Analisis Forense - Tema4

Análisis de las evidencias
[4.1] ¿Cómo estudiar este tema?
[4.2] Esquema de un análisis
[4.3] Archivos de interés en Windows
[4.4] Archivos de interés en Linux
[4.5] Archivos de interés en Mac OS
TEMA
Esquema
Esquema de Archivos de interés Archivos de interés Archivos de interés
TEMA 4 – Esquema
análisis en Windows en Linux en Mac OS
Pre-análisis
Registro de Partición de Paginación e
• Archivos y
volúmenes
Windows intercambio hibernación
cifrados
• Máquinas
virtuales
• Archivos Archivos de
Sudoers Logs
borrados eventos
• Hash
• Firmas
Paginación e Bash history / Archivos de

hibernación Logs contraseñas
Análisis
• Palabras clave
• Sistema
operativo
Tareas
• Componentes
de red programadas
Análisis Forense
Análisis Forense
Ideas clave
4.1. ¿Cómo estudiar este tema?
Para estudiar este tema lee los siguientes documentos, además de las Ideas clave:
Póster publicado por SANS sobre elementos de interés en Sistemas Operativos

Windows. Disponible en: https://digital-
forensics.sans.org/media/Poster_Windows_Forensics_2017_WEB.pdf
Presentación del experto Nicole Ibrahim para el SANS DFIR 2017 sobre eventos en
Sistemas Operativos Mac OS e iOS. Disponible en: https://www.sans.org/summit-
archives/file/summit-archive-1498158287.pdf
El artículo el titulado Basic Mac Forensics, publicado por la Universidad Purdue.

Disponible en: http://files.peelman.us/BasicMacForensics.pdf
El artículo Linux forensics (for non-Linux folks), publicado por Deer Run
Associates. Disponible en: http://www.deer-run.com/~hal/LinuxForensicsForNon-
LinuxFolks.pdf
The Law Enforcement and Forensic Examiner’s Introduction to Linux, una guía
muy útil sobre el análisis forense de equipos Linux. Disponible en:
http://linuxleo.com/Docs/linuxintro-LEFE-4.31.pdf
SIFT, o SANS Investigative Forensics Toolkit es un conjunto de herramientas

recopiladas por SANS para la realización de Análisis Forenses. Disponible en:
https://media.readthedocs.org/pdf/sift/latest/sift.pdf
En este último tema de la asignatura veremos cómo realizar el análisis forense

completo de un equipo informático.
Puesto que cada caso y sistema son únicos, en este tema se plantean las estrategias más
comunes que podemos utilizar en la mayoría de los escenarios con los que nos
encontraremos.
TEMA 4 – Ideas clave

Análisis Forense
Junto con dichas estrategias, también conoceremos algunos de los elementos más
importantes de cada Sistema Operativo. Estos elementos contendrán información muy
valiosa de cara al análisis y resolución del caso en que nos encontremos.
Los objetivos de este primer tema son:
Conocer el esquema global de un análisis forense y saber qué buscamos en cada

etapa de este.
Conocer algunas de las herramientas necesarias para realizar las tareas de un
análisis forense.
Conocer los archivos y carpetas más importantes a la hora de realizar un análisis en
un sistema Windows, Linux y Mac OS.
Por supuesto, tanto el esquema como las herramientas presentadas en este tema son
orientativas, pudiendo variar en función del caso concreto en que nos encontremos.
Los archivos más importantes de cada Sistema Operativo son aquellos donde siempre
vamos a poder encontrar información de interés. Ahora bien, estos no son los únicos
archivos a analizar puesto que deberemos tener en cuenta también aquellos elementos
que se encuentren directamente relacionados con la pericial.
4.2. Esquema de un análisis
En el anterior tema hemos visto como recolectar las evidencias que vamos a analizar,
tanto las volátiles como las no volátiles. Ahora, lo que vamos a plantear es el esquema
típico de un análisis de dichas evidencias.

