sleuthkit/scalpelأداة لنحت الملفات وفهرستها للتحليل الجنائي الرقمي، تستعيد الملفات من صور الأقراص استنادًا إلى مطابقة أنماط الترويسة/التذييل، والتعبيرات النمطية، وتعدد الخيوط، ومعالجة اختيارية مسرَّعة بوحدة معالجة الرسوميات (GPU).
اعتبارًا من 6/27/2013، تم إصدار Scalpel بموجب رخصة Apache 2.0، والمصدر متاح في مستودع The Sleuth Kit على جيثب.
لا تتم صيانته بشكل نشط. بدأ فريق Autopsy العمل عليه لدمجه بإحكام عبر روابط Java/JNI، لكنهم واجهوا العديد من تسريبات الذاكرة وتُخلي عن هذا الجهد.
لا توجد إصدارات رسمية تُطرح. يمكنك تقديم طلبات سحب (pull requests)، لكنها قد تستغرق وقتًا طويلاً للمراجعة.
Scalpel هو تطبيق لنحت الملفات وفهرستها يعمل على لينكس وويندوز. صدر الإصدار الأول من Scalpel في عام 2005، وكان مبنيًا على Foremost 0.69. كانت هناك عدة إصدارات داخلية منذ الإصدار العام الأخير، 1.60، وذلك بشكل أساسي لدعم أبحاثنا الخاصة. أحدث إصدار عام v2.0، يتضمن عددًا من الميزات الإضافية، بما في ذلك:
o أحجام نحت دنيا (minimum carve sizes).
o تعدد الخيوط (multithreading) لتنفيذ أسرع على معالجات متعددة الأنوية (multicore CPUs).
o إدخال/إخراج غير متزامن (asynchronous I/O) يسمح لعمليات القرص بالتداخل مع مطابقة الأنماط--وهذا يؤدي إلى تحسين كبير في الأداء.
o دعم التعبيرات النمطية (regular expressions) للترويسات/التذييلات.
o مطابقة الترويسات/التذييلات المضمّنة لمعالجة أفضل لأنواع الملفات المهيكلة التي قد تحتوي على ملفات مضمّنة.
o للمستخدمين المتقدمين، دعم للتنفيذ متعدد الخيوط بشكل هائل على وحدات معالجة الرسومات (GPUs). هذه الميزة متاحة فقط على لينكس وتتطلب تثبيت NVIDIA CUDA SDK، وتعديل scalpel.h لتمكين وضع خيوط GPU، والترجمة باستخدام سلسلة أدوات CUDA. يتطلب تنفيذنا أيضًا وحدة معالجة رسومات NVIDIA بقدرة حوسبة >= 1.2، لذا فالبطاقات القديمة القادرة على CUDA لن تعمل غالبًا. تعتبر NVIDIA GTX 260 غير مكلفة نسبيًا وقوية ولديها القدرة الحاسوبية المناسبة. النسخة المعززة بوحدة معالجة الرسومات من Scalpel قادرة على القيام بنحت معاينة بمعدلات تتجاوز عرض النطاق الترددي للقرص لمعظم خوادم الملفات، لذا بالنسبة للمهام الكبيرة، قد يستحق الجهد الإضافي المطلوب استخدام هذه الميزة. لاحظ أن الترويسات والتذييلات المعتمدة على التعبيرات النمطية غير مدعومة حاليًا عند استخدام تسريع GPU! قد نعالج هذا في إصدار مستقبلي.
يقوم Scalpel بعمليات نحت الملفات بناءً على أنماط تصف "أنواعًا" معينة من الملفات أو أجزاء البيانات. قد تستند هذه الأنماط إما إلى سلاسل ثنائية ثابتة أو تعبيرات نمطية. يتم تضمين عدد من الأنماط الافتراضية في ملف التكوين المرفق مع التوزيعة، "scalpel.conf". تشرح التعليقات في ملف التكوين تنسيق أنماط نحت الملفات التي يدعمها Scalpel.
