Adquisición de Imágenes Forenses: Herramientas y Técnicas

Clase 20 de 49 • Curso de Informática Forense

A lo largo de este módulo aprendiste a usar una gran variedad de herramientas, recursos y técnicas para crear imágenes forenses de diferentes tipos y formatos, y en general para preservar la evidencia que vas a usar en tu investigación. Ahora es momento de aplicar este conocimiento en la práctica.

Para el reto de este módulo, debes hacer la adquisición de la evidencia que identificaste y que incluiste en el reto del módulo pasado. Recuerda incluir los datos de número de caso, número de evidencia y demás en los campos y las notas correspondientes en cada herramienta. Esto le dará coherencia y consistencia a tu investigación, y te permitirá trabajar de manera más ordenada.

Publica tus resultados en la sección de comentarios, allí podremos discutir qué herramientas usaste, qué imágenes adquiriste y, en general, estaremos hablando acerca de tu experiencia adquiriendo imágenes forenses.

Pero ya que empezaste, ¡no te detengas! Recuerda que parte importante de tu proceso de aprendizaje como investigador forense es que aprendas a usar todas las herramientas disponibles, y sobre todo que las conozcas y las manejes bien.

Si ya hiciste la imagen forense de un dispositivo usando una herramienta o un formato, ¡prueba con otros! Analiza las diferencias: ¿Cuál método es más eficiente?, ¿con cuál te sientes mejor? En la sección de comentarios también estaremos discutiendo acerca de métodos y alternativas para preservar evidencia.

Jose Aaron Chavez Soto

student•

Respecto a las preguntas que se hacen en este apartado:

1. ¿Cuál método es más eficiente? Considero que son muy eficientes aquellos métodos que permiten la compresión, la generación de bloques (fragmentos), aquellos que son compatibles con varias herramientas, los que generan los HASH y que efectúan verificación , en este sentido creo que puedo mencionar al formato de EnCase (E01), cuyas imágenes se pueden generar con las herramientas EWFAcquire (PALADIN-ToolBox) y FTK-Imager.

2.¿Con cuál te sientes mejor? En cuanto a las herramientas Paladin ToolBox es excelente opción, pero como el profesor lo ha comentado si en algún momento no disponemos de una interfaz gráfica y tenemos que usar la línea de comandos, optaría por usar FTK-Imager y dc3dd.

Jose Aaron Chavez Soto

student•

Para la QUINTA imagen usé la herramienta FTK-Imager para Mac, para generar una imagen a un dispositivo externo USB de 3.75 GB, cuyo punto de montaje fue: /dev/disk02 (usando el parámetro --list-drives se sabe y además usando la herramienta **Utilidad de discos en Mac ** también se puede determinar eso). A continuación los screenshots:

FTK-Imager ejecutándose en la terminal en Mac:

Herramienta Utilidad de discos de Mac para comprobar los dispositivos de almacenamiento conectados:

FTK-Imager creando la imagen forense en Mac:

En este screenshot se puede ver como iba el progreso de la creación, observar la columna de tamaño como iba incrementandose:

Jose Aaron Chavez Soto

student•

La primera imagen que adquirí fue usando la herramienta dd, la obtuve de un dispositivo externo USB, con una capacidad de 3.75GB, con punto de montaje: /dev/sdb y la envié a un archivo llamado Evidencia.00 en un disco duro con una partición NTFS.

Screenshot de la adquisición:

Screenshot del resultado (Imagen Forense con dd): Como se puede apreciar, la imagen forense quedó de 4GB

Finalmente, calculé el HASH MD5 para esta imagen con md5sum:

Christian Pazos

student•

Hice mi test con FTK imager. Porque solo tengo Windows disponible por el momento. Utilicé el USB Write locker y realicé una imagen fisica forense de mi disco externo.

Lorgio Lazarte Zurita

student•

Se realizo la generecion de 4 imagenes forenses.

*Imagen con dd, para probar el tiempo que toma el mismo

*Imagen con dc3dd, la misma me brindo mayor informacion resumen de la imagen obtenida

*FTK Imager, Manera agil de obtener la imagen

*Paladin, Manera visual de obtener imagenes brindando distintas formas de poder realizar el mismo.

Buenas practicas para refrescar los conocimientos.

Irvin Eliud García Pérez

student•

Ya he trabajado previamente con FTK Imager pero solo con imágenes tipo raw y sin compresión. Esta vez utilicé las herramientas de FTK Imager expuestas en el curso creando los distintos tipos de formato solo por curiosidad y funcionalidad de segmentar la imagen ha sido bastante útil, la desconocía por completo. También utilicé el bloqueo contra escritura de WinAudit, algo que ignoraba completamente que existía.