Análisis Forense
Identificación de archivos
y volúme ne s cifrados
Por cada máquina virtual
¿Se NO
SI
¿Existen? pueden Documentar
descifrar?
NO SI
Ide ntificación de
De scrifrar
máquinas virtuales
SI
¿Existen?
NO
Re cuperación de
archivos borrados
Hash a los archivos

(descartar / se ñalar)
Ve rificación de firmas
Búsque da de
palabras clave
Análisis de l
sistema operativo
Análisis de los
componentes de red

Análisis Forense
En el esquema anterior podemos diferenciar dos fases:
Fase preanálisis Fase análisis
Fase en la que identificamos los archivos

Fase en la que realizamos búsquedas de
y volúmenes cifrados, las máquinas
las palabras clave que nos interesan,
virtuales, recuperamos los archivos
analizamos el sistema operativo (con
borrados, obtenemos el hash de todos
todo lo que ello incluye) y analizamos los
los archivos y realizamos una
componentes de red.
verificación de firmas de los mismos.
La primera de las fases, la fase de pre-análisis se puede hacer de manera casi

automática, pues en prácticamente todos los casos que nos encontremos se van a
realizar dichos pasos, mientras que la fase de análisis es específica para cada caso
concreto, pudiendo alterar algunos de los pasos que la componen o incluso eliminarlos.
Fase de pre-análisis
1. Identificación de archivos y volúmenes cifrados
En este paso, nuestra labor como analistas forenses consiste en descubrir los
archivos y volúmenes que pudieran encontrarse cifrados en el equipo.
Para ello podemos hacer uso de programas como Encryption Analyzer, de la empresa
Passware, que realiza una búsqueda de los archivos y volúmenes cifrados existentes en
el equipo, aunque también podemos realizar una búsqueda de archivos cifrados
conocidos, por sus cabeceras o sus extensiones.
Una vez tengamos los elementos que se encuentran cifrados en el equipo,

procederemos a descifrar los mismos con herramientas como Passware Kit
Forensics, de la misma empresa Passware, u otros programas específicos en función
del tipo de encriptación que se pretenda «romper».
Hay que tener en cuenta que no se van a poder descifrar todos los tipos de
cifrado existentes, por lo que en caso de encontrar un archivo que no se pudiera
descifrar y, por lo tanto, no se pudiera leer su contenido, pasaríamos a anotar tal
información en nuestro informe pericial con el fin de que quede constancia de dicho
extremo.

Análisis Forense
2. Identificación de las máquinas virtuales
Para identificar las máquinas virtuales que pudieran existir en el equipo, lo ideal es
comenzar por las aplicaciones instaladas en el mismo. Si el equipo tiene instalado el
software VMware, es lógico pensar que puede tener máquinas virtuales en dicho
formato, aunque esto no excluye la búsqueda de otro tipo de máquinas virtuales.
Los formatos más comunes de discos duros de máquinas virtuales son:
Extensión de
Tipo de máquina virtual
archivo
*.VMDK Formato abierto utilizado por VMware (desarrollador) y VirtualBox
Formato abierto(Bajo la especificación Microsoft Open Specification

*.VHD
Promise) utilizado por MS Virtual PC y MS Hyper-V
*.XVA Formato abierto utilizado por Citrix XEN
En caso de encontrarnos con el disco duro de una máquina virtual, al consistir en una
máquina similar a una real, procederemos a analizarla como si de una máquina distinta
se tratara, siendo necesario aplicar sobre ella los mismos pasos que se aplican para
analizar cualquier otro equipo.
3. Recuperación de archivos borrados
El tercer paso a realizar durante el pre-análisis será la recuperación de los archivos

borrados. Cuando se elimina un archivo sigue siendo posible la recuperación del
mismo. Para ello, primeramente utilizaremos programas como AccessData FTK, que
muestran los archivos marcados como borrados en el índice del sistema de ficheros y
posteriormente realizaremos una búsqueda en bruto de archivos borrados mediante
programas como Photorec o R-Studio, que realizan la búsqueda sobre el espacio libre
del dispositivo.

Análisis Forense
4. Hash de los archivos (Descartar/Señalar)
Una técnica muy importante dentro

