A continuación, se te pedirá que configures el módulo Ingest.

El contenido del módulo Ingest se encuentra en la siguiente lista:

La información de la fuente de datos (Data Source) muestra los metadatos básicos. Su análisis detallado se muestra en la parte inferior. Se puede extraer uno tras otro.

Vistas

File Type (Tipo de archivo): Se puede clasificar en forma de extensión de archivo o tipo MIME.

Proporciona información sobre las extensiones de archivo que suelen ser utilizadas por el sistema operativo, mientras que los tipos MIME son utilizados por el navegador para decidir qué datos representar. También muestra los archivos eliminados.

Nota

Estos tipos de archivo se pueden clasificar en función de la extensión (Extension), los documentos (Documents) y los ejecutables (Executables).

Por extensión

En la categoría Tipos de archivo por extensión (By Extension), puedes ver que se ha subdividido en tipos de archivo como imágenes, vídeo, audio, archivos, bases de datos, etc.

Vamos a hacer clic en las imágenes y explorar las imágenes que se han recuperado.

También podemos ver la miniatura de las imágenes.

Al ver la miniatura, se pueden ver los metadatos del archivo y los detalles de la imagen.

Aquí también podemos ver algunos archivos del tipo “Archives” que se han recuperado. Podemos extraer estos archivos del sistema y visualizarlos utilizando varios programas.

Documentos

Los documentos se clasifican en 5 tipos: HTML, Office, PDF, Texto sin formato (Plain Text) y Texto enriquecido (Rich Text).

Al explorar la opción de documentos, puedes ver todos los documentos PDF presentes, puedes hacer clic en los importantes para verlos.

Al explorar la opción de PDF, también puedes encontrar el PDF importante en la imagen del disco.

Del mismo modo, los diversos archivos de texto plano también se puede ver. También puedes recuperar los archivos de texto plano eliminados.

Ejecutables

Estos tipos de archivos se subdividen en .exe, .dll, .bat, .cmd y .com.

Por tipo MIME

En este tipo de categoría, hay cuatro subcategorías como aplicación, audio, imagen y texto. Estas se dividen a su vez en más secciones y tipos de archivo.

Archivos eliminados

(Deleted Files) Muestra información sobre el archivo eliminado que luego se puede recuperar.

Archivos de tamaño MB

(MB Size Files) En esta sección, los archivos se clasifican en función de su tamaño, a partir de 50 MB. Esto permite al examinador buscar archivos de gran tamaño.

Resultados

En esta sección, obtenemos información sobre el contenido que fue extraído.

Contenido extraído

(Extracted Content) Todo el contenido que fue extraído, es segregado en detalle. Aquí hemos encontrado metadatos, papelera de reciclaje y descargas web. Veamos más a fondo cada uno de ellos.

Metadatos (Metadata): Aquí podemos ver toda la información sobre los archivos como la fecha de creación, de modificación, el propietario del archivo, etc.

Descargas Web (Web Downloads): Aquí se pueden ver los archivos que fueron descargados de internet.

Palabras clave

(Keyword Hits) Aquí se puede buscar cualquier palabra clave específica en la imagen de disco. La búsqueda se puede realizar con respecto a la coincidencia exacta, coincidencias de subcadena, correos electrónicos, palabras literales, expresiones regulares, etc.

Puedes ver las direcciones de correo electrónico disponibles.

Se puede optar por exportar a un formato CSV.

Línea de tiempo (Timeline)

Mediante esta función puedes obtener información sobre el uso del sistema en forma de estadística (statistical), detallado (detailed) o lista (list).

Descubrimiento (Discovery)

Esta opción permite encontrar medios utilizando diferentes filtros que están presentes en la imagen de disco.

Según las opciones seleccionadas, se pueden obtener los resultados deseados.

Imágenes/Vídeos

Esta opción permite encontrar imágenes y vídeos a través de varias opciones y múltiples categorías.

Añadir etiqueta de archivo

El etiquetado se puede utilizar para crear marcadores, seguimiento, marcar como cualquier elemento notable, etc.

Ahora cuando veas las opciones de etiquetas, verás que los archivos fueron etiquetados de acuerdo a varias categorías.

Generar Informe

Una vez terminada la investigación, el examinador puede generar el informe en varios formatos según su preferencia.

Comprueba la fuente de datos cuyo informe debe generarse.

Aquí elegimos crear el informe en formato HTML.

Autopsy es una herramienta forense digital de código abierto desarrollada por Basis Technology, lanzada por primera vez en 2000. Es una herramienta de uso gratuito y bastante eficiente para la investigación del disco duro con características como casos de múltiples usuarios, análisis de línea de tiempo, análisis de registro, búsqueda de palabras clave, análisis de correo electrónico, reproducción de medios, análisis EXIF, detección de archivos maliciosos y mucho más.

Esta publicación está inspirada en Vishva Vaghela, una entusiasta de la Forense Digital que disfruta escribiendo contenido técnico.

Fuente:

https://esgeeks.com/autopsy-guia-analisis-forense-windows/