forensia en windows

FORENSIA EN SISTEMAS OPERATIVOS

Qu necesitaremos?

Sistema Operativo Windows (Xp, Vista, 7 u 8).

Pendrive o disco de cualquier tamao (Dependiendo del tamao durar ms tiempo el

trabajo de las imgenes).

Programa AccessData FTK Imager (Para creacin de imgenes de discos, montado de las mismas y revisin de data tanto visual como hexadecimal).

Programa PC Inspector File Recovery (Para recuperacin de datos borrados dentro del disco).

Programa Remo Drive Wipe (Para realizar wipe de un disco).

Practica De Forensia en Sistemas Windows

Cmo generar una imagen de un dispositivo?

Utilizando la herramienta AccessData FTK Imager se generan imgenes de

dispositivos que se encuentran conectados en el equipo.

Pasos para utilizar AccessData FTK Imager

Para realizar una Imagen se debe seleccionar las siguientes opciones

1)


Una vez seleccionada esta opcin se desplegara la siguiente ventana en nuestro caso

seleccionaremos la opcin Physical Drive ya que tenemos un pendrive conectado al CPU

clickeamos la opcin next.

2)


Seleccionamos el dispositivo que queremos hacerle la imagen en mi caso es el SanDisk Cruiser

Edge USB de 4 gb y presionamos la tecla finish.

3)


Aparecer una ventana como la que se muestra a continuacin en esta pantalla hay que

verificar que este seleccionada la opcin de verificar las imgenes y seleccionamos la opcin

add

4)


Se abre una ventana nueva con 4 opciones se selecciona la primera que es la predeterminada.

5)


5)

Se coloca la informacin de identificacin de la evidencia y damos click en next.


6)

Seleccionamos la carpeta de destino de la imagen que vamos a crear y colocamos el nombre de

la imagen igualmente en la seccin image fragment size le colocamos el tamao del disco que

estamos crendole la imagen y por ultimo damos click a finish y luego a start.


7)

Se crea la imagen dentro de la carpeta especificada y el nombre que indicamos una vez

finalizada la barra de progreso se podr ver la imagen en la ruta.

Cmo Agregar elementos a evidencia?

Otra de las ventajas de la herramienta AccessData FTK Imager es poder

montar las imgenes que se generan y poder revisar que tipo de data

existe o existi en el dispositivo.


Para agregar un elemento a un caso se utiliza la opcin Add Evidence Item


Como ya hemos creado la imagen lo que debemos hacer es seleccionar Image File y luego

seleccionaremos la ruta donde la habamos guardado.


Una vez abierta la imagen se muestran una serie de carpetas se tiene que ingresar en la llamada

root quien contiene los datos que se tienen y tenan en la unidad. Los iconos que tienen una X roja significan que fueron eliminados por lo que si quieren recuperarlos se debe utilizar un

programa de recuperacin.

Cmo recuperar datos de un dispositivo

despus de haber sido eliminado?

Utilizando la herramienta PC Inspector File Recovery se pueden recuperar

datos eliminados de una imagen o un dispositivo montado en el CPU.

Pasos para utilizar PC Inspector File Recovery

Se selecciona la opcin abrir unidad la cual mostrara el dispositivo o imagen que se monto en la

pc se presiona el check de color verde.


Aparecera una lista de 4 elementos esto quiere decir que se ha seleccionado la unidad ahora hay

que seleccionar el icono de la carpeta con una cruz roja el cual aparecer el cuadro de

dialogoal que habr de darle al visto bueno de color verde.


Empezara el proceso de bsqueda dentro del dispositivo una vez culminada la barra de progreso

se dirige a la carpeta eliminado y se mostraran los archivos que se pueden recuperar

completamente mientras que en la carpeta perdido aparecern archivos que se recuperaron

parcialmente. En este caso se puede recuperar una foto que haba eliminado seleccionndola

con el click derecho y guardndola en el escritorio.

Cmo realizar un wipe o formateo en binario?

Utilizando la herramienta Remo Drive Wipe se puede realizar un formateo en binario el

cual si se intentan realizar recuperaciones no se podr extraer ningn contenido

Pasos para utilizar Remo Drive Wipe

Esta aplicacin es bastante intuitiva simplemente habr que seleccionar el disco o unidad que

desees formatear y seleccionar el botn siguiente en donde aparecern 3 opciones (Version

gratuita) en la cual seleccionamos la primera Fast Zero Write y seleccionamos el botn Proceed.

Nota: al finalizar el

proceso el disco

quedara en vacio

habr que darle el

formato deseado a

travs de Windows.

forensia en windows

Documents