Tutorial mendalam Autopsi Sleuth Kit

Forensik digital melibatkan pemulihan dan perolehan semua jenis bukti dari perangkat seperti hard drive, komputer, ponsel yang dapat menyimpan segala jenis data. Otopsi adalah alat yang digunakan oleh militer, penegak hukum, dan berbagai lembaga ketika ada kebutuhan forensik. Otopsi pada dasarnya adalah antarmuka grafis untuk yang sangat terkenal Kit Detektif digunakan untuk mengambil bukti dari drive fisik dan banyak alat lainnya. Sleuth Kit hanya membutuhkan instruksi baris perintah. Di sisi lain, otopsi membuat proses yang sama menjadi mudah dan ramah pengguna. Otopsi menyediakan berbagai fitur yang membantu dalam memperoleh dan menganalisis data penting dan juga menggunakan alat yang berbeda untuk pekerjaan seperti: Analisis Garis Waktu, Memfilter Hash, Mengukir Data, Data Exif, Memperoleh Artefak Web, Pencarian Kata Kunci, dll. Otopsi menggunakan banyak inti dan menjalankan proses latar belakang secara paralel dan memberi tahu Anda segera setelah sesuatu yang Anda minati muncul, menjadikannya alat yang sangat cepat dan andal untuk forensik digital.

Instalasi:

Pertama-tama, jalankan perintah berikut di sistem Linux Anda untuk memperbarui repositori paket Anda:

[dilindungi email]:~$ sudo apt-get update

Sekarang jalankan perintah berikut untuk menginstal paket otopsi:

[dilindungi email]:~$ sudo apt install autopsy

Ini akan menginstal Otopsi Sleuth Kit di sistem Linux Anda.

Untuk sistem berbasis windows, cukup unduh Autopsi dari situs resminya https://www.sleuthkit.org/otopsi/.

Pemakaian:

Ayo jalankan Autopsi dengan mengetik $ otopsi di terminal. Ini akan membawa kita ke layar dengan informasi tentang lokasi loker bukti, waktu mulai, port lokal, dan versi Autopsi yang kita gunakan.

Kami dapat melihat tautan di sini yang dapat membawa kami ke autopsi. Saat menavigasi ke http://localhost:9999/autopsy di browser web apa pun, kami akan disambut oleh halaman beranda, dan sekarang kami dapat mulai menggunakan Autopsi.

Membuat kasus:

Hal pertama yang perlu kita lakukan adalah membuat kasus baru. Kita dapat melakukannya dengan mengklik salah satu dari tiga opsi (Buka kasus, Kasus baru, Bantuan) di halaman utama Autopsi. Setelah di klik maka akan muncul tampilan seperti ini :

Masukkan detail seperti yang disebutkan, i.e., nama kasus, nama penyidik, dan deskripsi kasus untuk mengatur informasi dan bukti yang kami gunakan untuk penyelidikan ini this. Sebagian besar waktu, ada lebih dari satu penyelidik yang melakukan analisis forensik digital; oleh karena itu, ada beberapa bidang yang harus diisi. Setelah selesai, Anda dapat mengklik Kasus baru tombol.

Ini akan membuat kasing dengan informasi yang diberikan dan menunjukkan kepada Anda lokasi di mana direktori kasing dibuat.e./var/lab/otopsi/ dan lokasi file konfigurasi. Sekarang Klik Tambahkan Tuan Rumah, dan akan muncul layar seperti ini :

Di sini kita tidak perlu mengisi semua kolom yang diberikan. Kita hanya perlu mengisi kolom Hostname di mana nama sistem yang sedang diselidiki dimasukkan dan deskripsi singkatnya. Opsi lain bersifat opsional, seperti menentukan jalur di mana hash buruk akan disimpan atau jalur yang akan dituju orang lain atau mengatur zona waktu pilihan kita. Setelah selesai, klik tombol Tambahkan Tuan Rumah tombol untuk melihat detail yang telah Anda tentukan.

