用途：当已有取证磁盘镜像，需要对其内容做结构化分析；在调查中需要恢复文件、关键字检索与时间线分析；需要向非技术相关方提供可视化取证报告；检查文件系统元数据、已删除文件与嵌入痕迹；或从多个磁盘镜像构建完整案件时使用。
主要能力：通过 Autopsy 的 Ingest 模块自动分析数据源，支持最近活动（浏览器历史、下载、Cookie、书签）、哈希比对（NSRL 与已知恶意哈希）、文件类型识别、关键字全文索引、邮件解析、扩展名不匹配检测、Exif 提取、加密检测、感兴趣文件标记、嵌入文件提取、图片分析与数据源完整性校验。可结合 Sleuth Kit 命令行工具：img_stat 查看镜像信息，mmls 查看分区，fls 列出（含已删除）文件，icat 按 inode 恢复内容，istat 查看元数据，mactime 生成时间线，sigfind 按签名搜索。
使用方式：前置条件为 Autopsy 4.x（Windows 或 Linux 配合 Sleuth Kit）、raw(dd)/E01/AFF 格式镜像、至少 8GB 内存（大镜像建议 16GB）、JRE 8+、约为镜像 2-3 倍的案件数据库磁盘空间及哈希库。Linux 可执行 sudo apt-get install autopsy sleuthkit。流程为：安装并配置环境，新建案件并添加磁盘镜像，配置并运行 Ingest 模块，分析文件系统并恢复已删除文件，执行关键字搜索与打标签，最后构建时间线并生成报告。
适用场景：员工数据窃取调查、恶意软件感染取证、CSAM 调查、知识产权纠纷等。
限制：资料未提供价格与授权细节；大镜像对内存和磁盘空间要求较高；部分流程依赖 GUI 操作；实际取证应遵守法律与证据链要求。