scalpel

A partir de 27/06/2013, o Scalpel foi lançado sob a Licença Apache 2.0 e o código-fonte está disponível no repositório do The Sleuth Kit no GitHub.

Ele não está sendo mantido ativamente. A equipe do Autopsy começou a trabalhar nele para integrá-lo diretamente via bindings Java/JNI, mas encontrou vários vazamentos de memória e o esforço foi abandonado.

Nenhum lançamento oficial está sendo feito. Você pode enviar pull requests, mas eles podem demorar um pouco para serem revisados.

---

O Scalpel é um aplicativo de file carving e indexação que roda em Linux e Windows. A primeira versão do Scalpel, lançada em 2005, foi baseada no Foremost 0.69. Houve uma série de lançamentos internos desde o último lançamento público, o 1.60, principalmente para apoiar nossa própria pesquisa. O mais novo lançamento público, v2.0, tem uma série de recursos adicionais, incluindo:

o tamanhos mínimos de carving.

o multithreading para execução mais rápida em CPUs multicore.

o E/S assíncrona que permite que as operações de disco se sobreponham à correspondência de padrões--isso resulta em uma melhoria substancial de desempenho.

o suporte a expressões regulares para cabeçalhos/rodapés.

o correspondência de cabeçalhos/rodapés embutidos para melhor processamento de tipos de arquivo estruturados que podem conter arquivos embutidos.

o para usuários avançados, suporte à execução com muitas threads em Unidades de Processamento Gráfico (GPUs). Esse recurso está disponível apenas em Linux e requer a instalação do NVIDIA CUDA SDK, a modificação do scalpel.h para ativar o modo de threading por GPU e a compilação com o toolchain CUDA. Nossa implementação também exige uma GPU NVIDIA com capacidade de computação >= 1.2, portanto placas mais antigas com capacidade CUDA provavelmente não funcionarão. A NVIDIA GTX 260 é relativamente barata e potente e tem a capacidade de computação adequada. A versão aprimorada por GPU do Scalpel é capaz de fazer carving de pré-visualização a taxas que excedem a largura de banda de disco da maioria dos servidores de arquivos, portanto, para trabalhos grandes, pode valer a pena o esforço extra necessário para usar esse recurso. Observe que cabeçalhos e rodapés baseados em expressões regulares NÃO são suportados atualmente quando a aceleração por GPU está em uso! Poderemos resolver isso em uma futura versão.

O Scalpel realiza operações de file carving com base em padrões que descrevem "tipos" específicos de arquivos ou fragmentos de dados. Esses padrões podem ser baseados em strings binárias fixas ou em expressões regulares. Vários padrões predefinidos estão incluídos no arquivo de configuração que acompanha a distribuição, "scalpel.conf". Os comentários no arquivo de configuração explicam o formato dos padrões de file carving suportados pelo Scalpel.

Nota importante: o arquivo de configuração padrão, "scalpel.conf", está com todos os padrões de arquivo suportados comentados--você deve editar este arquivo antes de executar o Scalpel para ativar alguns padrões. Resista à vontade de simplesmente descomentar todos os padrões de file carving; isso desperdiça tempo e gerará um enorme número de falsos positivos. Em vez disso, descomente apenas os padrões para os tipos de arquivo de que você precisa.

As opções do Scalpel são descritas na página de manual do Scalpel, "scalpel.1". Você também pode executar o Scalpel sem nenhum argumento de linha de comando para ver uma lista de opções.

NOTA: A compilação é necessária em plataformas Unix e no Mac OS X. Para plataformas Windows, um scalpel.exe pré-compilado é fornecido. Se você desejar recompilar o Scalpel no Windows, precisará de uma configuração mingw (gcc). O Scalpel não compilará usando os compiladores C do Visual Studio. Observe que nosso ambiente de compilação para Windows é atualmente de 32 bits; nós não testamos na versão de 64 bits do mingw, mas resolveremos isso no futuro.

INSTRUÇÕES DE COMPILAÇÃO EM PLATAFORMAS SUPORTADAS:

Linux/Mac OS X:
% ./bootstrap % ./configure % make

Windows (mingw): cd src mingw32-make -f Makefile.win

e aproveite. Se você quiser instalar o binário e a página de manual em um local mais permanente, basta copiar "scalpel" (ou "scalpel.exe") e "scalpel.1" para os locais apropriados, por exemplo, no Linux, "/usr/local/bin" e "/usr/local/man/man1", respectivamente. No Windows, você também precisará copiar as dlls das bibliotecas de expressões regulares pthreads e tre para o mesmo diretório de "scalpel.exe".

OUTRAS PLATAFORMAS SUPORTADAS

Atualmente, não suportamos o Scalpel em variantes do Unix além do Linux. Sinta-se à vontade para tentar um ./configure e make e ver o que acontece, mas certifique-se de fazer testes completos antes de usar o Scalpel em produção. Se você tiver interesse em oferecer suporte a uma versão do Scalpel em outras plataformas, entre em contato conosco. Se você tiver interesse em oferecer suporte a uma versão do Scalpel aprimorada por GPU no Windows, também estamos interessados em ouvir você.

LIMITAÇÕES:

O carving de arquivos de dispositivos físicos e lógicos do Windows (por exemplo, \.\physicaldrive0 ou \.\c:) não é atualmente suportado, pois exige que reescrevamos algumas partes do Scalpel para usar funções de E/S de arquivo do Windows em vez de chamadas Unix padrão. Isso poderá ser suportado em uma versão futura.

Os recursos de mapa de blocos estão atualmente desabilitados, pois estamos reescrevendo este subsistema para melhorar a interoperabilidade com o Sleuthkit. Uma versão aprimorada dos recursos de mapa de blocos retornará em uma versão subsequente. A opção de linha de comando -s ("skip") foi removida e será substituída por um recurso mais robusto na próxima versão principal.

DEPENDÊNCIAS:

O Scalpel usa a biblioteca de threads POSIX. No Win32, o Scalpel é distribuído com a Pthreads-win32 - POSIX Threads Library for Win32, que é Copyright(C) 1998 John E. Bossom e Copyright(C) 1999,2005 pelos contribuidores da Pthreads-win32. Esta biblioteca é licenciada sob a LGPL.

O Scalpel para Win32 usa a biblioteca de expressões regulares tre e é distribuído com tre-0.7.5, que é licenciada sob a LGPL.

Abraços,

--Golden e Vico.