Sistemas Debian GNU/Linux e derivados possuem uma família de aplicativos que podem ser consultados a partir da palavra chave forensics.

Ao emitir o comando:

# apt-cache search forensic

Temos:

autopsy
Interface gráfica para o programa Sleuthkit.

dcfldd
Versão aperfeiçoada do comando dd para análise forense e segurança.

foremost
Aplicativo forense para recuperação de dados

galleta
Ferramenta forense para análise de cookies do browser Internet Explorer.

libtsk1
Biblioteca para análise forense.

libtsk1-dbg
Biblioteca para análise forense com símbolos de debug.

libtsk1-dev
Arquivos de desenvolvimento para análise forense.

pasco
Ferramenta de análise forense de cache de browsers Internet Explorer.

rdd
Programa de cópia forense.

rifiuti2
Ferramenta de análise da lixeira para sistemas MS Windows.

scalpel
Ferramenta de análise de arquivos de alta performance.

sleuthkit
Conjunto de ferramentas para análise forense.

tct
Conjunto de utilitários para análise forense.

unhide
Ferramenta forense para encontrar processos e portas ocultas.

vinetto
Ferramenta forense para examinar arquivos Thumbs.db.

Para obter informações mais detalhadas sobre alguma destas ferramentas, como por exemplo o pacote sleuthkit, emita o comando:

# apt-cache show sleuthkit

E o resultado:

Description: Tools for forensics analysis
The Sleuth Kit (previously known as TASK) is a collection of UNIX-based
command line file system and media management forensic analysis tools.
The file system tools allow you to examine file systems of a suspect
computer in a non-intrusive fashion. Because the tools do not rely on
the operating system to process the file systems, deleted and hidden
content is shown.
... diversas linhas removidas

Para instalar o pacote:

# apt-get install sleuthkit

Uma vez instalado o pacote, podemos ver seus componentes com o comando:

$ dpkg -L sleuthkit /.
/usr
/usr/bin
/usr/bin/img_cat
/usr/bin/img_stat
/usr/bin/mmls
/usr/bin/mmstat
/usr/bin/dcalc
/usr/bin/dcat
/usr/bin/dls
/usr/bin/ffind
/usr/bin/fls
/usr/bin/fsstat
/usr/bin/ifind
/usr/bin/istat
/usr/bin/jcat
/usr/bin/jls
/usr/bin/hfind
/usr/bin/disk_stat
/usr/bin/disk_sreset
/usr/bin/srch_strings
/usr/bin/sigfind
/usr/bin/sorter
/usr/bin/datastat
/usr/bin/icat-sleuthkit
/usr/bin/ils-sleuthkit
/usr/bin/mactime-sleuthkit
... diversas linhas removidas

Como podemos ver, o pacote sleuthkit é composto por diversos programas. Para cada um deles existe uma página de documentação, que pode ser consultada com o comando man:

$ man img_cat

Com o comando apt-cache você pode pesquisar e descobrir muitas coisas interessantes vinculadas a seus interesses. Basta ter curiosidade e vontade de aprender.