Introducción a FTK Imager

Introducción a FTK Imager
.
FTK Imager: es una herramienta de análisis forense disponible en la Web de AccessData, además que permite varios formatos para imágenes.
.
• Disco lógico: es la sección de un disco que tenga un equivalente lógico. No es una copia exacta.
• Disco físico: cualquier disco que esté conectado físicamente a la máquina.
• Archivo de imagen: es una imagen forense que ya este creada.

imagen Forense: es una copia bit a bit que resulta en una Imagen completa que incluye todas las particiones de un dispositivo de almacenamiento e incluso partes del disco no asignados a una particion

Imagen Logica ?? no es lo mismo ??

oooooo 😮 , como asi entonces recuperemos archivos borrados, los usuarios hacen eso cuando presienten que los van a sacar de la empresa 😃

Access Data actualizo FTk Imager y también quito de las versiones de consola del enlace principal. Ahora pueden encontrar las versiones anteriores en el siguiente link: https://accessdata.com/product-download/#past-versions

Algo muy importante es que cuando tuvo borras un archivo dentro de un disco duro, en la gran mayoría de casos, el archivo sigue existiendo solamente que el sistema de archivos y el sistema operativo no saben que están ahí, porque lo que hacen es borrar la información que apunta a ese archivo, pero el archivo sigue estando escrito dentro del disco duro y mientras no se sobre escriba es posible recuperarlo.

Algo muy importante es que cuando tuvo borras un archivo dentro de un disco

duro, en la gran mayoría de casos, el archivo sigue existiendo solamente que el sistema de archivos

y el sistema operativo no saben que están ahí, porque lo que hacen es borrar la

información que apunta a ese archivo, pero el archivo sigue estando escrito dentro del disco duro y

mientras no se sobre escriba es posible recuperarlo.

Tengo entendido que en algunos estados no es valido presentar información forense de herramientas de licencia open source

de momento el mejor curso que he visto en platzi, es una pasada!!

Creo que la empresa cambio, si le dan click a los enlaces los redirecciona a EXTERRO. Les dejo el link https://www.exterro.com/ftk-imager-old para obterner FTK imager de la misma página.

https://ad-exe.s3.amazonaws.com/AccessData_FTK_Imager_4.7.1.exe

te ahorras el registro

Algo muy importante es que cuando tuvo borras un archivo dentro de un disco duro, en la gran mayoría de casos, el archivo sigue existiendo solamente que el sistema de archivos y el sistema operativo no saben que están ahí, porque lo que hacen es borrar la información que apunta a ese archivo, pero el archivo sigue estando escrito dentro del disco duro y mientras no se sobre escriba es posible recuperarlo.

Cool

Muy buena herramienta.

Y en el caso de una memoria que aparezca como “Disco extraible”?

Muy interesante!

FTK Imager is a Great tool.

Una imagen de computo forence, es una copia bit a bit de los datos del dispositivo que estamos copiando

Una imagen logica no es una copia de bit a bit, se necesitan la imagenes foresenses

La carptas que salen con un icono con una equis(X) rojas son carpetas,documentos o archivos que han sido borrados y que podemos recuperarlo

La zona horario del archivo es necesario para la investigacion y debemos determinar la zona horaria de dispositivo que se analiza

Cuando se borra un archivo de tu disco duro el archivo sigue existiendo, solo que el sistema operativo no sabe que esta alli

GTK Imager

eso de la carpeta allocated es lo que la memoria tiene en sus tablas de relación entre archivos que contiene y donde se encuentran
y la unallocated es lo que no está en esas tablas pero sigue existiendo dentro de la memoria y por eso a veces vemos que aunque borremos archivos de a memoria, ésta sigue teniendo el mismo espacio disponible o cómo funciona esto?