeline und Hash-Verwaltung
Ein besonderer Wert von TSK liegt in der Zeitachsen-Analyse: Die Werkzeuge erzeugen eine Body-Datei aus MAC-Zeiten (Modified, Accessed, Changed) von Dateien, die das Hilfsprogramm mactime in eine lesbare Timeline umwandelt — so lassen sich Aktivitäten um einen Vorfallszeitpunkt rekonstruieren. hfind durchsucht Hash-Datenbanken, um bekannte Dateien (gutartig oder schädlich) schnell zu identifizieren.
Einordnung
TSK analysiert Datenträger, nicht den Arbeitsspeicher: Für RAM-Abbilder ist Volatility zuständig. In der Digitalen Forensik bilden TSK und Autopsy die typische Werkzeugkette für Platten-Images, ergänzt um YARA zur Mustererkennung und um die Telemetrie eines EDR-Systems.
Verwandte Grundlagen: Autopsy, Volatility Framework, Memory-Forensik.