ملاحظة مهمة: ملف التكوين الافتراضي، "scalpel.conf"، يحتوي على جميع أنماط الملفات المدعومة معلّقة كنصوص برمجية (commented out)--يجب عليك تحرير هذا الملف قبل تشغيل Scalpel لتفعيل بعض الأنماط. قاوم الرغبة في مجرد إلغاء تعليق جميع أنماط نحت الملفات؛ فهذا يضيع الوقت وسيولّد عددًا هائلاً من النتائج الإيجابية الخاطئة. بدلاً من ذلك، قم بإلغاء تعليق الأنماط الخاصة بأنواع الملفات التي تحتاجها فقط.
تُوصف خيارات Scalpel في صفحة الدليل (man page) الخاصة بـ Scalpel، "scalpel.1". يمكنك أيضًا تشغيل Scalpel بدون أي وسائط سطر أوامر لرؤية قائمة الخيارات.
ملاحظة: الترجمة (Compilation) ضرورية على منصات يونكس وعلى Mac OS X. بالنسبة لمنصات ويندوز، يتم توفير scalpel.exe مُجمّع مسبقًا. إذا كنت ترغب في إعادة تجميع Scalpel على ويندوز، فستحتاج إلى إعداد mingw (gcc). لن يتم تجميع Scalpel باستخدام مترجمات Visual Studio C. لاحظ أن بيئة التجميع الخاصة بنا لويندوز هي حاليًا 32-بت؛ لم نختبر الإصدار 64-بت من mingw، لكننا سنعالج هذا في المستقبل.
تعليمات الترجمة على المنصات المدعومة:
Linux/Mac OS X:
% ./bootstrap
% ./configure
% make
Windows (mingw): cd src mingw32-make -f Makefile.win
واستمتع. وإذا كنت ترغب في تثبيت الثنائي (binary) وصفحة الدليل في مكان أكثر ديمومة، فما عليك سوى نسخ "scalpel" (أو "scalpel.exe") و"scalpel.1" إلى المواقع المناسبة، على سبيل المثال، على لينكس، "/usr/local/bin" و"/usr/local/man/man1" على التوالي. على ويندوز، ستحتاج أيضًا إلى نسخ مكتبات pthreads ومكتبة tre للتعبيرات النمطية (dlls) في نفس الدليل الذي يوجد به "scalpel.exe".
منصات أخرى مدعومة
نحن لا ندعم حاليًا Scalpel على متغيرات يونكس بخلاف لينكس. جرّب تنفيذ ./configure و make وشاهد ما يحدث، ولكن تأكد من إجراء اختبارات شاملة قبل استخدام Scalpel في بيئات الإنتاج. إذا كنت مهتمًا بدعم إصدار من Scalpel على منصات بديلة، فيرجى الاتصال بنا. إذا كنت مهتمًا بدعم نسخة معززة بوحدة معالجة الرسومات من Scalpel على ويندوز، فنحن مهتمون أيضًا بالسماع منك.
القيود:
نحت ملفات الأجهزة الفيزيائية والمنطقية في ويندوز (مثل \.\physicaldrive0 أو \.\c:) غير مدعوم حاليًا لأنه يتطلب منا إعادة كتابة بعض أجزاء Scalpel لاستخدام دوال إدخال/إخراج ملفات ويندوز بدلاً من استدعاءات يونكس القياسية. قد يكون هذا مدعومًا في إصدار مستقبلي.
ميزات خريطة الكتل (block map) معطلة حاليًا، حيث نقوم بإعادة كتابة هذا النظام الفرعي لتعزيز قابلية التشغيل المتبادل مع The Sleuthkit. ستعود نسخة محسنة من ميزات خريطة الكتل في إصدار لاحق. تمت إزالة خيار سطر الأوامر -s ("skip") وسيتم استبداله بأداة أكثر قوة في الإصدار الرئيسي القادم.
التبعيات (Dependencies):
يستخدم Scalpel مكتبة خيوط POSIX. على Win32، يتم توزيع Scalpel مع Pthreads-win32 - مكتبة خيوط POSIX لـ Win32، والتي تحمل حقوق النشر (C) 1998 John E. Bossom و(C) 1999,2005 من قبل مساهمي Pthreads-win32. هذه المكتبة مرخصة بموجب LGPL.
يستخدم Scalpel لـ Win32 مكتبة التعبيرات النمطية tre ويتم توزيعه مع tre-0.7.5، وهي مرخصة بموجب LGPL.
أطيب التحيات،
--Golden وVico.