Sekarang host ditambahkan, dan kami memiliki lokasi semua direktori penting, kami dapat menambahkan gambar yang akan dianalisis. Klik Menambahkan gambar untuk menambahkan file gambar dan layar seperti ini akan muncul:

Dalam situasi di mana Anda harus mengambil gambar dari partisi atau drive apa pun dari sistem komputer tertentu, Gambar disk dapat diperoleh menggunakan dcfldd utilitas. Untuk mendapatkan gambar, Anda dapat menggunakan perintah berikut:,

[dilindungi email]:~$ dcfldd if= dari
bs=512 hitungan=1 hash=

jika =tujuan drive yang ingin Anda gambarkan

dari =tujuan di mana gambar yang disalin akan disimpan (bisa apa saja, e.g., harddisk, USB dll)

bs = ukuran blok (jumlah byte untuk disalin sekaligus)

hash=tipe hash (e.g md5, sha1, sha2, dll.) (pilihan)

Kami juga dapat menggunakan DD utilitas untuk mengambil gambar drive atau partisi menggunakan

[dilindungi email]:~$ dd if= dari = bs=512
jumlah = 1 hash =

Ada kasus di mana kami memiliki beberapa data berharga di ram untuk penyelidikan forensik, jadi yang harus kita lakukan adalah menangkap Ram Fisik untuk analisis memori. Kami akan melakukannya dengan menggunakan perintah berikut:

[dilindungi email]:~$ dd if=/dev/fmem of= bs=512 hitungan=1
hash=

Kita bisa melihat lebih jauh DD berbagai opsi penting utilitas lainnya untuk menangkap gambar partisi atau ram fisik dengan menggunakan perintah berikut:

[dilindungi email]:~$ dd --help
dd opsi bantuan

bs=BYTES        membaca dan menulis hingga BYTES byte sekaligus (default: 512);
menimpa ibs dan obs
cbs=BYTES       mengonversi BYTES byte sekaligus
conv=CONVS      mengonversi file sesuai dengan daftar simbol yang dipisahkan koma
count=N         salin hanya N blok masukan
ibs=BYTES       membaca hingga BYTES byte sekaligus (default: 512)
if=FILE         membaca dari FILE, bukan stdin
iflag=FLAGS     dibaca sesuai dengan daftar simbol yang dipisahkan koma
obs=BYTES       tulis BYTES byte pada satu waktu (default: 512)
of=FILE        tulis ke FILE bukan stdout
oflag=FLAGS     tulis sesuai dengan daftar simbol yang dipisahkan koma
seek=N          lewati N blok berukuran obs di awal output
skip=N          lewati blok berukuran N ibs di awal input
status=LEVEL    LEVEL informasi yang akan dicetak ke stderr;
'tidak ada' menekan semuanya kecuali pesan kesalahan,
'noxfer' menekan statistik transfer akhir,
'kemajuan' menunjukkan statistik transfer berkala

N dan BYTES dapat diikuti oleh sufiks perkalian berikut:
c=1, w =2, b =512, kB =1000, K =1024, MB =1000*1000, M =1024*1024, xM =M,
GB =1000*1000*1000, G =1024*1024*1024, dan seterusnya untuk T, P, E, Z, Y.

Setiap simbol CONV dapat berupa:

ascii     dari EBCDIC ke ASCII
ebcdic    dari ASCII ke EBCDIC
ibm       dari ASCII ke EBCDIC alternatif
blokir     pad record yang diakhiri baris baru dengan spasi hingga ukuran cbs
buka blokir   ganti spasi di catatan ukuran cbs dengan baris baru
lcase     ubah huruf besar menjadi huruf kecil
ucase     ubah huruf kecil menjadi huruf besar
sparse    mencoba mencari daripada menulis output untuk blok input NUL
swab      menukar setiap pasangan byte input
sinkronkan      pad setiap blok input dengan NUL ke ukuran ibs; saat digunakan
dengan blok atau buka blokir, pad dengan spasi daripada NUL
excl      gagal jika file output sudah ada
nocreat   jangan buat file keluaran
notrunc   jangan potong file keluaran
noerror   lanjutkan setelah membaca kesalahan
fdatasync secara fisik menulis data file keluaran sebelum selesai
fsync     juga, tetapi juga menulis metadata