del análisis forense es el filtrado
mediante hash. Este tipo de filtrado
consiste en obtener el hash de todos
los archivos a estudiar y comparar sus
valores con una base de datos de
archivos «malos» o «buenos», de
manera que podamos descartar los
archivos considerados como «buenos»
(archivos del sistema operativo o de
programas fiables) y nos podamos centrar en los «malos» o desconocidos.
Para ello, podemos emplear programas como Sorter, incluido en la suite forense
Autopsy, que nos permite agrupar por categorías (en este caso «malos» y «buenos») los
archivos de un dispositivo, o el propio AccessData FTK que permite importar distintas
Bases de Datos de hashes conocidos.
Junto con estos programas podemos hacer uso de las bases de datos disponibles en la
National Software Reference Library (http://www.nsrl.nist.gov/) para filtrar de forma
rápida los archivos objeto del análisis o ir creándonos nuestra propia base de datos de
hash conforme vallamos realizando casos.
Hay que tener muy en cuenta el algoritmo hash utilizado, puesto que si estamos
realizando una comparativa entre algoritmos hash diferentes nos será imposible
encontrar concordancia. Un ejemplo sería el tener en nuestra Base de Datos de hashes,
los hashes MD5 de archivo de interés e intentar compararlos con hashes SHA1.
5. Verificación de firmas
Lo que realmente indica de qué tipo es un fichero es su cabecera o firma, puesto

que la extensión puede ser fácilmente cambiada. Para comprobar si en los archivos que
vamos a analizar coincide lo que la extensión indica con el contenido del archivo es por
lo que se realiza la verificación de firmas.

Análisis Forense
Para la verificación de firmas podemos utilizar el ya mencionado AccessData FTK, el

cual, a partir de una base de datos de firmas de archivo, indica si en los archivos
analizados se corresponde o no la firma y la extensión.
La modificación de la extensión y/o la ruta con el objetivo de ocultar el verdadero

contenido de un archivo es una técnica muy rudimentaria de ocultación de
información, pero todavía bastante utilizada.
Fase de análisis
1. Búsqueda de palabras clave
En ocasiones nos podemos encontrar con análisis en los que es necesario obtener
documentos relacionados con determinadas palabras, por ejemplo, que
tengamos que obtener los documentos en los que se menciona a una determinada
persona. Para estos casos, realizaremos una búsqueda de palabras clave en las
evidencias recolectadas.
Este tipo de búsquedas es muy similar a la que podemos realizar con nuestro propio
sistema operativo, con la diferencia de que también se busca sobre los espacios libres
de la evidencia y en el interior de los archivos.
Para realizar la búsqueda podemos utilizar el mismo AccessData FTK, que permite
realizar búsquedas mediante palabras clave o mediante expresiones regulares las cuales
nos permiten definir patrones de búsqueda mucho más complejos que una simple
búsqueda literal.
Un ejemplo de expresión regular sería: «v[i!1][a@]gr[a@]» Esta expresión encontraría

los siguientes términos: «viagra», «vi@gra» y «v1agra» (entre otros), que son términos
muy comúnmente utilizados para el envío de SPAM.

Análisis Forense
2. Análisis del sistema operativo
Durante el análisis del sistema operativo tenemos que seguir una serie de pasos,
durante los cuales tenemos que intentar responder a las siguientes preguntas:
1. Nombre y versión del sistema operativo instalado, así como las

actualizaciones.
a. ¿Es una versión no oficial, o hay alguna actualización que no lo sea?
2. Usuarios del sistema y sus privilegios.

a. ¿Hay algún usuario anormal?
b. ¿Hay cuentas anónimas activas?
c. ¿Alguno de los usuarios es el propietario de algún archivo sospechoso?
3. Programas instalados.
a. ¿ Hay programas que permitan realizar el hecho investigado?
Ejemplo: Si estamos investigando la clonación de tarjetas, ¿hay algún
programa que permita su copia?
4. Antivirus instalados y análisis de seguridad

a. ¿Tiene instalado algún antivirus?
b. ¿Existe algún antivirus fake?
c. ¿Está infectado con algún virus el equipo? En tal caso, ¿dicho virus se
encuentra activo?
5. Análisis de los archivos de registro del sistema operativo.

a. ¿Sobre qué sucesos se guardan registros?
b. ¿Los archivos de registro han sido modificados?
6. Hardware configurado en el sistema.

a. ¿Qué hardware se encuentra configurado en el sistema?
b. ¿Qué dispositivos han sido conectados al mismo?
c. ¿Con el hardware configurado se ha podido realizar el incidente investigado?

