scalpel

2013年6月27日現在、ScalpelはApache 2.0ライセンスの下でリリースされ、 ソースコードはThe Sleuth KitのGitHubリポジトリで入手できます。

現在、活発にメンテナンスされていません。Autopsyチームは、 Java/JNIバインディングを介して緊密に統合する作業を開始しましたが、 いくつかのメモリリークに遭遇し、その取り組みは放棄されました。

公式リリースは行われていません。プルリクエストを送信することはできますが、 レビューには時間がかかる場合があります。

---

Scalpelは、LinuxとWindowsで動作するファイルカービングおよびインデックス作成アプリケーションです。 2005年にリリースされた最初のバージョンは、Foremost 0.69に基づいていました。 前回のパブリックリリースである1.60以降、主に私たち自身の研究を支援するために、 多くの内部リリースが行われてきました。 最新のパブリックリリースであるv2.0には、以下のような多くの追加機能が含まれています。

o 最小カーブサイズ。

o マルチコアCPUでのより高速な実行のためのマルチスレッド。

o ディスク操作をパターンマッチングと重複させる非同期I/O。これにより、大幅なパフォーマンス向上が実現します。

o ヘッダー/フッターの正規表現サポート。

o 埋め込みファイルを含む可能性のある構造化ファイルタイプをより良く処理するための、埋め込みヘッダー/フッターマッチング。

o 上級ユーザー向けに、グラフィックス処理ユニット（GPU）での大規模スレッド実行をサポート。 この機能はLinuxでのみ利用可能で、NVIDIA CUDA SDKのインストール、GPUスレッドモードを有効にするための scalpel.hの変更、およびCUDAツールチェーンによるコンパイルが必要です。また、この実装では コンピュートケイパビリティ >= 1.2のNVIDIA GPUが必要なため、CUDA対応の古いカードではおそらく動作しません。 NVIDIA GTX 260は比較的安価で高性能であり、適切なコンピュートケイパビリティを備えています。 GPU拡張版のScalpelは、ほとんどのファイルサーバーのディスク帯域幅を超える速度でプレビューカービングを 実行できるため、大規模なジョブでは、この機能を使用するための追加の労力をかける価値があるかもしれません。 GPUアクセラレーション使用時には、正規表現ベースのヘッダー/フッターは現在サポートされていないことに注意してください！ これは将来のリリースで対応するかもしれません。

Scalpelは、特定のファイルまたはデータ断片の"タイプ"を記述するパターンに基づいて ファイルカービング操作を実行します。これらのパターンは、固定バイナリ文字列または正規表現のいずれかに基づくことができます。 配布物に含まれる設定ファイル"scalpel.conf"には、多数のデフォルトパターンが含まれています。 設定ファイル内のコメントは、Scalpelがサポートするファイルカービングパターンの形式を説明しています。

重要な注意：デフォルトの設定ファイル"scalpel.conf"では、サポートされているすべてのファイルパターンが コメントアウトされています。Scalpelを実行する前に、このファイルを編集していくつかのパターンを有効にする必要があります。 すべてのファイルカービングパターンを単純にコメント解除したいという衝動を抑えてください。 それは時間を浪費し、大量の誤検知を生成します。代わりに、必要なファイルタイプのパターンだけをコメント解除してください。

Scalpelのオプションは、Scalpelのマニュアルページ"scalpel.1"に記載されています。 コマンドライン引数なしでScalpelを実行して、オプションの一覧を表示することもできます。

注：UnixプラットフォームおよびMac OS Xではコンパイルが必要です。Windowsプラットフォームには、 プリコンパイル済みのscalpel.exeが提供されています。WindowsでScalpelを再コンパイルする場合は、 mingw（gcc）環境が必要です。ScalpelはVisual Studio Cコンパイラではコンパイルできません。 現在、Windows向けのコンパイル環境は32ビットです。64ビット版のmingwではテストしていませんが、 将来対応する予定です。

サポートされているプラットフォームでのコンパイル手順：

Linux/Mac OS X:
% ./bootstrap % ./configure % make

Windows (mingw): cd src mingw32-make -f Makefile.win

そしてお楽しみください。バイナリとマニュアルページをより恒久的な場所にインストールしたい場合は、 "scalpel"（または"scalpel.exe"）と"scalpel.1"を適切な場所にコピーするだけです。 たとえば、Linuxではそれぞれ"/usr/local/bin"と"/usr/local/man/man1"にコピーします。 Windowsでは、pthreadsとtre正規表現ライブラリのDLLも"scalpel.exe"と同じディレクトリにコピーする必要があります。

その他のサポート対象プラットフォーム

現在、Linux以外のUnix系プラットフォームではScalpelをサポートしていません。 ./configure と make を試して何が起こるか見てみてください。ただし、本番環境でScalpelを使用する前に 必ず徹底的なテストを行ってください。別のプラットフォームでScalpelのバージョンをサポートすることに 興味がある場合は、お問い合わせください。WindowsでGPU拡張版のScalpelをサポートすることに興味がある場合も、 ぜひご連絡ください。

制限事項：

Windowsの物理デバイスファイルおよび論理デバイスファイル（例：\.\physicaldrive0 や \.\c:）のカービングは、 現在サポートされていません。これは、標準のUnixコールではなくWindowsファイルI/O関数を使用するように Scalpelの一部を書き換える必要があるためです。これは将来のリリースでサポートされる可能性があります。

ブロックマップ機能は現在無効になっています。Sleuthkitとの相互運用性を高めるために このサブシステムを書き換えているためです。ブロックマップ機能の改良版は、次のリリースで復活する予定です。 -sコマンドラインオプション（"skip"）は削除され、次のメジャーリリースでより堅牢な機能に置き換えられる予定です。

依存関係：

ScalpelはPOSIXスレッドライブラリを使用します。Win32では、Scalpelは Pthreads-win32 - POSIX Threads Library for Win32とともに配布されており、 これはCopyright(C) 1998 John E. BossomおよびCopyright(C) 1999,2005 by Pthreads-win32 contributorsによるものです。 このライブラリはLGPLの下でライセンスされています。

Win32用のScalpelはtre正規表現ライブラリを使用し、LGPLの下でライセンスされているtre-0.7.5とともに配布されています。

それでは、

--Golden and Vico.