Setiap simbol BENDERA dapat berupa:

tambahkan    mode penambahan (hanya masuk akal untuk keluaran; conv=notrunc disarankan)
langsung    gunakan I/O langsung untuk data
direktori gagal kecuali direktori
dsync     gunakan I/O yang disinkronkan untuk data
sinkronkan      juga, tetapi juga untuk metadata
fullblock mengumpulkan blok input penuh (hanya iflag)
nonblock gunakan non-blocking I/O
noatime   jangan perbarui waktu akses
nocache   Permintaan untuk menghapus cache.

Kami akan menggunakan gambar bernama 8-jpeg-search-dd kami telah menyimpan di sistem kami our. Gambar ini dibuat untuk kasus uji oleh Brian Carrier untuk digunakan dengan otopsi dan tersedia di internet untuk kasus uji. Sebelum menambahkan gambar, kita harus memeriksa hash md5 dari gambar ini sekarang dan membandingkannya nanti setelah memasukkannya ke dalam loker bukti, dan keduanya harus cocok. Kita dapat menghasilkan jumlah md5 dari gambar kita dengan mengetikkan perintah berikut di terminal kita:

[dilindungi email]:~$ md5sum 8-jpeg-search-dd

Ini akan berhasil. Lokasi penyimpanan file gambar adalah /ubuntu/Desktop/8-jpeg-search-dd.

Yang penting kita harus masuk ke seluruh jalur tempat gambar berada i.r /ubuntu/desktop/8-jpeg-search-dd pada kasus ini. tautan sim dipilih, yang membuat file gambar tidak rentan terhadap masalah yang terkait dengan penyalinan file. Terkadang Anda akan mendapatkan kesalahan "gambar tidak valid", periksa jalur ke file gambar, dan pastikan garis miring "/” disana. Klik Lanjut akan menunjukkan kepada kami detail gambar kami yang berisi Berkas sistem Tipe, Pasang drive, dan md5 nilai file gambar kami. Klik Menambahkan untuk menempatkan file gambar di loker bukti dan klik baik. Akan muncul layar seperti ini:

Di sini kami berhasil mendapatkan gambar dan pergi ke kami Menganalisa bagian untuk menganalisis dan mengambil data berharga dalam arti forensik digital. Sebelum beralih ke bagian "analisis", kita dapat memeriksa detail gambar dengan mengklik opsi detail details.

Ini akan memberi kami detail file gambar seperti sistem file yang digunakan (NTFS dalam hal ini), partisi mount, nama gambar, dan memungkinkan pencarian kata kunci dan pemulihan data lebih cepat dengan mengekstrak string dari seluruh volume dan juga ruang yang tidak terisi. Setelah melalui semua opsi, klik tombol kembali. Sekarang sebelum kita menganalisis file gambar kita, kita harus memeriksa integritas gambar dengan mengklik tombol Integritas Gambar dan menghasilkan hash md5 dari gambar kita.

Yang penting untuk diperhatikan adalah hash ini akan cocok dengan hash yang telah kita buat melalui md5 sum di awal prosedur. Setelah selesai, klik Menutup.

Analisis:

Sekarang kami telah membuat kasus kami, memberinya nama host, menambahkan deskripsi, melakukan pemeriksaan integritas, kami dapat memproses opsi analisis dengan mengklik Menganalisa tombol.

Kita dapat melihat mode Analisis yang berbeda, yaitu.e., Analisis File, Pencarian Kata Kunci, Jenis file, Detail gambar, Unit Data. Pertama-tama, kita klik Detail Gambar untuk mendapatkan informasi file file.