Análisis Forense
Con el análisis de estos seis apartados tendremos una idea general de lo que se puede
o no hacer con el equipo. Además de que gracias a los archivos de registro analizados
(posteriormente se especifican los archivos interesantes al respecto) podremos obtener
información sobre las acciones realizadas sobre el equipo.
3. Análisis de los componentes de red
Al igual que durante el análisis del sistema operativo, durante el análisis de los
componentes de red tendremos que seguir una serie de pasos e intentar responder a
las siguientes preguntas:
1. Programas Peer to Peer (P2P), FTP u otros de compartición de ficheros.

a. ¿Qué programas de este tipo tenía instalados y configurados?
b. ¿Alguno de ellos tenía una configuración «extraña»?
c. ¿Qué archivos se han compartidos o descargado?
2. Correos electrónicos y mensajería instantánea

b. Listado de contactos.
c. ¿Qué archivos han sido enviados o recibidos mediante estos programas?
d. Listado de mensajes de correo, mensajería y llamadas VoIP.
3. Exploradores de Internet
b. ¿Qué páginas había visitado?
c. ¿Qué páginas tenía como favoritos?
d. Listado de las contraseñas almacenadas y certificados instalados.
e. Cookies y archivos temporales de la navegación
4. Otros programas con acceso a Internet

a. Dropbox, Google Drive, etc.
Cuando analicemos los correos electrónicos, los programas de mensajería instantánea o

cualquier otro programa que pueda albergar comunicaciones privadas entre personas,
debemos de tener cuidado de no incurrir en un delito contra el secreto de las
comunicaciones.

Análisis Forense
4.3. Archivos de interés en Windows
Como todos los sistemas operativos, Windows tiene una serie de archivos que nos van a
proporcionar una valiosa información a la hora de realizar un análisis del mismo.
Estos archivos son:
1 El registro de Windows
2 Los archivos de eventos
3 Los archivos de paginación e hibernación
Registro de Windows
Es una gran base de datos donde se almacena información sobre el propio
sistema operativo y los programas instalados. De él podemos obtener
información como: el histórico de dispositivos USB conectados, el hardware
configurado en el equipo, las redes Wifi a las que el equipo ha estado conectado, los
programas instalados, contraseñas de los usuarios, etc.
El registro de Windows está compuesto por varios archivos, los cuales, en Windows 7 y
8 son: «SAM», «SECURITY», «SOFTWARE» y «SYSTEM», ubicados en la ruta
«[WINDOWS INSTALL DIR]\System32\config\». Además del archivo
«NTUSER.DAT» ubicado en la carpeta personal de cada usuario. Estos archivos
pueden ser analizados fácilmente con la herramienta Windows Registry Recóvery de
MiTeC.
Archivos de eventos
Son archivos que almacenan los eventos ocurridos en el sistema operativo. En ellos
podemos encontrar eventos sobre los accesos de los usuarios al equipo, las
conexiones a la red, errores en la impresión de archivos, la creación de usuarios, etc.
Los archivos de eventos de Windows 7 y 8 se encuentran en la ruta «[WINDOWS

INSTALL DIR]\System32\winevt\» y tienen extensión *.EVTX (en versiones anteriores
de Windows la extensión es *.EVT). Estos archivos pueden ser analizados desde el
propio sistema operativo o con la herramienta Event Log Explorer de FSPro Labs.

Análisis Forense
Archivos de paginación e hibernación de Windows

Son archivos que contienen información que se encontraba previamente en la
memoria RAM, pero que por falta de espacio (archivo de paginación) o por entrar
el equipo en suspensión (archivo de hibernación), se han copiado al disco duro.
Estos archivos suelen estar ubicados en la raíz del dispositivo y en Windows 7 (y en

prácticamente todas las versiones de Windows) son los archivos «pagefile.sys» e
«hiberfile.sys», aunque no tienen por qué encontrarse en el dispositivo.
Sobre estos archivos podemos realizar el mismo tipo de análisis que sobre la memoria
RAM. Podemos realizar búsquedas de cadenas, recuperación de archivos, etc.
Además, también una serie de artefactos que también pueden resultar de mucho
interés, en función del caso objeto de análisis como son los relacionados con los
archivos descargados, programas ejecutados, los archivos abiertos y creados, etc.
En 2012, el Instituto SANS publicó un poster con la ubicación y forma de proceder ante
todos estos artefactos.
Este poster está disponible para su descarga en la siguiente dirección:

https://blogs.sans.org/computer-forensics/files/2012/06/SANS-Digital-Forensics-
and-Incident-Response-Poster-2012.pdf
4.4. Archivos de interés en Linux
Dentro de un sistema operativo tipo Linux, los archivos y carpetas de los que más
información podremos extraer son:
La partición de intercambio «swap», o archivos de intercambio añadidos al sistema

(archivos con extensión «.swap»). Similar al archivo de paginación en sistemas
Windows.
El archivo «/etc/sudoers», indica qué usuarios pueden ejecutar comandos como
administrador (mediante los comandos «su» o «sudo»).
El archivo «/etc/ passwd», contiene el listado de usuarios del sistema, el grupo a que
dichos usuarios pertenecen y su contraseña cifrada.

