Creación de Imágenes Forenses con DD y DC3DD en Linux

Contenido del curso

Bienvenida y presentación general.

Etapa I: Identificación

Etapa II: Preservación

Etapa III: Análisis de Evidencia Pt. 1

Etapa III: Análisis de Evidencia Pt. 2

Etapa III: Análisis de Evidencia Pt. 3

Etapa IV: Presentación.

Conclusiones Finales

49
Libros y Recursos Clave para la Investigación Digital
04:56 min

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:0011:47

Creación de Imágenes Forenses con DD y DC3DD en Linux

Curso de Informática Forense

Clase 15 de 49

Clase 15 / 49

Recursos

En el fascinante mundo de la informática forense, la capacidad de crear imágenes forenses confiables y precisas es esencial. Trabajar con herramientas especializadas como Paladin es común, pero entender los fundamentos y manejar procedimientos manuales resulta invaluable. Hoy hemos puesto nuestra vista en el corazón de la adquisición de datos y cómo una comprensión profunda de este proceso puede ser la clave al no poder usar herramientas especializadas.

¿Cómo se generan las imágenes forenses manualmente?

Crear una imagen forense de forma manual implica utilizar comandos específicos en una consola Linux. Esto requiere elevar los permisos para trabajar con autoridad administrativa, especialmente cuando se usa una distribución que no tiene un usuario configurado por defecto. Los pasos son:

Conectar el dispositivo de almacenamiento al que se le va a realizar la adquisición.
Identificar correctamente el dispositivo en el sistema, generalmente bajo el patrón /dev/sdb.
Montar el dispositivo en modo de solo lectura para evitar alteraciones.

¿Qué herramientas se usan para la creación manual de imágenes?

El comando dd en Linux es una potente herramienta originalmente diseñada para la copia y conversión de archivos. En el contexto forense, se utiliza para crear una imagen forense cruda realizando una copia bit a bit del dispositivo de almacenamiento deseado. La sintaxis básica para este procedimiento es:

dd if=/dev/sdb of=/path/to/output/file.img

ddrescue

ddrescue es una versión mejorada del comando dd que, además de copiar datos, incluye opciones adicionales y tolerancia a errores. Ideal para trabajar con dispositivos dañados donde la simple ejecución de dd podría no ser exitosa.

¿Cómo se verifica la integridad de las imágenes forenses?

La verificación de la integridad de las imágenes generadas se realiza mediante el cálculo de hash. Los algoritmos más comunes incluyen MD5, SHA1 y SHA256. Estos algoritmos producen un valor único para el conjunto de datos analizado, lo cual es vital para comprobar que la imagen no ha sufrido cambios.

Calcular hash con md5sum

Para calcular el hash MD5 de una imagen forense se utiliza el comando md5sum:

md5sum /path/to/image.img

El resultado es una cadena de caracteres que debe ser idéntica cada vez que se calcula, asumiendo que no ha habido alteraciones en la imagen.

¿Por qué es importante entender el proceso manual?

Comprender y poder ejecutar la adquisición y verificación de imágenes forenses manualmente brinda flexibilidad y un recurso invaluable cuando las herramientas automatizadas no están disponibles o fallan. Además, el conocimiento detallado del proceso permite un mayor control y adaptabilidad durante las investigaciones digitales.

En nuestra próxima sesión, exploraremos cómo herramientas como FTK Imager y ddrescue pueden ser usadas en distintas plataformas y sistemas operativos, demostrando la importancia de una amplia base de conocimientos en informática forense. ¡Continúa aprendiendo y sumergiéndote en el fascinante campo de la ciberseguridad!

Edwin Alfredo García

Hace 13 días

En un escenario de laboratorio, el procedimiento puede comenzar identificando la evidencia y registrando sus datos, como el número de evidencia, dispositivo, capacidad y características físicas. Después se conecta el medio al equipo forense mediante un bloqueador de escritura cuando corresponda y se identifica el dispositivo mediante herramientas como lsblk, verificando cuidadosamente que /dev/sdb, por ejemplo, sea realmente el medio de evidencia.

Una vez identificado, se evita montarlo con permisos de escritura y se selecciona un medio de destino diferente para almacenar la imagen. A continuación se ejecuta la adquisición con dd o ddrescue, por ejemplo:

dd if=/dev/sdb of=/evidencia/disco01.img bs=4M status=progress

Durante el proceso se registra la información relevante, como fecha y hora, dispositivo de origen, archivo de destino, tamaño de la imagen y posibles errores. Cuando finaliza la adquisición, se calcula un hash de la imagen, preferiblemente mediante SHA-256:

sha256sum /evidencia/disco01.img

El valor obtenido se registra en la documentación del caso. Posteriormente, la imagen puede verificarse nuevamente calculando su hash y comparándolo con el valor registrado. Si los valores coinciden, se tiene evidencia de que el archivo de imagen no ha cambiado desde el momento de la verificación inicial.