Kami dapat melihat info penting tentang gambar kami seperti jenis sistem file, nama sistem operasi, dan yang paling penting, Nomor seri. Nomor seri Volume penting di pengadilan karena menunjukkan bahwa gambar yang Anda analisis adalah sama atau salinan.

Mari kita lihat Analisis File pilihan.

Kami dapat menemukan banyak direktori dan file yang ada di dalam gambar. Mereka terdaftar dalam urutan default, dan kami dapat menavigasi dalam mode penelusuran file. Di sisi kiri, kita dapat melihat direktori saat ini yang ditentukan, dan di bawahnya, kita dapat melihat area di mana kata kunci tertentu dapat dicari.

Di depan nama file, ada 4 bidang bernama ditulis, diakses, diubah, dibuat. Tertulis berarti tanggal dan waktu file terakhir ditulis, Diakses berarti terakhir kali file diakses (dalam hal ini satu-satunya tanggal yang dapat diandalkan), Berubah berarti terakhir kali data deskriptif file diubah, Dibuat berarti tanggal dan waktu file dibuat, dan MetaData menunjukkan info tentang file selain informasi umum.

Di bagian atas, kita akan melihat opsi Menghasilkan hash md5 dari file. Dan lagi, ini akan memastikan integritas semua file dengan menghasilkan hash md5 dari semua file di direktori saat ini.

Sisi kiri Analisis file tab berisi empat opsi utama, yaitu.e., Pencarian direktori, Pencarian nama file, semua file yang dihapus, perluas direktori. Pencarian direktori memungkinkan pengguna untuk mencari direktori yang diinginkan. Pencarian nama file memungkinkan pencarian file tertentu di direktori yang diberikan,

Semua file yang dihapus berisi file yang dihapus dari gambar yang memiliki format yang sama, mis.e., tertulis, diakses, dibuat, metadata, dan opsi yang diubah dan ditampilkan dengan warna merah seperti yang diberikan di bawah ini:

Kita dapat melihat bahwa file pertama adalah jpeg file, tetapi file kedua memiliki ekstensi “hm”. Mari kita lihat metadata file ini dengan mengklik metadata di paling kanan.

Kami telah menemukan bahwa metadata mengandung a JFIF masuk, artinya Format Pertukaran File JPEG, jadi kami mendapatkan bahwa itu hanya file gambar dengan ekstensi "hmm”. Perluas direktori memperluas semua direktori dan memungkinkan area yang lebih besar untuk bekerja dengan direktori dan file dalam direktori yang diberikan.

Mengurutkan File:

Menganalisis metadata dari semua file tidak mungkin, jadi kami harus mengurutkannya dan menganalisisnya dengan menyortir file yang ada, dihapus, dan tidak terisi dengan menggunakan Jenis File tab.'

Untuk mengurutkan kategori file sehingga kami dapat memeriksa file dengan kategori yang sama dengan mudah. Jenis File memiliki opsi untuk mengurutkan jenis file yang sama ke dalam satu kategori, yaitu.e., Arsip, audio, video, gambar, metadata, file exec, file teks, dokumen, file terkompresi, dll.

Hal penting tentang melihat file yang diurutkan adalah bahwa Autopsy tidak mengizinkan melihat file di sini; sebagai gantinya, kita harus menelusuri ke lokasi di mana ini disimpan dan melihatnya di sana. Untuk mengetahui di mana mereka disimpan, klik Lihat File yang Diurutkan opsi di sisi kiri layar. Lokasi yang akan diberikan kepada kita akan sama dengan yang kita tentukan saat membuat kasing pada langkah pertama i.e./var/lib/otopsi/.

Untuk membuka kembali kasus ini, cukup buka otopsi dan Klik salah satu opsi "Buka kasus.”