Análisis Forense
El archivo «.bash_history», el cual se encuentra en la carpeta del usuario y almacena

el historial de comandos ejecutados en la consola del equipo.
La carpeta «/var/log/», contiene toda la lista de archivos logs del sistema operativo.
Podemos ver que se escribe en cada uno de estos archivos leyendo el fichero de
configuración «/etc/rsyslog.conf».
La carpeta «/var/spool/cron/crontabs» en la cual se almacenan las tareas
programadas de cada uno de los usuarios del sistema.
El archivo «/etc/sudoers» es un archivo de gran interés ya que, si el sistema ha sufrido

algún tipo de ataque, suele alterarse este archivo para permitir que el usuario
comprometido pueda ejecutar comandos como si fuera un usuario root.
Por su parte, el archivo «/etc/ passwd» también es muy relevante en casos en los que el
sistema se haya visto comprometido, ya que de su análisis podremos obtener
información sobre posibles usuarios creados o usuarios que han cambiado de un grupo
sin privilegios a otro con mayores privilegios de acceso.
La estructura de las entradas del archivo «/etc/ passwd» es la que se puede observar en
la imagen anterior.
Como vemos, dicho archivo almacena el nombre de usuario, la contraseña cifrada, los
identificadores del usuario, una descripción del usuario, la ruta de su carpeta home y la
Shell del usuario.

Análisis Forense
4.5. Archivos de interés en Mac OS
Cuando tengamos que analizar un sistema operativo Mac OS (nos referimos al sistema
operativo de Mac para ordenadores portátiles o de sobremesa, no estamos hablando de
iOS, que es el sistema operativo del iPhone y del iPad) hay una serie de archivos y
carpetas con especial interés. Estos son:
Carpeta «/private/var/vm». Contiene los archivos «sleepimage» y «swapfile», similares

a los archivos de paginación e hibernación en sistemas Windows.
Carpeta «/private/var/log». Contiene los logs del sistema operativo. También es posible
encontrar ficheros de log (archivos con extensión *.log) en otras rutas, como la carpeta
«/Users/[username]/Library/Logs» que contiene los logs correspondientes al usuario.
Carpetas «/Library/», «/Users/[username]/Library/» y «/System/Library/».
Archivos con extension «*.plist». Son archivos en formato XML que almacenan
información similar a la contenida en el registro de un sistema Windows.
Carpetas «/private/var/db/shadow», «/Library/Keychains/» y
«/Network/Library/Keychains/». Contiene las contraseñas de acceso al equipo y las
guardadas por el usuario (redes Wifi, exploradores, etc.).
Los archivos plist, o archivos de lista de propiedades, son archivos que almacenan multitud
de información de interés sobre programas utilizados por el usuario y la configuración de
los mismos.
Este tipo de archivos está presente tanto en los equipos con sistemas operativos MacOS,
como en los terminales móviles con sistemas operativos iOS y pueden ser visualizados
directamente desde el propio sistema operativo del equipo, o bien haciendo uso de
herramientas de terceros como Plist Explorer o Plist Editor, ambos para sistemas
operativos Windows.

Análisis Forense
Lo + recomendado
Lecciones magistrales
Archivos de eventos en Windows
En esta lección magistral vamos a realizar el análisis de los archivos de eventos de los
sistemas operativos Windows.
La clase magistral está disponible en el aula virtual.
TEMA 4 – Lo + recomendado
Análisis Forense
No dejes de leer…
Computer Forensics Procedures and Methods
Este documento realiza un repaso general de los procedimientos y métodos utilizados

durante un análisis forense. Desde la captura de la evidencia, hasta los análisis más
concretos, como la búsqueda de palabras clave o las colas de impresión.
El artículo completo está disponible en el aula virtual o en la siguiente dirección web:

http://www.cyberace.org/Publications/craiger.forensics.methods.procedures.DRAFT.pdf
First Responders Guide to Computer Forensics
First Responders Guide To Computer Forensics, publicado por el CERT (Computer

