Autopsy Guía Completa Herramienta Forense Windows
Autopsy Guía Completa Herramienta Forense Windows

Autopsy: Guía Completa para Análisis Forense (Windows)

Autopsy es una herramienta de código abierto que se utiliza para realizar operaciones forenses en la imagen de disco de las evidencias. Aquí se muestra la investigación forense que se realiza sobre la imagen de disco. Los resultados obtenidos aquí son de ayuda para investigar y localizar información relevante. Esta herramienta es utilizada por las fuerzas del orden, la policía local y también se puede utilizar en las empresas para investigar las pruebas encontradas en un delito informático. También se puede utilizar para recuperar información que ha sido borrada.

Así que, ¡comencemos! Descarga la herramienta Autopsy desde el enlace de abajo.

Creación de un nuevo caso

Ejecuta la herramienta de Autopsia en tu sistema operativo Windows y haz clic en “New Case” (“Nuevo Caso“) para crear un nuevo caso.

Crear nuevo caso en Autopsy
Crear nuevo caso en Autopsy

A continuación, rellena toda la información necesaria del caso, como el nombre del mismo, y elige un directorio base para guardar todos los datos del caso en un solo lugar.

Información de caso
Información de caso

También puedes añadir información adicional opcional sobre el caso si es necesario.

Información opcional adicional
Información opcional adicional

Ahora vamos a añadir el tipo de fuente de datos. Hay varios tipos para elegir.

  • Disk Image or VM file: Esto incluye el archivo de imagen que puede ser una copia exacta de un disco duro, una tarjeta multimedia o incluso una máquina virtual.
  • Local Disk: Esta opción incluye dispositivos como discos duros, pen drives, tarjetas de memoria, etc.
  • Logical Files: Incluye la imagen de cualquier carpeta o archivo local.
  • Unallocated Space Image File: Incluyen archivos que no contienen ningún sistema de archivos y se ejecutan con la ayuda del módulo Ingest.
  • Autopsy Logical Imager Results: Incluyen la fuente de datos de la ejecución del generador de imágenes lógicas.
  • XRY Text Export: Incluyen la fuente de datos de la exportación de archivos de texto desde XRY.
Tipos de Fuente de datos
Tipos de Fuente de datos

Ahora vamos a añadir la fuente de datos. Aquí elegiré una fuente externa dispositivo USB), así que añadiremos la ubicación de ese dispositivo.

Analizar unidad USB
Analizar unidad USB

A continuación, se te pedirá que configures el módulo Ingest.

Configurar módulo Ingest

El contenido del módulo Ingest se encuentra en la siguiente lista:

Módulo IngestDescripción
Recent ActivitySe utiliza para descubrir las operaciones recientes que se realizaron en el disco, como los archivos que se vieron recientemente.
Hash LookupSe utiliza para identificar un archivo concreto mediante su valor hash.
File Type IdentificationSe utiliza para identificar los archivos basándose en sus firmas internas y no sólo en las extensiones de los archivos.
Extension Mismatch DetectorSe utiliza para identificar los archivos cuyas extensiones han sido manipuladas o han sido modificadas para ocultar las pruebas.
Embedded File ExtractorSe utiliza para extraer archivos incrustados como .zip, .rar, etc. y utilizar esos archivos para su análisis.
Keyword SearchSe utiliza para buscar una palabra clave concreta o un patrón en el archivo de imagen.
Email ParserSe utiliza para extraer información de los archivos de correo electrónico si el disco contiene alguna información de la base de datos de correo electrónico.
Encryption DetectionEsto ayuda a detectar e identificar los archivos encriptados protegidos por contraseña.
Interesting File IdentifierMediante esta función, el examinador recibe una notificación cuando los resultados corresponden al conjunto de reglas definidas para identificar un tipo de archivo concreto.
Central RepositoryGuarda las propiedades en el repositorio central para su posterior correlación.
PhotoRec CarverEsto ayuda al examinador a recuperar archivos, fotos, etc. del espacio no asignado en el disco de imagen.
Virtual Machine ExtractorAyuda a extraer y analizar si se encuentra alguna máquina virtual en la imagen de disco.
Data Source IntegrityAyuda a calcular el valor hash y a almacenarlo en la base de datos.
Detalles del Módulo Ingest

La información de la fuente de datos (Data Source) muestra los metadatos básicos. Su análisis detallado se muestra en la parte inferior. Se puede extraer uno tras otro.

Información de Data Source
Información de Data Source

Vistas

File Type (Tipo de archivo): Se puede clasificar en forma de extensión de archivo o tipo MIME.

Proporciona información sobre las extensiones de archivo que suelen ser utilizadas por el sistema operativo, mientras que los tipos MIME son utilizados por el navegador para decidir qué datos representar. También muestra los archivos eliminados.

Nota

Estos tipos de archivo se pueden clasificar en función de la extensión (Extension), los documentos (Documents) y los ejecutables (Executables).

Sección File Types
Sección File Types

Por extensión

En la categoría Tipos de archivo por extensión (By Extension), puedes ver que se ha subdividido en tipos de archivo como imágenes, vídeo, audio, archivos, bases de datos, etc.

Vamos a hacer clic en las imágenes y explorar las imágenes que se han recuperado.

Filtros By Extension
Filtros By Extension

También podemos ver la miniatura de las imágenes.

Ver miniatura de imágenes
Ver miniatura de imágenes

Al ver la miniatura, se pueden ver los metadatos del archivo y los detalles de la imagen.