Kasus: 2

Mari kita lihat menganalisis gambar lain menggunakan Autopsy pada sistem operasi windows dan mencari tahu informasi penting seperti apa yang dapat kita peroleh dari perangkat penyimpanan. Hal pertama yang perlu kita lakukan adalah membuat kasus baru. Kita dapat melakukannya dengan mengklik salah satu dari tiga opsi (Kasus terbuka, Kasus baru, Kasus terbuka baru-baru ini) di halaman beranda Autopsi. Setelah di klik maka akan muncul tampilan seperti ini :

Berikan nama kasus, dan jalur tempat menyimpan file, lalu masukkan detail seperti yang disebutkan, i.e., nama kasus, nama pemeriksa, dan deskripsi kasus untuk mengatur informasi dan bukti yang kami gunakan untuk penyelidikan ini. Dalam kebanyakan kasus, ada lebih dari satu pemeriksa yang melakukan investigasi.

Sekarang berikan gambar yang ingin Anda periksa. E01(Format saksi ahli), AF(format forensik lanjutan), format mentah (DD), dan gambar forensik memori kompatibel. Kami telah menyimpan gambar sistem kami our. Gambar ini akan digunakan dalam penyelidikan ini. Kami harus menyediakan jalur lengkap ke lokasi gambar.

Ini akan meminta untuk memilih berbagai opsi seperti Analisis Garis Waktu, Penyaringan Hash, Data Ukiran, Data Exif, Memperoleh Artefak Web, Pencarian Kata Kunci, Parser Email, Ekstraksi file yang disematkan, Pemeriksaan aktivitas terbaru, dll. Klik pilih semua untuk pengalaman terbaik dan klik tombol berikutnya.

Setelah semua selesai, klik finish dan tunggu prosesnya selesai.

Analisis:

Ada dua jenis analisis, Analisis Mati, dan Analisis Langsung:

Pemeriksaan mati terjadi ketika kerangka investigasi berkomitmen digunakan untuk melihat informasi dari kerangka berspekulasi. Pada titik ketika ini terjadi, Otopsi Kit Sleuth dapat berjalan di area di mana kemungkinan kerusakan diberantas. Autopsy dan The Sleuth Kit menawarkan bantuan untuk format mentah, Expert Witness, dan AFF.

Investigasi langsung terjadi ketika kerangka asumsi sedang dipecah saat sedang berjalan. Pada kasus ini, Otopsi Kit Sleuth dapat berjalan di area mana pun (apa pun selain ruang terbatas). Ini sering digunakan selama reaksi kejadian saat episode sedang ditegaskan.

Sekarang sebelum kita menganalisis file gambar kita, kita harus memeriksa integritas gambar dengan mengklik tombol Integritas Gambar dan menghasilkan hash md5 dari gambar kita. Yang penting untuk diperhatikan adalah bahwa hash ini akan cocok dengan yang kita miliki untuk gambar di awal prosedur. Hash gambar penting karena memberi tahu apakah gambar yang diberikan telah dirusak atau tidak.

Sementara itu, Autopsi telah menyelesaikan prosedurnya, dan kami memiliki semua informasi yang kami butuhkan.

Pertama-tama, kita akan mulai dengan informasi dasar seperti sistem operasi yang digunakan, terakhir kali pengguna login, dan orang terakhir yang mengakses komputer saat terjadi kecelakaan. Untuk ini, kita akan pergi ke Hasil > Konten yang Diekstrak > Informasi Sistem Operasi di sisi kiri jendela.

Untuk melihat jumlah total akun dan semua akun yang terkait, kami pergi ke Hasil > Konten yang Diekstrak > Akun Pengguna Sistem Operasi. Kita akan melihat layar seperti ini:

Info seperti orang terakhir yang mengakses sistem, dan di depan nama pengguna, ada beberapa bidang bernama diakses, diubah, dibuat. Diakses berarti terakhir kali akun diakses (dalam hal ini, satu-satunya tanggal yang dapat diandalkan) dan cdimakan berarti tanggal dan waktu akun dibuat. Kita dapat melihat bahwa pengguna terakhir yang mengakses sistem bernama Bapak. Jahat.

