用途：本技能面向已有取证磁盘镜像的场景，对镜像内容做结构化分析，支持文件恢复、关键词搜索与时间线重建。
主要能力：通过 Autopsy 图形界面与 The Sleuth Kit 命令行工具完成分区查看（mmls）、文件与删除项列出（fls）、按 inode 提取内容（icat）、按目录恢复（tsk_recover）、元数据查看（istat）、签名搜索（sigfind）、字符串检索（srch_strings）、时间线生成（mactime）。Autopsy 可启用 Recent Activity、Hash Lookup、File Type Identification、Keyword Search、Email Parser、Extension Mismatch Detector、Exif Parser、Encryption Detection、Interesting Files Identifier、Embedded File Extractor、Picture Analyzer、Data Source Integrity 等 Ingest 模块，并支持标签、评论与 HTML 报告导出。
使用方式：先安装 Autopsy 4.x 与 Sleuth Kit（Linux 可执行 sudo apt-get install autopsy sleuthkit），新建 Case 并添加磁盘镜像作为 Data Source，选择原系统时区并配置 Ingest 模块后运行分析。命令行可用 img_stat、mmls、fls、icat、tsk_recover、istat、srch_strings、sigfind、mactime 等命令，注意按偏移量（如 -o 2048）操作。
限制与前提：需 Autopsy 4.x、JRE 8+、至少 8GB 内存（大镜像建议 16GB）、约为镜像 2-3 倍的数据库磁盘空间；NSRL 等哈希库需另行下载导入。具体收费、价格与最新版本信息暂未提供。
适用场景：员工数据窃取调查、恶意软件感染取证、CSAM 调查、知识产权纠纷等。