Finalmente, la imagen forense se conserva de forma segura y el análisis se realiza sobre una copia de trabajo, no sobre el original adquirido. De esta manera se mantiene la integridad, trazabilidad y reproducibilidad del procedimiento.

Comentarios (21)21 comentarios

Javier Ramos

Hace 7 años

Juan Pablo Perez

Hace 6 años

Alfonso Franco Hernández

Hace 4 años

Andres Camilo Brinez Nunez

Fernando Alberto Velasquez Aguilera

Oscar Jaramillo

Hace 5 años

Fco Castro

Mario Danilo Serna Proaño

Hace 2 meses

MARIA TERESA PANIAGUA RIVERA

Hace 2 años

Gerardo García Urtiaga

Junior Aguilera

Jean Nuñez

Valeria Calcina Cisneros

Luisa Carolina Osorio Restrepo

ALVARO RODRIGUEZ TAMEZ

Bienvenida y presentación general.

Análisis Forense en Sistemas Windows, Unix y Mac

Etapas del Proceso de Cómputo Forense

Identificación y Preservación en Computo Forense

Análisis y Presentación en Cómputo Forense

Etapa I: Identificación

Elementos Esenciales para la Investigación Forense Digital

Procedimiento de Cadena de Custodia en Investigaciones Forenses

Primer Respondiente en Informática Forense: Roles y Capacitación

Análisis de Imágenes Forenses y Cadena de Custodia

Etapa II: Preservación

Dispositivos de Bloqueo Contra Escritura: Uso y Función

Adquisición de Evidencia con FTK Imager en Informática Forense

Creación de Imágenes Forenses: Proceso y Verificación

Adquisición de Imágenes Forenses con Gaitán Software

Adquisición en Vivo de Memoria RAM para Análisis Forense

Creación de Imágenes Forenses en Linux con Paladín

Creación de Imágenes Forenses con DD y DC3DD en Linux

Adquisición de Imágenes Forenses en Linux con FTK Imager

Creación de Imágenes Forenses con Paladín en Dispositivos Apple

Creación de Imágenes Forenses en Mac con FTK Imager y Modo Target

Algoritmos de Funciones Hash y su Uso en Computación Forense

Adquisición de Imágenes Forenses: Herramientas y Técnicas

Verificación de Imágenes Forenses con Algoritmos Hash

Etapa III: Análisis de Evidencia Pt. 1

"Sistemas de Archivos en Windows: FAT, exFAT y NTFS"

Sistemas de Archivos en Linux y Mac: Funcionamiento y Características

Análisis y Exportación de Imágenes Forenses con FTK Imager

Creación y Gestión de Imágenes Forenses Personalizadas

Análisis Forense de Archivos de Registro en Windows

Análisis Forense de Imágenes de Sistema Operativo Linux

Elaboración de Informes Preliminares en Incidentes Informáticos

Creación de Imágenes Forenses Personalizadas

Elaboración de Informes Preliminares de Investigación

Etapa III: Análisis de Evidencia Pt. 2

Análisis de Archivos SAM con Regripper en Windows

Análisis de Archivos de Registro en Windows con Regripper

Análisis de Logs y Bitácoras en Windows para Monitoreo y Trazabilidad

Análisis Forense del Registro de Windows: Archivos NTUSER.DAT y ShellBags

Ubicaciones clave en el Registro de Windows para la investigación forense

Análisis de Archivos Prefetch en Windows para Investigación Forense

Funcionamiento y Recuperación de Archivos en la Papelera de Reciclaje Windows

Ampliación de Informes de Análisis Forense Digital

Etapa III: Análisis de Evidencia Pt. 3

Diferencias de Configuración y Uso entre Linux y Windows

Proceso de Inicio de Linux: BIOS, GRUB, Kernel e Init

Configuración de Usuarios y Archivos Clave en Linux

Análisis de Archivos de Registro en Sistemas Operativos Linux

Uso de Autopsy para Análisis Forense Automatizado

Ordenar información para informes efectivos

Etapa IV: Presentación.

Estructuración de Informes Ejecutivos en Investigaciones Forenses

Elaboración de Informes Técnicos en Computación Forense

Consejos para Presentar Informes en Procesos Legales

Cómo redactar informes efectivos y profesionales

Conclusiones Finales

Libros y Recursos Clave para la Investigación Digital

Creación de Imágenes Forenses con DD y DC3DD en Linux