Autopsy 多用戶集群

設置多用戶群集

總覽

可以將驗尸設置為在不同計算機上的多個用戶可以同時打開同一案例的環境中工作。要設置這種類型的環境，您將需要配置其他（免費和開源）基于網絡的服務。

基本概念是您將擁有一個中心：

• 數據庫
• 關鍵字搜索索引
• 存儲

然后，每個Autopsy客戶端將使用這些共享資源，而不是用于單用戶案例的嵌入式版本。

群集安裝和配置

現在，讓我們逐步完成設置Autopsy群集的過程。設置網絡服務時，記下每個服務的地址，用戶名和密碼，以便以后可以更輕松地配置每個客戶端系統。

步驟1：選擇您的硬件/ VM配置

第2步：選擇您的用戶帳戶

步驟3：設定共用儲存空間

步驟4：安裝和配置PostgreSQL

步驟5：安裝和配置Solr

步驟6：安裝和配置ActiveMQ

步驟7：安裝Autopsy客戶端

多用戶案例安全

總覽

此頁面概述了多用戶案例部署中存在的安全保護，以便您可以保護敏感數據。多用戶部署必須在專用網絡中，以確保只有授權用戶才能訪問數據。遠程站點應通過VPN連接到中央服務。

• 中央存儲：您有責任使用基于文件夾的權限來限制對案例文件夾的訪問。用戶必須能夠讀寫案例文件夾，才能通過Autopsy打開案例。它包含Solr索引，模塊輸出，日志和報告。
• 中央數據庫：PostgreSQL支持通過登錄名和密碼進行身份驗證。必須為每個Autopsy客戶端配置PostgreSQL用戶名和密碼。由您決定整個實驗室是否只有一個用戶名和密碼，或者是否為每個客戶端配置一個新的用戶名和密碼。
• Central Solr：Solr不需要用戶名或密碼即可連接并查詢它。有一種可選的方法可以將Solr配置為要求它們，但是我們還沒有嘗試過。
• 消息服務：ActiveMQ可以配置為要求用戶名和密碼。像中央數據庫一樣，由您決定是否只有一個用戶名和密碼，或者每個客戶端一個。

由于Solr服務器不限制對索引內容的訪問，因此應在僅授權用戶有權訪問的網絡中部署這些服務。將來的版本將允許對敏感數據進行附加保護。

使用多用戶案例

創建多用戶案例

多用戶案例允許多個Autopsy實例同時打開同一案例。創建案例時，將為用戶提供單用戶或多用戶選擇，如下面的屏幕快照所示。

要創建多用戶案例，必須發生以下情況：

• 網絡服務必須已安裝，配置并正在運行。請參閱群集安裝和配置。
• Case文件夾必須位于所有其他客戶端也可以在同一路徑（UNC或驅動器號）訪問的共享文件夾中。
• 使用“添加數據源”向導添加的數據源必須位于所有客戶端都可以在同一路徑下訪問的共享文件夾中。

其他多用戶信息

• 當使用多用戶案例時，其他節點可能正在同一案例上運行數據提取。發生這種情況時，您將在“Autopsy”的右下角看到一個進度條，上面標有執行提取的計算機的主機名。進度條將繼續來回移動，直到提取完成或取消。在此過程中，您仍然可以在本地計算機上運行攝取。這顯示在下面的屏幕截圖中。

• 發生問題時，屏幕右下角會出現一個信息“氣泡”。它在圓圈內有一個“ i”，圓圈的顏色根據消息而改變。它使用紅色表示不良，使用藍色表示良好。請參見下面的屏幕截圖。

• 單擊信息“冒泡”將彈出尚未通過單擊“ x”被取消的先前通知的列表。正如您在下面的屏幕快照中所看到的那樣，網絡電纜已從計算機上拔下，并且斷開了與這三個服務的所有連接。重新連接電纜后，它再次找到了服務。

• 創建多用戶案例時，建議使用UNC路徑指定驅動器名稱。驅動器映射將起作用，但是有時很難使所有機器參與到案例中以將相同的資源映射到相同的驅動器號。使用\ hostname \ sharename \ folder形式的完全指定的UNC路徑要簡單得多。