Ayo pergi ke File program folder aktif C drive yang terletak di sisi kiri layar untuk menemukan alamat fisik dan internet sistem komputer computer.

Kita bisa melihat AKU P (Internet Protocol) alamat dan MAC alamat sistem komputer yang terdaftar.

Mari pergi ke Hasil > Konten yang Diekstrak > Program yang Diinstal, bisa kita lihat di sini adalah perangkat lunak berikut yang digunakan dalam melakukan tugas jahat yang terkait dengan serangan itu.

Cain & abel: Alat sniffing paket yang kuat dan alat cracking kata sandi yang digunakan untuk sniffing paket.
Anonymizer: Alat yang digunakan untuk menyembunyikan trek dan aktivitas yang dilakukan pengguna jahat.
Ethereal: Alat yang digunakan untuk memantau lalu lintas jaringan dan menangkap paket di jaringan.
Cute FTP: Perangkat lunak FTP.
NetStumbler: Alat yang digunakan untuk menemukan titik akses nirkabel
WinPcap: Alat terkenal yang digunakan untuk akses jaringan lapisan tautan di sistem operasi windows. Ini menyediakan akses tingkat rendah ke jaringan.

Dalam /Windows/system32 lokasi, kami dapat menemukan alamat email yang digunakan pengguna. Kita bisa melihat MSN email, Hotmail, alamat email Outlook. Kita juga bisa melihat SMTP alamat email di sini.

Ayo pergi ke lokasi dimana Autopsi menyimpan kemungkinan file berbahaya dari sistem. Navigasi ke Hasil > Item Menarik, dan kita bisa melihat hadiah bom zip bernama unix_hack.tgz.

Saat kami menavigasi ke /pendaur ulang lokasi, kami menemukan 4 file yang dapat dieksekusi yang dihapus bernama DC1.exe, DC2.exe, DC3.exe, dan DC4.exe.

Ethereal, yang terkenal mengendus alat yang dapat digunakan untuk memantau dan mencegat semua jenis lalu lintas jaringan kabel dan nirkabel juga ditemukan. Kami memasang kembali paket yang diambil dan direktori penyimpanannya adalah /Dokumen, nama file dalam folder ini adalah Penangkapan.

Kita dapat melihat di file ini data seperti yang digunakan korban Browser dan jenis komputer nirkabel dan menemukan itu adalah Internet Explorer pada Windows CE. Situs web yang diakses korban adalah YAHOO dan MSN .com, dan ini juga ditemukan di file Interception.

Saat menemukan isi dari Hasil > Konten yang Diekstrak > Riwayat Web,

Kita dapat melihat dengan menjelajahi metadata file yang diberikan, riwayat pengguna, situs web yang dia kunjungi, dan alamat email yang dia berikan untuk masuk.

Memulihkan File yang Dihapus:

Di bagian awal artikel, kami telah menemukan cara mengekstrak informasi penting dari gambar perangkat apa pun yang dapat menyimpan data seperti ponsel, hard drive, sistem komputer, dll. Di antara bakat paling dasar yang diperlukan untuk agen forensik, memulihkan catatan yang terhapus mungkin adalah yang paling penting. Seperti yang mungkin Anda ketahui, dokumen yang "dihapus" tetap berada di perangkat penyimpanan kecuali jika ditimpa. Menghapus catatan ini pada dasarnya membuat perangkat dapat diakses untuk ditimpa. Ini berarti jika tersangka menghapus catatan bukti sampai mereka ditimpa oleh kerangka dokumen, mereka tetap dapat diakses oleh kami untuk mengembalikannya.

Sekarang kita akan melihat bagaimana memulihkan file atau catatan yang dihapus menggunakan Otopsi Kit Sleuth. Ikuti semua langkah di atas, dan ketika gambar diimpor, kita akan melihat layar seperti ini:

Di sisi kiri jendela, jika kita memperluas lebih jauh Jenis File pilihan, kita akan melihat banyak kategori bernama Arsip, audio, video, gambar, metadata, file exec, file teks, dokumen (html, pdf, kata, .ppx, dll.), file terkompresi. Jika kita mengklik gambar-gambar, itu akan menampilkan semua gambar yang dipulihkan.

