Creación de Imágenes Forenses Personalizadas

Clase 29 de 49 • Curso de Informática Forense

A partir de tu plan de trabajo y los objetivos que se hayan determinado para tu investigación, en este punto ya deberías tener información, documentos o contenido dentro de tus imágenes forenses que sabes que será prioritario, o que deberás copiarlo a alguien más para un análisis más exhaustivo.

Para este reto, lo que debes hacer es crear imágenes de contenido personalizado con esta información prioritaria. Durante el proceso de análisis estaremos repitiendo este proceso varias veces, por lo que es importante que estés familiarizado con él. Recuerda publicar tus resultados, dudas o dificultades con las que te encuentres en la sección de comentarios. Allí estaremos discutiendo acerca de la necesidad de este proceso, y la forma más eficiente de hacerlo.

Jose Aaron Chavez Soto

student•

Estos fueron mis resultados de la Imagen con Contenido Personalizado que realicé: La hice a partir de una imagen forense Linux con el sistema de archivos Ext4 y en ella agregué los archivos hostname, passwd, shadow y resolv.conf , todos estos archivos ubicados en la carpeta /etc/ tal como se demuestra en la imagen de abajo:

Archivos que formarán parte de la Imagen con Contenido Personalizado:

Al finalizar el proceso, se realiza la verificación de los HASH como se aprecia en la imagen, generando un archivo con el formato .AD1

Al finalizar nos muestra un resumen con los datos asociados a la Imagen con Contenido Personalizado:

Todo salió bien y sin dificultades.

Jose Aaron Chavez Soto

student•

Encontré además una funcionalidad que me pareció muy importante, y es que al momento de realizar las Imágenes con Contenido Personalizado se pueden usar los comodines '*' y '?', de tal forma que aquellos archivos que se ajusten a sus criterios exactos, serán incluidos en dicha imagen.

Esto que comento viene especificado en la Guía de Usuario del FTK-Imager, anexo imagen:

Probé esa opción y obtuve buenos resultados, ya que ahorra mucho tiempo y evita estar agregando archivo por archivo, comparto los screenshots, mi criterio de búsqueda fue todos los archivos con extensión PDF en todas las carpetas y subcarpetas:

Yesseit Gerardo Linares Avila

student•

Gracias :D

Brandon Nicolas Morales

student•

super! Gracias.

Victor Noguera

student•

Estoy trabajando con un disco que tiene informaciòn de alta relevancia para el cliente, asociada a una filtraciòn de datos pero el disco presenta fallas en algunos segmentos. Que me recomiendan para abordar el posible daño fisico del disco y poder continuar con el analisis?.

Juan Pablo Caro

teacher•

En general los errores en segmentos de disco son difíciles de recuperar (por no decir imposibles). Lo que más me funciona a mí en esos casos, cuando es un disco que no se puede leer fácilmente, es usar bloqueo por hardware en lugar de software, y sacar una imagen forense completa, porque el sistema operativo puede bloquearse mientras intenta leer esos sectores defectuosos.

Marcelo Elvio Gracia

student•

KELLY JOHANNA TOLEDO ARTUNDUAGA

student•

A parte de FTK Imager que otra herramienta gratuita puedo usar para calcular el has a un archivo?

Luis Alberto Anaya lentino

student•

obtener imágenes forenses, primero tomamos la imagen de nuestro propio flash. Agregué la imagen que recibimos a una nueva carpeta. La adquisición de imágenes está completa. En el lateral podemos ver los valores hash de nuestra imagen.

Luis Alberto Anaya lentino

student•

Luis Alberto Anaya lentino

student•

MARIA TERESA PANIAGUA RIVERA

student•

Gracias

Diana Sisley Reinoso Caicedo

student•

Cordial saludo, Para este ejercicio utilicé la carpeta de apoyo de recursos. Elegí 3 imagenes: SAM, SECURITY y SYSTEM. Se utilizó FTK imager. Allí observé el contenido de las tres imágenes y procedí hacer una nueva con esta información.Muy últil esta opción para generar la una sóla imagen para análisis, simplifica el procedimiento. Gtacias.

Diana Sisley Reinoso Caicedo

student•

Hecho!

Eliana Del Mar Velasquez Rodriguez

student•

Realicé una imagen a partir de un imagen de linux forense que es utilizada en CTF con temática de informática forense para la recopilación de evidencia en un caso planteado.