Emergency Response Team) de la universidad de Carnegie Mellon, es un completo
manual explicativo de cómo afrontar un análisis forense en primera instancia.
El artículo completo está disponible en el aula virtual o en la siguiente dirección web:

https://resources.sei.cmu.edu/asset_files/Handbook/2005_002_001_14429.pdf
Análisis Forense
No dejes de ver
La práctica de la Informática Forense
Como peritos informáticos debemos saber utilizar una amplia variedad de

herramientas que nos permitan obtener la mayor cantidad de información posible de
un sistema. En esta OpenClass, se hace un recorrido por algunas de las más
importantes y conocidas, centrándose especialmente en las herramientas libres que
nos permitirán desarrollarnos como peritos desde el primer día.
Accede a la OpenClass a través del siguiente enlace:

https://www.youtube.com/watch?v=VKVu3_SLqwM
Análisis Forense
+ Información
Webgrafía
Las siguientes direcciones web te servirán para profundizar más en el tema:
SANS: Whitepapers (http://computer-forensics.sans.org/community/whitepapers)

National Institute of Justice. Topical Collection: Digital Forensics
(http://nij.ncjrs.gov/App/publications/Pub_search.aspx?searchtype=basic&categor
y=99&location=top&PSID=31)
The United States Department of Justice. Computer Crime & Intellectual Property
(http://www.justice.gov/criminal/cybercrime/)
Computer Forensics Tool Testing (http://www.cftt.nist.gov/)
Digital Forensic Research Workshop, DFRWS (http://www.dfrws.org/)
Bibliografía
Altheide, C. y Carvey, H. (2011). Computer forensics with Open Source tools. Syngress.
Brown, C. L. T. (2010). Computer evidence. Collection and preservation. Boston:

Course Technology PTR.
Jones, K., Bejtlich, R. y Rose, C. (2005). Real Digital Forensics: Computer Security
and Incident Response. Addison-Wesley Educational Publishers Inc.
TEMA 4 – + Información
Análisis Forense
Actividades
Trabajo: Análisis Forense de un equipo Windows 10
Descripción y pautas de la actividad
Como perito, recibimos un archivo .ZIP que contiene los siguientes archivos:
Config.ad1 y Config.ad1.txt
Users.ad1 y Users.ad1.txt
Winevt.ad1 y Winevt.ad1.txt
Directory Listing.csv
Los archivos con extensión .ad1 son imágenes lógicas de las carpetas:
«Windows\System32\Config», «Users\» y «Windows\System32\Winevt»
respectivamente, mientras que el archivo “Directory Listing.csv” es un listado completo
de los archivos y carpetas del equipo.
El motivo por el cual no recibimos una imagen forense de todo el contenido del disco
duro del equipo es porque el juez únicamente ha autorizado el análisis de los
componentes facilitados, por lo que debemos de basar todo el estudio únicamente en
los archivos que nos han facilitado.
Para realizar la práctica hay que responder a las preguntas planteadas en la plantilla
que adjuntamos en la siguiente página) contestando simplemente a lo que se le
pregunta.
Nota: Cualquier hora que indique, debe ir acompañada de la zona horaria en la que se
encuentra.
Objetivos
El objetivo de esta actividad es realizar el análisis forense de los elementos más

importantes de un Sistema Operativo Windows.
TEMA 4 – Actividades
Análisis Forense
¿Cuál es el hash SHA1 del archivo .ZIP facilitado?
¿En qué fecha se instaló el Sistema Operativo Windows 10?
¿Qué usuarios han iniciado sesión en el equipo? y ¿Cuál ha sido la fecha (y hora) de
último acceso de estos usuarios?
 Nombre del usuario: xx
 Fecha y hora de inicio de sesión: xx

 Fecha y hora de inicio de sesión: xx
Se sospecha que uno de los usuarios del sistema modificó su cuenta para obtener
privilegios de administración. Analizando los registros de eventos indique: ¿Qué
usuario fue? y ¿En qué fecha y hora realizó dicha modificación’
 Fecha y hora de la modificación: xx
Analizando los registros de eventos, indique: Los encendidos y apagados del sistema y
los inicios y cierres de sesión de los usuarios
 Fecha y hora: xx/xx/xxxx xx:xx
 Tipo de evento: Encendido / Apagado / Inicio de sesión / Cierre de sesión
 Usuario: Que ha iniciado o cerrado la sesión


