Ficha descriptiva del software Autopsy
Tipo de licenciamiento: Open-source (código abierto)
Funcionalidades principales:
- Análisis forense de discos duros y otros dispositivos de almacenamiento.
- Recuperación de archivos borrados de un USB o disco duro.
- Extracción de metadatos y análisis de imágenes, documentos y bases de datos.
- Análisis de actividad del usuario en navegadores web.
- Soporte para análisis en red con múltiples usuarios.
Herramienta de formato de bajo nivel de HDD
Tipo de licenciamiento: Freeware con versión premium de pago.
Funcionalidades principales:
- Formateo de bajo nivel de discos duros y unidades USB.
- Eliminación irreversible de datos en el almacenamiento.
- Compatible con HDD y SSD de fabricantes como Seagate, Western Digital, Samsung…
Funcionamiento del software & vinculación con el hardware
Borrado de datos de alto nivel:
Haz una copia de tu USB y realiza un formateo estándar. Posteriormente comprueba que el formateo ha sido correcto y lleva a cabo un análisis forense del USB. ¿Puedes acceder a información borrada del disco?
Recupera un archivo eliminado.
Realizamos un formateo a alto nivel
Procedemos a recuperar archivos borrados en el USB
Tras haber formateado el pendrive a alto nivel he podido recuperar las fotos. Acabamos de recuperar archivos borrados del USB.
Al pulsar sobre la foto en Autopsy con el botón secundario del ratón puedes extraerla y guardarla en tu ordenador
Realiza un formateo de bajo nivel. Posteriormente comprueba que el formateo ha sido correcto y lleva a cabo un análisis forense del USB. ¿Puedes acceder a información borrada del disco?
Desactivamos la opción «formato rápido»
Con el formateo de bajo nivel ya no puedo acceder a la información borrada en el pendrive
Comparamos el borrado de datos a alto nivel vs bajo nivel
El borrado de datos de alto nivel elimina los datos visibles del pendrive, en cambio el borrado de datos de bajo nivel borra todos los datos existentes ya que cambia los 1 del pendrive a todo 0 por lo que no queda nada.
Caso de Uso 1. Identificación propiedad del disco. Como parte del servicio de informática de una empresa debes analizar quien fue el propietario/usuario del disco “KingstonSSD_240Gb”, cómo se llamaba su equipo, qué sistema operativo utilizaba, navegador Web, y toda la información extra que consideres relevante.
El usuario utilizaba un navegador Chrome. El usuario parece que se quiere ir de viaje porque mira la web del tiempo, renfe y vuelos en AENA
Caso de uso 2. Troyano: El servicio de informática de tu organización ha detectado una brecha de seguridad causada por un troyano que ha entrado en los sistemas de la organización a través de un USB, concretamente un “Digital Data Traveler SE09”. Como parte del servicio de informática se te pide analizar el disco duro “Toshiba_HDWD105”.
¿Podría haber sido infectado este disco?
El disco duro podría estar infectado por este usb que contenía un troyano
Caso de uso 3: Time Line. La información temporal sobre la creación/borrado de archivos es crucial para resolver casos de ciberdelincuencia. Genera una guía que proporcione las principales funcionalidades de autopsy en este sentido.
Aquí podemos acceder a los datos por año que están borrados o siguen en el disco duro. En la parte de detalles y lista te sale cada archivo que ha pasado por el disco duro. También podríamos aplicar filtros en la parte de la izquierda
Caso de uso 4: Geolocalización. En ocasiones los dispositivos de almacenamiento tienen archivos con información geoespacial que permiten geolocalizar a ciber-delincuentes. Genera un caso de uso haciendo fotos con la geolocalización activada y explora las opciones de Geolocalización del software autopsy. Proporciona fotos del proceso
En el apartado de geolocalización de autopsy nos aparece una foto borrada del pendrive con sus metadatos