Agregué unas carpetas con contenido catalogado como evidencia, archivos del sistema de linux, passwd, shadow y hostname.

Hans Dagoberto Parra Ruiz

student•

Realizado y finalizado todo bien con la imagen forense

Rodolfo Peña

student•

Finalizado.

Vittorio L

student•

Oscar Jaramillo

student•

Listo

Jairo Tinjacá

student•

Y que puede pasar con una memoria extraible?

Diego Forero

Team Platzi•

Puedes explicar mejor tu pregunta para darte una mejor respuesta.

Jairo Tinjacá

student•

De una memoria USB cuando la conectamos y aparece como extraible. si se pueden recuperar archivos?

Rodrigo Melara

student•

Hecho y sin dudas por el momento. :)

Andrés Álvarez

student•

Hecho!

KELLY JOHANNA TOLEDO ARTUNDUAGA

student•

A parte de FTK Imager, qué otra herramienta gratuita puedo usar para calcular el hash a un archivo?

Creación de Imágenes Forenses Personalizadas

Bienvenida y presentación general.

Análisis Forense en Sistemas Windows, Unix y Mac

Etapas del Proceso de Cómputo Forense

Identificación y Preservación en Computo Forense

Análisis y Presentación en Cómputo Forense

Etapa I: Identificación

Elementos Esenciales para la Investigación Forense Digital

Procedimiento de Cadena de Custodia en Investigaciones Forenses

Primer Respondiente en Informática Forense: Roles y Capacitación

Análisis de Imágenes Forenses y Cadena de Custodia

Etapa II: Preservación

Dispositivos de Bloqueo Contra Escritura: Uso y Función

Adquisición de Evidencia con FTK Imager en Informática Forense

Creación de Imágenes Forenses: Proceso y Verificación

Adquisición de Imágenes Forenses con Gaitán Software

Adquisición en Vivo de Memoria RAM para Análisis Forense

Creación de Imágenes Forenses en Linux con Paladín

Creación de Imágenes Forenses con DD y DC3DD en Linux

Adquisición de Imágenes Forenses en Linux con FTK Imager

Creación de Imágenes Forenses con Paladín en Dispositivos Apple

Creación de Imágenes Forenses en Mac con FTK Imager y Modo Target

Algoritmos de Funciones Hash y su Uso en Computación Forense

Adquisición de Imágenes Forenses: Herramientas y Técnicas

Verificación de Imágenes Forenses con Algoritmos Hash

Etapa III: Análisis de Evidencia Pt. 1

"Sistemas de Archivos en Windows: FAT, exFAT y NTFS"

Sistemas de Archivos en Linux y Mac: Funcionamiento y Características

Análisis y Exportación de Imágenes Forenses con FTK Imager

Creación y Gestión de Imágenes Forenses Personalizadas

Análisis Forense de Archivos de Registro en Windows

Análisis Forense de Imágenes de Sistema Operativo Linux

Elaboración de Informes Preliminares en Incidentes Informáticos

Creación de Imágenes Forenses Personalizadas

Elaboración de Informes Preliminares de Investigación

Etapa III: Análisis de Evidencia Pt. 2

Análisis de Archivos SAM con Regripper en Windows

Análisis de Archivos de Registro en Windows con Regripper

Análisis de Logs y Bitácoras en Windows para Monitoreo y Trazabilidad

Análisis Forense del Registro de Windows: Archivos NTUSER.DAT y ShellBags

Ubicaciones clave en el Registro de Windows para la investigación forense

Análisis de Archivos Prefetch en Windows para Investigación Forense

Funcionamiento y Recuperación de Archivos en la Papelera de Reciclaje Windows

Ampliación de Informes de Análisis Forense Digital

Etapa III: Análisis de Evidencia Pt. 3

Diferencias de Configuración y Uso entre Linux y Windows

Proceso de Inicio de Linux: BIOS, GRUB, Kernel e Init

Configuración de Usuarios y Archivos Clave en Linux

Análisis de Archivos de Registro en Sistemas Operativos Linux

Uso de Autopsy para Análisis Forense Automatizado

Ordenar información para informes efectivos

Etapa IV: Presentación.

Estructuración de Informes Ejecutivos en Investigaciones Forenses

Elaboración de Informes Técnicos en Computación Forense

Consejos para Presentar Informes en Procesos Legales

Cómo redactar informes efectivos y profesionales

Conclusiones Finales

Libros y Recursos Clave para la Investigación Digital