Análisis Forense
Analizando los registros de eventos, responda a las siguientes preguntas sobre los
posibles cambios en la fecha y hora del sistema.
 Se ha realizado algún cambio en la fecha y hora del sistema:
 ¿Qué usuario ha realizado dicho cambio?:
 ¿Qué fecha y hora era originalmente?:
 ¿Qué nueva fecha y hora se indicó?:
 ¿Se revirtió el sistema a la fecha y hora real?:
Se sospecha que en el sistema se descargó e instaló un software para el registro de las

teclas pulsadas (keylogger). Analizando las evidencias facilitadas, indique: ¿Qué
usuario descargó e instaló el software?, ¿En qué fecha y hora descargó e instaló el
mismo? y ¿Llegó dicho software a ejecutarse y a registrar algún tipo de información?
 Nombre del usuario:
 Fecha y hora de la descarga:
 Fecha y hora de la instalación:
 Llegó dicho software a registrar algún tipo de información:
 ¿Qué registro información registró?:
El sistema disponía del navegador Internet Explorer y Microsoft Edge. Aun así, se
sospecha que uno de los usuarios instaló un navegador web alternativo. Analizando las
evidencias facilitadas: ¿Qué navegador alternativo se instaló?, ¿Qué usuario instaló
dicho navegador? Por último, obtenga el historial de navegación del navegador y
adjúntelo.
Análisis Forense
Test
1. La identificación de volúmenes cifrados, ¿a qué fase del análisis pertenece?

A. Durante el análisis no se identifican los volúmenes cifrados.
B. Al post-análisis.
C. A la fase de análisis.
D. A la fase de pre-análisis.
2. ¿Cuál es el objetivo de realizar un hash a los archivos contenidos en la evidencia?

A. Comprobar si en los archivos que vamos a analizar coincide lo que la extensión
indica con el contenido del archivo.
B. Filtrar los archivos a analizar, pudiendo categorizarlos en «malos» y
«buenos».
C. Es contraproducente la realización de un hash a los archivos contenidos en la
evidencia.
D. Ninguna de las anteriores es correcta.
3. Respecto a la búsqueda de palabras clave:

A. En ocasiones nos podemos encontrar con análisis en los que es necesario
obtener documentos relacionados con determinadas palabras.
B. Es una tarea perteneciente a la fase de pre-análisis.
C. No se usa para buscar documentos en los que se mencione a personas.
D. Es una tarea perteneciente a la fase de post-análisis.
4. Respecto de la identificación de las máquinas virtuales:

A. Si nos encontramos con un disco duro virtual, procederemos a analizarlo como
si de una máquina distinta se tratara.
B. No es necesario identificar las máquinas virtuales.
C. Es una tarea perteneciente a la etapa de «análisis».
D. Ninguna de las anteriores son correctas.
TEMA 4 – Test
Análisis Forense
5. Durante el análisis del sistema operativo:

A. Tenemos que responder a preguntas como: ¿es una versión no oficial o hay
alguna actualización que no lo sea?
B. Se realiza un análisis de seguridad para determinar si el equipo se encuentra
infectado por algún virus.
C. Obtenemos los dispositivos que han sido conectados al equipo.
D. Todas las respuestas son correctas.
6. Durante el análisis de los componentes de red:

A. Obtenemos la lista de programas que permitan realizar el hecho que se está
investigando.
B. Los componentes de red no se analizan.
C. Obtenemos la lista de páginas web visitadas por el usuario.
7. Referido a los archivos de interés en Windows:

A. Son los mismos que en Linux y MacOS.
B. Los más importantes son «el registro de Windows», «los archivos de eventos»
y «los archivos de paginación e hibernación».
C. No proporcionan apenas información de interés.
D. Son los mismos que en MacOS.
8. El registro de Windows:
A. Es uno de los archivos de interés del sitema operativo Windows.
B. Es una gran base de datos donde se almacena información.
C. Las respuestas A y B son correctas.
D. Windows no dispone de registro.
9. Los archivos de interés en Linux:

