Recuperación de Información Perdida con Autopsy

Programa formativo

Módulo 1. Introducción a la recuperación forense — 15 min

• ¿Qué entendemos por información perdida o eliminada?
• Diferencia entre:
• Archivo eliminado.
• Archivo oculto.
• Archivo inaccesible.
• Archivo sobrescrito.
• Archivo recuperable.
• Cómo funciona, de forma básica, un sistema de archivos.
• Papel de los metadatos.
• Importancia de preservar la evidencia original.
• Concepto de imagen forense.
• Cadena de custodia e integridad.

Conceptos clave

Eliminado ≠ necesariamente destruido.

Cuando se elimina un archivo, determinadas estructuras que permiten localizarlo pueden modificarse, mientras que parte de sus datos puede permanecer disponible en el medio de almacenamiento hasta que sea sobrescrita.

Módulo 2. Introducción a Autopsy — 20 min

• ¿Qué es Autopsy?
• Interfaz y principales áreas de trabajo.
• Creación de un Case.
• Incorporación de una imagen forense.
• Fuentes de datos.
• Procesamiento inicial de la evidencia.
• Módulos de análisis.
• Organización de los resultados.
• Navegación por archivos y carpetas.

Módulo 3. Análisis del sistema de archivos — 20 min

Análisis de la estructura del dispositivo mediante Autopsy:

• Particiones.
• Volúmenes.
• Directorios.
• Archivos.
• Metadatos.
• Fechas de creación, modificación y acceso.
• Tamaño y tipo de archivo.
• Archivos ocultos.
• Archivos eliminados.

Módulo 4. Recuperación de archivos eliminados — 25 min

Análisis con Autopsy

• Localización de archivos eliminados.
• Identificación de archivos recuperables.
• Recuperación de archivos.
• Visualización del contenido recuperado.
• Extracción de evidencias.
• Hashes de los archivos.
• Comprobación de integridad.
• Limitaciones de la recuperación.

Módulo 5. Recuperación mediante File Carving — 15 min

Introducción al File Carving como técnica para localizar archivos a partir de sus estructuras y firmas cuando la información del sistema de archivos ya no resulta suficiente.

• ¿Qué es File Carving?
• Firmas de archivos.
• Cabeceras y estructuras.
• Recuperación de archivos fragmentados.
• Diferencias entre recuperación mediante metadatos y carving.
• Limitaciones del carving.
• Falsos positivos.
• Validación de archivos recuperados.

Módulo 6. Búsqueda de información y artefactos — 25 min

Utilización de las capacidades de búsqueda y análisis de Autopsy para localizar información relevante:

• Búsqueda por nombre.
• Búsqueda por extensión.
• Palabras clave.
• Tipos de archivo.
• URLs.
• Direcciones de correo.
• Información relacionada con usuarios.
• Historial web.
• Papelera de reciclaje.
• Descargas.
• Miniaturas y otros artefactos.

Criterios de evaluación

Se considerará superado el curso cuando el alumnado:

• Asista, como mínimo, al porcentaje de horas establecido por la entidad organizadora, que se encuentra en el punto Horas mínimas obligatorias.
• Complete las actividades propuestas.

• Obtenga una valoración positiva en la prueba final o en la evaluación continua.