Jose Aaron Chavez Soto

student•

Para mi TERCERA imagen forense usé la herramienta FTK-Imager para Linux, le hice una imagen forense a una partición NTFS de tamaño de 100 MB, cuyo punto de montaje fue: /dev/sda1 y la envié a archivos con fragmentos (bloques) de tamaño de 50 MB en formato EnCase (E01), usando un nivel de compresión de 6 y agregando los datos de número de caso, número de evidencia, descripción, nombre del examinador (del informático forense), notas y además indiqué el parámetro para hacer la verificación de la misma. Como se ilustran en los siguientes screenshots:

Detalles de los dispositivos:

Adquisición de la imagen:

Proceso de la creación:

Finalización y cálculo de los hashes MD5 y SHA1:

Bloques generados en formato EnCase:

Finalmente el archivo log generado:

Gerardo Daniel Chán Márquez

student•

Yo como solo tengo Windows use FKT imager y lo realice con una memoria de 16gb

José Luis Ruiz Moreno

student•

Probé FtkImager en MacOs Catalina con una Macbook Air 2014 desde terminal.

Identifique el pendrive y los discos con:

diskutil list

Al ejecutar para crear la imagen desde el pendrive al disco me daba un error de Recurso Ocupado:

sh-3.2# ./ftkimager /dev/disk3 /Users/jlrm/Desktop/EvidenciaJLRM/ImagenForense --e01 --frag 1500MB --compress 6 --case-number PLATZI_01 --evidence-number PLATZI_01_01 --description Pendrive\ De\ JLRM\ Prueba\ de\ Evidencia. --examiner JLRM --notes Prueba\ De\ Evidencia. --verify
AccessData FTK Imager v3.1.1 CLI (Aug 24 2012)
Copyright 2006-2012 AccessData Corp., 384 South 400 West, Lindon, UT 84042
All rights reserved.

/dev/disk3: Resource busy (16)

Luego tuve que desmontar el pendrive con el siguiente comando:

sh-3.2# diskutil unmountdisk /dev/disk3
Unmount of all volumes on disk3 was successful

Recién ahí me funcionó la creación de la imagen forense y en un pendrive de 16GB me demoró aproximadamente 40 minutos:

sh-3.2# ./ftkimager /dev/disk3 /Users/jlrm/Desktop/EvidenciaJLRM/ImagenForense --e01 --frag 1500MB --compress 6 --case-number PLATZI_01 --evidence-number PLATZI_01_01 --description Pendrive\ De\ JLRM\ Prueba\ de\ Evidencia. --examiner JLRM --notes Prueba\ De\ Evidencia. --verify
AccessData FTK Imager v3.1.1 CLI (Aug 24 2012)
Copyright 2006-2012 AccessData Corp., 384 South 400 West, Lindon, UT 84042
All rights reserved.

Creating image...
3074.91 / 15287.97 MB (5.70 MB/sec) - 0:35:40 left

Al finalizar me creo los archivos con cortes en 1,5GB

Jean Nuñez

student•

Buen aporte voy pornerlo en practica

Marcelo Elvio Gracia

student•

Luis Alberto Anaya lentino

student•

Luis Alberto Anaya lentino

student•

Luis Alberto Anaya lentino

student•

Imagen Forense de una MicroSD con FTK Imager

Luis Alberto Anaya lentino

student•

MARIA TERESA PANIAGUA RIVERA

student•

gracias

Joselyn Lizeth Quispe Huanca

student•

FTK Imager para mi fue fácil de utilizar y también permite la posibilidad de comprimir archivos de salida sin reducir la velocidad de copia.

Angel Perez

student•

A pesar de haber copiado el link de mis evidencias relacionadas con las imágenes forenses obtenidas, éstas no aparecen.

Angel Perez

student•

Eliana Del Mar Velasquez Rodriguez

student•

Hice uso de FTK imager para tomar evidencia de un escenario de informática de Linux. Aunque dada la naturaleza de la fuente de información podría mencionar que para mi el ftk imager fue el más eficiente dado que solo era cargar la imagen, también se puede explorar montando la imagen en una VM de linux y haciendo uso de dc3dd.

Hans Dagoberto Parra Ruiz

student•

FTK imager 4.7.1.2

se realizo la imagen forense

del disco duro y todo muy bien

sh-3.2# ./ftkimager /dev/disk3 /Users/jlrm/Desktop/EvidenciaJLRM/ImagenForense --e01 --frag 1500MB --compress 6 --case-number PLATZI_01 --evidence-number PLATZI_01_01 --description Pendrive\ De\ JLRM\ Prueba\ de\ Evidencia. --examiner JLRM --notes Prueba\ De\ Evidencia. --verify
AccessData FTK Imager v3.1.1 CLI (Aug 24 2012)
Copyright 2006-2012 AccessData Corp., 384 South 400 West, Lindon, UT 84042
All rights reserved.

