Autopsy è una piattaforma di informatica forense con interfaccia grafica, pensata per esaminare il contenuto di un disco rigido, di una chiavetta USB o di uno smartphone. Fa da interfaccia visuale a The Sleuth Kit, una raccolta di strumenti a riga di comando creata da Brian Carrier, e riunisce intorno a sé numerosi moduli di analisi. Il programma è distribuito con licenza Apache 2.0 e il codice è ospitato su GitHub.
Lo sviluppa Sleuth Kit Labs, società guidata da Brian Carrier. Secondo il suo sito, il team ha lavorato per oltre quindici anni all’interno di Basis Technology prima di diventare un’azienda indipendente nell’ottobre 2023. La cronologia delle versioni colloca la prima beta di Autopsy 3 nell’agosto 2011 e la versione 4.0, che ha introdotto i casi condivisi tra più utenti, nel novembre 2015.
A cosa serve Autopsy
Si comincia aprendo un caso e aggiungendo le fonti di dati: un’immagine disco in formato raw o EnCase (E01), un disco virtuale VMDK o VHD, un’unità collegata al computer, singoli file oppure un’esportazione dello strumento di estrazione mobile XRY. Autopsy avvia poi i moduli di acquisizione, che lavorano in background e pubblicano i risultati man mano, così l’investigatore può iniziare a esaminare i primi elementi senza attendere la fine dell’elaborazione.
I moduli coprono la maggior parte delle attività tipiche di un esame. Riconoscono il vero tipo dei file, segnalano estensioni ingannevoli, confrontano gli hash con archivi di file noti, estraggono cronologia e cookie dei browser, analizzano il registro di Windows, leggono i metadati EXIF delle foto, recuperano file cancellati con PhotoRec e applicano regole YARA, strumento presente anche nella nostra raccolta di software. Altri estraggono gli artefatti di Android e iOS, decodificano i registri dei droni DJI o costruiscono una cronologia completa degli eventi.
Diverse viste aiutano poi a orientarsi tra i risultati: una galleria di immagini, una linea temporale, una mappa delle posizioni geografiche e uno strumento che visualizza le comunicazioni tra i contatti. I team possono lavorare sullo stesso caso grazie a una modalità multiutente basata su servizi di rete. La versione 4.23.0 ha aggiunto, solo su Windows, un server MCP che la documentazione descrive come integrazione con Claude Desktop.
Autopsy è complementare a Volatility, di cui pubblichiamo pure la scheda: il primo si occupa dei supporti di memorizzazione, il secondo della memoria RAM. Tra le funzioni sperimentali la documentazione elenca infatti un modulo che elabora un’immagine di memoria con Volatility.
Per chi è?
Secondo l’editore, decine di migliaia di investigatori delle forze dell’ordine e delle aziende lo usano in tutto il mondo. È adatto anche ai team di risposta agli incidenti, agli auditor interni e agli studenti, che trovano un modo gratuito per imparare il metodo forense senza acquistare una suite commerciale.
Si tratta di un programma impegnativo. La documentazione consiglia almeno 16 GB di RAM. L’editore raccomanda inoltre di escludere le cartelle dei casi dall’antivirus e dall’EDR, che possono rallentare molto l’elaborazione o mettere in quarantena i risultati. Autopsy resta pensato prima di tutto per Windows: su Linux e macOS mancano diversi moduli, tra cui l’attività recente e l’analisi dei dispositivi mobili. Con il passaggio a The Sleuth Kit 4.14.0 i file system XFS e Btrfs non sono più supportati.
Scaricare Autopsy in sicurezza
La pagina di download del sito autopsy.com rimanda ai file pubblicati su GitHub dal progetto sleuthkit/autopsy. La versione 4.23.1 del 7 maggio 2026 è disponibile come installer MSI a 64 bit per Windows, di circa 1,2 GB, e come archivio zip per Linux e macOS, entrambi con firma PGP per verificarne l’integrità. Su Linux e macOS l’installazione passa da script che richiedono Java 17 e la libreria Java di The Sleuth Kit. Esiste anche un pacchetto snap pubblicato da Sleuth Kit Labs, che però al momento della nostra verifica era fermo alla versione 4.22.1.
Autopsy in sé è gratuito. Accanto a esso Sleuth Kit Labs vende Cyber Triage, provabile per sette giorni, moduli aggiuntivi, corsi di formazione, assistenza e sviluppo su misura. Poiché gli investigatori trattano prove che possono arrivare in tribunale, l’installer deve provenire da questi indirizzi ufficiali e conviene controllarne la firma.
Domande frequenti
Autopsy è davvero gratuito?
Sì. È distribuito con licenza Apache 2.0, senza limiti di tempo né funzioni bloccate. Sono a pagamento soltanto i prodotti e i servizi collegati di Sleuth Kit Labs, come Cyber Triage, la formazione e l’assistenza.
Che differenza c’è tra Autopsy e The Sleuth Kit?
The Sleuth Kit è un insieme di strumenti a riga di comando e una libreria che leggono i file system. Autopsy si appoggia a quella libreria e aggiunge un’interfaccia grafica, moduli di analisi, gestione dei casi e generazione di report.
Autopsy funziona su Mac?
Sì, tramite l’archivio zip e gli script di installazione che si appoggiano a Homebrew. Alcune funzioni restano però esclusive di Windows e la documentazione precisa che i dischi virtuali VHD e VMDK non sono supportati su macOS.
