Adquisición de Imágenes Forenses con Gaitán Software

¿Qué herramientas son clave para la investigación en cómputo forense?

Prepararse para ser investigador en cómputo forense requiere el dominio de múltiples herramientas y alternativas para abordar cualquier situación que se presente. Un conocimiento profundo de estas herramientas, y en especial de aquellas que son de libre acceso o de software libre, es fundamental. En esta ocasión, exploraremos dos herramientas esenciales: PTK y EnCase. Estas nos ofrecen la capacidad de crear imágenes de disco forense, indispensable en un análisis detallado.

¿Cómo descargar y utilizar EnCase?

Para comenzar, debes descargar EnCase desde el sitio web de Gaitán Software, la compañía desarrolladora de esta herramienta. EnCase funciona bajo un modelo de licenciamiento similar al de FTK, desarrollado por Access Data. Al descargar, tendrás que proporcionar algunos datos personales para obtener acceso a la versión gratuita, lo que les permite a ellos contactarte para ofertas de sus herramientas pagas.

Proceso de descarga

1. Visita la página de Gaitán Software.
2. Completa el formulario de solicitud.
3. Recibirás un correo electrónico con un enlace para descargar EnCase.

Consideraciones al instalar

Es importantísimo dominar el uso de herramientas independientemente del desarrollador porque muchas veces las diferencias radican en la estética, no en los principios fundamentales. En este curso nos centramos en herramientas gratuitas o de libre uso, preparando a los estudiantes para poder adaptarse y utilizar cualquier herramienta en el entorno forense sin depender de versiones pagas.

¿Cuál es la interfaz de EnCase y cómo agregar evidencia?

Una vez instalada EnCase, su interfaz te permitirá crear un caso y agregar evidencia. Aunque la estética puede diferir de otros programas, los principios básicos son los mismos.

Cómo crear y gestionar un caso

1. Crear un caso: Para nuestro ejemplo, hemos nombrado el caso "Platzi01".
2. Agregar evidencia: Puedes añadir evidencia desde fuentes diferentes, ya sea un dispositivo local, un disco mapeado en red o una imagen ya existente, utilizando diferentes formatos como RAW.

Parámetros y opciones

Cuando se trata de agregar evidencia, hay varios parámetros a considerar. Un aspecto a tener en cuenta es si el dispositivo está protegido contra escritura.

¿Cómo realizar la adquisición de imágenes?

Aquí se halla una de las funciones más esenciales dentro de EnCase, que es la adquisición de imágenes forenses.

Proceso de creación de imagen

1. Seleccionar dispositivo: Es importante elegir el dispositivo físico adecuado, y no solo una partición lógica. Esto asegura que obtienes la totalidad de la información necesaria.
2. Configurar adquisición: Introduce toda la información relevante del caso, como número de caso y número de evidencia.

Platzi01 - Número de caso

Ventajas y diferencias

Aunque el proceso es similar al de PTK, sí que hay diferencias significativas:

• EnCase no genera un informe automáticamente, lo cual es una ventaja que sí ofrece PTK.
• El tamaño de los bloques de información puede variar, siendo habitualmente alrededor de los dos GB por archivo.
• Asegúrate de tener todos los archivos en la misma carpeta para acceder al contenido de las imágenes.

Al finalizar, examina cómo estos pasos permiten realizar un análisis completo y detallado de cualquier disco duro. Con esta experiencia, te familiarizarás más con la herramienta, por lo que te alentamos a probarla en diferentes escenarios y casos de estudio.

Conocer estas herramientas, cómo descargar e implementar las imágenes, y cómo manejar la interfaz es un gran paso hacia el dominio del cómputo forense. Sigamos adelante, cada nuevo conocimiento y habilidad adquirida refuerza tu capacidad para enfrentar los desafíos del mundo forense.