/dev/disk3: Resource busy (16)

sh-3.2# ./ftkimager /dev/disk3 /Users/jlrm/Desktop/EvidenciaJLRM/ImagenForense --e01 --frag 1500MB --compress 6 --case-number PLATZI_01 --evidence-number PLATZI_01_01 --description Pendrive\ De\ JLRM\ Prueba\ de\ Evidencia. --examiner JLRM --notes Prueba\ De\ Evidencia. --verify
AccessData FTK Imager v3.1.1 CLI (Aug 24 2012)
Copyright 2006-2012 AccessData Corp., 384 South 400 West, Lindon, UT 84042
All rights reserved.

Creating image...
3074.91 / 15287.97 MB (5.70 MB/sec) - 0:35:40 left   

Adquisición de Imágenes Forenses: Herramientas y Técnicas

Bienvenida y presentación general.

Análisis Forense en Sistemas Windows, Unix y Mac

Etapas del Proceso de Cómputo Forense

Identificación y Preservación en Computo Forense

Análisis y Presentación en Cómputo Forense

Etapa I: Identificación

Elementos Esenciales para la Investigación Forense Digital

Procedimiento de Cadena de Custodia en Investigaciones Forenses

Primer Respondiente en Informática Forense: Roles y Capacitación

Análisis de Imágenes Forenses y Cadena de Custodia

Etapa II: Preservación

Dispositivos de Bloqueo Contra Escritura: Uso y Función

Adquisición de Evidencia con FTK Imager en Informática Forense

Creación de Imágenes Forenses: Proceso y Verificación

Adquisición de Imágenes Forenses con Gaitán Software

Adquisición en Vivo de Memoria RAM para Análisis Forense

Creación de Imágenes Forenses en Linux con Paladín

Creación de Imágenes Forenses con DD y DC3DD en Linux

Adquisición de Imágenes Forenses en Linux con FTK Imager

Creación de Imágenes Forenses con Paladín en Dispositivos Apple

Creación de Imágenes Forenses en Mac con FTK Imager y Modo Target

Algoritmos de Funciones Hash y su Uso en Computación Forense

Adquisición de Imágenes Forenses: Herramientas y Técnicas

Verificación de Imágenes Forenses con Algoritmos Hash

Etapa III: Análisis de Evidencia Pt. 1

"Sistemas de Archivos en Windows: FAT, exFAT y NTFS"

Sistemas de Archivos en Linux y Mac: Funcionamiento y Características

Análisis y Exportación de Imágenes Forenses con FTK Imager

Creación y Gestión de Imágenes Forenses Personalizadas

Análisis Forense de Archivos de Registro en Windows

Análisis Forense de Imágenes de Sistema Operativo Linux

Elaboración de Informes Preliminares en Incidentes Informáticos

Creación de Imágenes Forenses Personalizadas

Elaboración de Informes Preliminares de Investigación

Etapa III: Análisis de Evidencia Pt. 2

Análisis de Archivos SAM con Regripper en Windows

Análisis de Archivos de Registro en Windows con Regripper

Análisis de Logs y Bitácoras en Windows para Monitoreo y Trazabilidad

Análisis Forense del Registro de Windows: Archivos NTUSER.DAT y ShellBags

Ubicaciones clave en el Registro de Windows para la investigación forense

Análisis de Archivos Prefetch en Windows para Investigación Forense

Funcionamiento y Recuperación de Archivos en la Papelera de Reciclaje Windows

Ampliación de Informes de Análisis Forense Digital

Etapa III: Análisis de Evidencia Pt. 3

Diferencias de Configuración y Uso entre Linux y Windows

Proceso de Inicio de Linux: BIOS, GRUB, Kernel e Init

Configuración de Usuarios y Archivos Clave en Linux

Análisis de Archivos de Registro en Sistemas Operativos Linux

Uso de Autopsy para Análisis Forense Automatizado

Ordenar información para informes efectivos

Etapa IV: Presentación.

Estructuración de Informes Ejecutivos en Investigaciones Forenses

Elaboración de Informes Técnicos en Computación Forense

Consejos para Presentar Informes en Procesos Legales

Cómo redactar informes efectivos y profesionales

Conclusiones Finales

Libros y Recursos Clave para la Investigación Digital