A. Son los mismos que los de Windows.
B. Son los mismos que los de Windows y MacOS.
C. La partición de intercambio «swap» no es uno de ellos.
TEMA 4 – Test
Análisis Forense
10. Los archivos de interés en MacOS:

A. La carpeta «/private/var/vm» contiene los archivos «sleepimage» y
«swapfile», similares a los archivos de paginación e hibernación en sistemas
Windows.
B. Son los mismos que los de Windows.
C. MacOS no almacena archivos de logs.
D. No contienen información sobre las contraseñas almacenadas por los usuarios.
TEMA 4 – Test

Analisis Forense - Tema4

Caricato da

Informazioni sul documento

Descrizione originale:

Titolo originale

Copyright

Formati disponibili

Condividi questo documento

Condividi o incorpora il documento

Opzioni di condivisione

Hai trovato utile questo documento?

Questo contenuto è inappropriato?

Copyright:

Formati disponibili

Analisis Forense - Tema4

Caricato da

Copyright:

Formati disponibili

Análisis de las evidencias

[4.1] ¿Cómo estudiar este tema?

[4.2] Esquema de un análisis

[4.3] Archivos de interés en Windows

[4.4] Archivos de interés en Linux

[4.5] Archivos de interés en Mac OS

Esquema de Archivos de interés Archivos de interés Archivos de interés

Paginación e Bash history / Archivos de

4.1. ¿Cómo estudiar este tema?

Póster publicado por SANS sobre elementos de interés en Sistemas Operativos

El artículo el titulado Basic Mac Forensics, publicado por la Universidad Purdue.

SIFT, o SANS Investigative Forensics Toolkit es un conjunto de herramientas

En este último tema de la asignatura veremos cómo realizar el análisis forense

TEMA 4 – Ideas clave

Los objetivos de este primer tema son:

Conocer el esquema global de un análisis forense y saber qué buscamos en cada

4.2. Esquema de un análisis

TEMA 4 – Ideas clave

Hash a los archivos

TEMA 4 – Ideas clave

En el esquema anterior podemos diferenciar dos fases:

Fase preanálisis Fase análisis

Fase en la que identificamos los archivos

La primera de las fases, la fase de pre-análisis se puede hacer de manera casi

1. Identificación de archivos y volúmenes cifrados

Una vez tengamos los elementos que se encuentran cifrados en el equipo,

TEMA 4 – Ideas clave

2. Identificación de las máquinas virtuales

Los formatos más comunes de discos duros de máquinas virtuales son:

*.VMDK Formato abierto utilizado por VMware (desarrollador) y VirtualBox

Formato abierto(Bajo la especificación Microsoft Open Specification

*.XVA Formato abierto utilizado por Citrix XEN

3. Recuperación de archivos borrados

El tercer paso a realizar durante el pre-análisis será la recuperación de los archivos

TEMA 4 – Ideas clave

4. Hash de los archivos (Descartar/Señalar)

Una técnica muy importante dentro

Lo que realmente indica de qué tipo es un fichero es su cabecera o firma, puesto

TEMA 4 – Ideas clave

Para la verificación de firmas podemos utilizar el ya mencionado AccessData FTK, el

La modificación de la extensión y/o la ruta con el objetivo de ocultar el verdadero

1. Búsqueda de palabras clave

Un ejemplo de expresión regular sería: «v[i!1][a@]gr[a@]» Esta expresión encontraría

TEMA 4 – Ideas clave

2. Análisis del sistema operativo

1. Nombre y versión del sistema operativo instalado, así como las

2. Usuarios del sistema y sus privilegios.

4. Antivirus instalados y análisis de seguridad

5. Análisis de los archivos de registro del sistema operativo.

6. Hardware configurado en el sistema.

TEMA 4 – Ideas clave

3. Análisis de los componentes de red

1. Programas Peer to Peer (P2P), FTP u otros de compartición de ficheros.

2. Correos electrónicos y mensajería instantánea

4. Otros programas con acceso a Internet

Cuando analicemos los correos electrónicos, los programas de mensajería instantánea o

TEMA 4 – Ideas clave

4.3. Archivos de interés en Windows

2 Los archivos de eventos

3 Los archivos de paginación e hibernación

Los archivos de eventos de Windows 7 y 8 se encuentran en la ruta «[WINDOWS

TEMA 4 – Ideas clave