Metadatos y detalles de Imagen
Metadatos y detalles de Imagen

Aquí también podemos ver algunos archivos del tipo “Archives” que se han recuperado. Podemos extraer estos archivos del sistema y visualizarlos utilizando varios programas.

Extraer archivos recuperados
Extraer archivos recuperados

Documentos

Los documentos se clasifican en 5 tipos: HTML, Office, PDF, Texto sin formato (Plain Text) y Texto enriquecido (Rich Text).

Al explorar la opción de documentos, puedes ver todos los documentos PDF presentes, puedes hacer clic en los importantes para verlos.

Al explorar la opción de PDF, también puedes encontrar el PDF importante en la imagen del disco.

Tipos de documentos
Tipos de documentos

Del mismo modo, los diversos archivos de texto plano también se puede ver. También puedes recuperar los archivos de texto plano eliminados.

Recuperar archivos en texto plano
Recuperar archivos en texto plano

Ejecutables

Estos tipos de archivos se subdividen en .exe, .dll, .bat, .cmd y .com.

Tipos de archivos ejecutables
Tipos de archivos ejecutables

Por tipo MIME

En este tipo de categoría, hay cuatro subcategorías como aplicación, audio, imagen y texto. Estas se dividen a su vez en más secciones y tipos de archivo.

Tipo de archivos MIME
Tipo de archivos MIME

Archivos eliminados

(Deleted Files) Muestra información sobre el archivo eliminado que luego se puede recuperar.

Recuperar archivos eliminados
Recuperar archivos eliminados

Archivos de tamaño MB

(MB Size Files) En esta sección, los archivos se clasifican en función de su tamaño, a partir de 50 MB. Esto permite al examinador buscar archivos de gran tamaño.

Clasificar archivos por tamaño
Clasificar archivos por tamaño

Resultados

En esta sección, obtenemos información sobre el contenido que fue extraído.

Contenido extraído

(Extracted Content) Todo el contenido que fue extraído, es segregado en detalle. Aquí hemos encontrado metadatos, papelera de reciclaje y descargas web. Veamos más a fondo cada uno de ellos.

Sección Extracted Content
Sección Extracted Content

Metadatos (Metadata): Aquí podemos ver toda la información sobre los archivos como la fecha de creación, de modificación, el propietario del archivo, etc.

Sección Metadata
Sección Metadata

Descargas Web (Web Downloads): Aquí se pueden ver los archivos que fueron descargados de internet.

Sección Web Downloads
Sección Web Downloads

Palabras clave

(Keyword Hits) Aquí se puede buscar cualquier palabra clave específica en la imagen de disco. La búsqueda se puede realizar con respecto a la coincidencia exacta, coincidencias de subcadena, correos electrónicos, palabras literales, expresiones regulares, etc.

Sección Keyword Hits
Sección Keyword Hits

Puedes ver las direcciones de correo electrónico disponibles.

Filtro por correo electrónico
Filtro por correo electrónico

Se puede optar por exportar a un formato CSV.

Exportar en formato CSV
Exportar en formato CSV

Línea de tiempo (Timeline)

Mediante esta función puedes obtener información sobre el uso del sistema en forma de estadística (statistical), detallado (detailed) o lista (list).

Timeline en formato estadística
Timeline en formato estadística
Timeline formato detallado
Timeline formato detallado
Timeline en formato lista
Timeline en formato lista

Descubrimiento (Discovery)

Esta opción permite encontrar medios utilizando diferentes filtros que están presentes en la imagen de disco.

Descubrir medios por filtro
Descubrir medios por filtro

Según las opciones seleccionadas, se pueden obtener los resultados deseados.

Resultado de filtros
Resultado de filtros

Imágenes/Vídeos

Esta opción permite encontrar imágenes y vídeos a través de varias opciones y múltiples categorías.

Resultado de imágenes y vídeos
Resultado de imágenes y vídeos

Añadir etiqueta de archivo

El etiquetado se puede utilizar para crear marcadores, seguimiento, marcar como cualquier elemento notable, etc.

Etiquetado de archivos
Etiquetado de archivos

Ahora cuando veas las opciones de etiquetas, verás que los archivos fueron etiquetados de acuerdo a varias categorías.

Filtros por etiquetas
Filtros por etiquetas

Generar Informe

Una vez terminada la investigación, el examinador puede generar el informe en varios formatos según su preferencia.

Generar informe

Comprueba la fuente de datos cuyo informe debe generarse.

Informe de fuente de datos
Informe de fuente de datos

Aquí elegimos crear el informe en formato HTML.

Informe generado en HTML
Informe generado en HTML

Muy bien. ¡Tu Informe Forense con Autopsy está listo!

Informe forense con Autopsy
Informe forense con Autopsy

Autopsy es una herramienta forense digital de código abierto desarrollada por Basis Technology, lanzada por primera vez en 2000. Es una herramienta de uso gratuito y bastante eficiente para la investigación del disco duro con características como casos de múltiples usuarios, análisis de línea de tiempo, análisis de registro, búsqueda de palabras clave, análisis de correo electrónico, reproducción de medios, análisis EXIF, detección de archivos maliciosos y mucho más.

Esta publicación está inspirada en Vishva Vaghela, una entusiasta de la Forense Digital que disfruta escribiendo contenido técnico.

My Cart Close (×)

Tu carrito está vacío
Ver tienda