Sedikit lebih jauh di bawah, dalam subkategori Jenis File, kita akan melihat nama opsi File yang Dihapus. Saat mengklik ini, kita akan melihat beberapa opsi lain dalam bentuk tab berlabel untuk analisis di jendela kanan bawah. Tab diberi nama Hex, Hasil, Teks Terindeks, String, dan Metadata. Di tab Metadata, kita akan melihat empat nama ditulis, diakses, diubah, dibuat. Tertulis berarti tanggal dan waktu file terakhir ditulis, Diakses berarti terakhir kali file diakses (dalam hal ini satu-satunya tanggal yang dapat diandalkan), Berubah berarti terakhir kali data deskriptif file diubah, Dibuat berarti tanggal dan waktu file dibuat. Sekarang untuk memulihkan file yang dihapus yang kita inginkan, klik pada file yang dihapus dan pilih Ekspor. Ini akan menanyakan lokasi di mana file akan disimpan, pilih lokasi, dan klik baik. Tersangka akan sering berusaha menutupi jejaknya dengan menghapus berbagai file penting. Kami tahu sebagai orang forensik bahwa sampai dokumen-dokumen itu ditimpa oleh sistem file, mereka dapat diperoleh kembali.

Kesimpulan:

Kami telah melihat prosedur untuk mengekstrak informasi yang berguna dari gambar target kami menggunakan Otopsi kit Sleuth alih-alih alat individu. Otopsi adalah pilihan utama bagi penyelidik forensik mana pun dan karena kecepatan dan keandalannya. Otopsi menggunakan beberapa prosesor inti yang menjalankan proses latar belakang secara paralel, yang meningkatkan kecepatannya dan memberi kami hasil dalam jumlah waktu yang lebih sedikit dan menampilkan kata kunci yang dicari segera setelah ditemukan di layar. Di era di mana alat forensik merupakan kebutuhan, Autopsi menyediakan fitur inti yang sama tanpa biaya seperti alat forensik berbayar lainnya.

Otopsi mendahului reputasi beberapa alat berbayar serta menyediakan beberapa fitur tambahan seperti analisis registri dan analisis artefak web, yang tidak dimiliki alat lain. Otopsi dikenal karena penggunaan alamnya yang intuitif. Klik kanan cepat membuka dokumen penting. Itu berarti hampir tidak ada waktu untuk mengetahui apakah istilah pencarian eksplisit ada di gambar, telepon, atau komputer kita yang sedang dilihat. Pengguna juga dapat mundur ketika pencarian mendalam berubah menjadi jalan buntu, menggunakan tangkapan riwayat bolak-balik untuk membantu mengikuti caranya. Video juga dapat dilihat tanpa aplikasi luar, mempercepat penggunaan.

Perspektif thumbnail, pengaturan jenis dokumen dan catatan menyaring file yang bagus dan menandai yang buruk, menggunakan pemisahan set hash khusus hanyalah sebagian dari sorotan berbeda yang dapat ditemukan di Otopsi Kit Sleuth versi 3 menawarkan peningkatan signifikan dari Versi 2.Basis Technology umumnya mensubsidi pekerjaan pada Versi 3, di mana Brian Carrier, yang menyampaikan sebagian besar pekerjaan pada rendisi sebelumnya Autopsi, adalah CTO dan kepala kriminologi tingkat lanjut. Dia juga dipandang sebagai master Linux dan telah menyusun buku tentang penambangan informasi terukur, dan Basis Technology menciptakan Kit Detektif. Oleh karena itu, klien kemungkinan besar dapat merasa benar-benar yakin bahwa mereka mendapatkan barang yang layak, barang yang tidak akan hilang dalam waktu dekat, dan barang yang mungkin akan selalu ada di masa depan.