sleuthkit/scalpel
Outil de carving et d'indexation de fichiers pour la criminalistique numérique, qui récupère des fichiers à partir d'images disque en se basant sur la correspondance de motifs d'en-tête et de fin de fichier, les expressions régulières, le multithreading et un traitement optionnel accéléré par GPU.
Depuis le 27/06/2013, Scalpel est publié sous licence Apache 2.0 et le code source est disponible dans le dépôt github The Sleuth Kit.
Il n'est pas activement maintenu. L'équipe Autopsy a commencé à travailler dessus pour l'intégrer étroitement via des liaisons Java/JNI, mais s'est heurtée à plusieurs fuites de mémoire et l'effort a été abandonné.
Aucune version officielle n'est publiée. Vous pouvez soumettre des pull requests, mais leur examen peut prendre du temps.
Scalpel est une application de carving de fichiers et d'indexation qui fonctionne sous Linux et Windows. La première version de Scalpel, publiée en 2005, était basée sur Foremost 0.69. De nombreuses versions internes ont vu le jour depuis la dernière version publique, la 1.60, principalement pour soutenir nos propres recherches. La plus récente version publique, la v2.0, comporte un certain nombre de fonctionnalités supplémentaires, notamment :
o tailles minimales de carving.
o multithreading pour une exécution plus rapide sur les processeurs multicœurs.
o entrées/sorties asynchrones qui permettent aux opérations disque de chevaucher la correspondance de motifs--ce qui se traduit par une amélioration substantielle des performances.
o prise en charge des expressions régulières pour les en-têtes/pieds de fichiers.
o correspondance d'en-têtes/pieds de fichiers intégrés pour un meilleur traitement des types de fichiers structurés pouvant contenir des fichiers intégrés.
o pour les utilisateurs avancés, prise en charge d'une exécution massivement parallèle sur processeurs graphiques (GPU). Cette fonctionnalité n'est disponible que sous Linux et nécessite l'installation du SDK NVIDIA CUDA, la modification de scalpel.h pour activer le mode GPU, et une compilation avec la chaîne d'outils CUDA. Notre implémentation nécessite également un GPU NVIDIA avec une capacité de calcul >= 1.2 ; les cartes plus anciennes compatibles CUDA ne fonctionneront donc probablement pas. La NVIDIA GTX 260 est relativement bon marché, puissante et dispose de la capacité de calcul appropriée. La version optimisée GPU de Scalpel est capable d'effectuer un carving d'aperçu à des débits qui dépassent la bande passante disque de la plupart des serveurs de fichiers ; pour les gros travaux, l'effort supplémentaire requis pour utiliser cette fonctionnalité peut donc en valoir la peine. Notez que les en-têtes et pieds de fichiers basés sur des expressions régulières ne sont PAS pris en charge lorsque l'accélération GPU est utilisée ! Nous pourrions y remédier dans une future version.
Scalpel effectue des opérations de carving de fichiers en se basant sur des motifs qui décrivent des « types » particuliers de fichiers ou de fragments de données. Ces motifs peuvent être basés sur des chaînes binaires fixes ou des expressions régulières. Un certain nombre de motifs par défaut sont inclus dans le fichier de configuration fourni avec la distribution, "scalpel.conf". Les commentaires du fichier de configuration expliquent le format des motifs de carving de fichiers pris en charge par Scalpel.
Remarque importante : le fichier de configuration par défaut, "scalpel.conf", contient tous les motifs de fichiers pris en charge mis en commentaire : vous devez modifier ce fichier avant d'exécuter Scalpel pour activer certains motifs. Résistez à l'envie de simplement décommenter tous les motifs de carving de fichiers ; cela fait perdre du temps et générera un grand nombre de faux positifs. Décommentez plutôt uniquement les motifs des types de fichiers dont vous avez besoin.
Les options de Scalpel sont décrites dans la page de manuel Scalpel, "scalpel.1". Vous pouvez également exécuter Scalpel sans aucun argument en ligne de commande pour afficher la liste des options.
REMARQUE : la compilation est nécessaire sur les plates-formes Unix et sur Mac OS X. Pour les plates-formes Windows, un scalpel.exe précompilé est fourni. Si vous souhaitez recompiler Scalpel sous Windows, vous aurez besoin d'un environnement mingw (gcc). Scalpel ne compile pas avec les compilateurs C de Visual Studio. Notez que notre environnement de compilation pour Windows est actuellement en 32 bits ; nous n'avons pas testé la version 64 bits de mingw, mais nous aborderons ce point à l'avenir.
INSTRUCTIONS DE COMPILATION SUR LES PLATEFORMES PRISES EN CHARGE :
Linux/Mac OS X:
% ./bootstrap
% ./configure
% make
Windows (mingw): cd src mingw32-make -f Makefile.win
et bonne utilisation. Si vous souhaitez installer le binaire et la page de manuel dans un emplacement plus permanent, copiez simplement "scalpel" (ou "scalpel.exe") et "scalpel.1" vers les emplacements appropriés, par exemple sous Linux, "/usr/local/bin" et "/usr/local/man/man1", respectivement. Sous Windows, vous devrez également copier les dll de pthreads et de la bibliothèque d'expressions régulières tre dans le même répertoire que "scalpel.exe".
AUTRES PLATEFORMES PRISES EN CHARGE
Nous ne prenons actuellement pas en charge Scalpel sur des variantes Unix autres que Linux. N'hésitez pas à essayer un ./configure et make pour voir ce qui se passe, mais assurez-vous d'effectuer des tests approfondis avant d'utiliser Scalpel en production. Si vous êtes intéressé par le portage d'une version de Scalpel sur d'autres plates-formes, veuillez nous contacter. Si vous êtes intéressé par le support d'une version de Scalpel optimisée GPU sous Windows, nous serions également ravis de vous entendre.
LIMITATIONS :
Le carving de fichiers de périphériques physiques et logiques Windows (par exemple, \.\physicaldrive0 ou \.\c:) n'est actuellement pas pris en charge, car cela nous obligerait à réécrire certaines parties de Scalpel pour utiliser les fonctions d'E/S de fichiers Windows plutôt que les appels Unix standard. Cela pourrait être pris en charge dans une future version.
Les fonctionnalités de block map (carte de blocs) sont actuellement désactivées, car nous réécrivons ce sous-système pour améliorer l'interopérabilité avec le Sleuthkit. Une version améliorée des fonctionnalités de block map reviendra dans une version ultérieure. L'option de ligne de commande -s ("skip") a été supprimée et sera remplacée par une fonctionnalité plus robuste dans la prochaine version majeure.
DÉPENDANCES :
Scalpel utilise la bibliothèque de threads POSIX. Sur Win32, Scalpel est distribué avec Pthreads-win32 - POSIX Threads Library for Win32, qui est Copyright(C) 1998 John E. Bossom et Copyright(C) 1999,2005 par les contributeurs de Pthreads-win32. Cette bibliothèque est sous licence LGPL.
Scalpel pour Win32 utilise la bibliothèque d'expressions régulières tre et est distribué avec tre-0.7.5, qui est sous licence LGPL.
Bien à vous,
--Golden and Vico.
