The Sleuth Kit (TSK)

The Sleuth Kit (TSK) est une suite d'outils en ligne de commande open source dédiée à l'analyse forensique de systèmes de fichiers. Développée initialement par Brian Carrier à partir du projet TCT (The Coroner's Toolkit) de Dan Farmer et Wietse Venema, elle permet d'explorer une image disque, de reconstruire l'arborescence des fichiers, d'extraire les métadonnées temporelles et de récupérer des fichiers supprimés — le tout en lecture seule, sans jamais monter le volume via le noyau du système d'analyse. TSK constitue le moteur technique d'Autopsy, l'interface graphique la plus utilisée en investigation numérique.

Une architecture en couches

La force de TSK réside dans son modèle d'analyse stratifié, qui reproduit fidèlement l'empilement réel des structures de stockage. Chaque couche dispose de sa propre famille d'outils, identifiable à son préfixe :

• Couche image (img_stat, img_cat) : gestion des formats de conteneurs — raw/dd, E01 (EnCase, via libewf), AFF, images segmentées, VMDK et VHD.
• Couche volume (mmls, mmstat, mmcat) : lecture des tables de partitions MBR, GPT, BSD, Sun VTOC. C'est ici qu'on récupère l'offset indispensable aux commandes suivantes.
• Couche système de fichiers (fsstat) : identification du type, taille de bloc, superbloc, position de la $MFT en NTFS.
• Couche nom de fichier (fls, ffind) : listage de l'arborescence, y compris les entrées de répertoire marquées comme supprimées.
• Couche métadonnées (istat, icat, ifind, ils) : accès aux inodes ext, aux entrées MFT NTFS ou aux entrées de répertoire FAT.
• Couche unité de données (blkls, blkcat, blkcalc, blkstat) : lecture brute des clusters, extraction de l'espace non alloué et de l'espace résiduel (slack space).
• Couche journal (jls, jcat) : exploitation du journal ext3/ext4 ou de $LogFile, souvent décisive pour reconstituer des opérations récentes.

Les systèmes de fichiers pris en charge couvrent l'essentiel du parc : NTFS, FAT12/16/32, exFAT, ext2/3/4, HFS+, UFS1/2, ISO9660, YAFFS2, avec un support APFS plus récent et encore partiel.

Exemples concrets

Un enchaînement typique sur une image saisie commence par la cartographie des partitions :

• mmls piece_a_conviction.E01 — retourne par exemple une partition NTFS démarrant au secteur 2048.
• fls -r -o 2048 piece_a_conviction.E01 — liste récursivement les fichiers ; les entrées préfixées d'un astérisque correspondent aux fichiers supprimés dont les métadonnées subsistent.
• icat -o 2048 piece_a_conviction.E01 45231 > extrait.docx — extrait le contenu associé à l'entrée MFT 45231.
• istat -o 2048 piece_a_conviction.E01 45231 — affiche les horodatages MACB (Modified, Accessed, Changed, Birth) et la liste des clusters occupés.

Pour construire une timeline, la combinaison historique reste fls -r -m / -o 2048 image.dd > bodyfile suivi de mactime -b bodyfile -d 2026-01-01..2026-01-31, qui produit un CSV chronologique exploitable. La récupération de masse s'effectue avec tsk_recover -e -o 2048 image.dd /cases/sortie, qui extrait fichiers alloués et non alloués vers un répertoire de travail.

Récupération de fichiers supprimés

TSK pratique une récupération fondée sur les métadonnées : tant que l'entrée MFT ou l'inode n'a pas été réattribué, la liste des clusters reste lisible et le fichier peut être reconstruit intégralement, nom et horodatages compris. Cette approche diffère du file carving (Foremost, Scalpel, PhotoRec), qui recherche des signatures binaires dans l'espace non alloué et récupère des données sans nom ni date. Les deux méthodes sont complémentaires : on extrait d'abord l'espace non alloué avec blkls, puis on le soumet à un carver, et blkcalc permet de repositionner un bloc trouvé dans l'image d'origine.

Place dans l'écosystème forensique

TSK intervient après l'acquisition réalisée avec un bloqueur d'écriture matériel et un outil comme ewfacquire ou dc3dd. Il alimente ensuite des chaînes plus larges : Autopsy pour l'interface et l'indexation, plaso/log2timeline pour la super-timeline corrélant système de fichiers, registre Windows et journaux applicatifs, Volatility pour le volet mémoire vive. En réponse à incident ransomware, TSK sert typiquement à dater précisément le chiffrement, retrouver la note de rançon supprimée ou identifier les outils d'exfiltration effacés par l'attaquant.

Bonnes pratiques

• Travailler exclusivement sur une copie de travail de l'image, jamais sur le support original.
• Calculer et consigner les empreintes SHA-256 avant et après analyse pour garantir l'intégrité et la chaîne de possession — condition de recevabilité juridique.
• Journaliser toutes les commandes exécutées (fichier de log ou script) afin que l'analyse soit reproductible par un tiers.
• Ne pas se fier aux seuls horodatages : ils sont falsifiables par timestomping ; croiser avec le journal du système de fichiers et l'$UsnJrnl.
• Documenter la version de TSK utilisée, les structures internes évoluant avec les versions du système de fichiers.

Distribué sous licences IPL et CPL, disponible dans les dépôts Debian, Ubuntu et RHEL ainsi que sur les distributions spécialisées (Kali, SIFT Workstation, CAINE), The Sleuth Kit reste l'outil de référence pour toute investigation nécessitant un contrôle fin et vérifiable du contenu d'un support de stockage.