Disk Forensics 是一个综合性的磁盘取证技能，用于分析存储介质、文件系统与持久化痕迹，支持恢复被删除文件、分析文件系统元数据、检测隐藏数据以及从磁盘镜像中提取取证痕迹。
用途 该技能面向数字取证调查，适用于调查数据窃取、内部威胁、恶意软件持久化、删除文件恢复等场景。
主要能力
- 磁盘镜像获取：创建取证合规的磁盘镜像并进行完整性校验。
- 文件系统分析：解析并分析 NTFS、FAT、EXT、HFS+、APFS 文件系统。
- 删除文件恢复：通过文件雕刻与文件系统分析恢复被删除文件。
- MFT 分析：解析 NTFS 主文件表以获取文件元数据与时间戳。
- 松弛空间分析：检查松弛空间中的隐藏或残留数据。
- 备用数据流：检测并提取 NTFS 备用数据流。
- 文件签名分析：校验文件签名并检测扩展名不匹配。
- 哈希分析：计算并校验文件哈希，用于完整性验证与已知文件检测。
- 卷影副本分析：提取并分析 Windows 卷影副本。
- 分区分析：检测隐藏分区，分析分区表。
使用方式 该技能以 Python 库形式提供，通过导入 DiskAnalyzer、FileRecovery、MFTParser 等类进行调用。典型流程包括：初始化分析器并加载磁盘镜像、列出卷信息、恢复删除文件、解析 MFT 等。文档提供了磁盘镜像获取、文件系统分析、删除文件恢复、MFT 分析、备用数据流分析、卷影副本分析、文件签名分析、松弛空间分析、分区分析、哈希分析与已知文件检测等任务的具体代码示例。
配置 支持通过环境变量配置：SLEUTHKIT_PATH（The Sleuth Kit 二进制路径）、NSRL_PATH（NSRL 哈希数据库路径）、YARA_RULES（YARA 规则路径）、CARVING_SIGNATURES（自定义文件雕刻签名）。选项包括 verify_image、cache_metadata、parallel_hash、carving_depth、timezone 等。
适用场景 适用于数据窃取调查、内部威胁调查、恶意软件持久化分析、删除文件恢复等取证场景。文档提供了数据窃取调查等示例。
限制 关于收费、价格、平台支持范围、具体效果等信息暂未提供。