Evidencias eliminadas: File Carving y análisis de memoria RAM con volatility

EVIDENCIAS ELIMINADAS: FILE CARVING Y ANÁLISIS DE MEMORIA RAM CON VOLATILITY

YEIMI TATIANA CAÑON PINILLA

(Estudiante)

NESTOR JAVIER GARCIA GUZMAN

(Ingeniero)

UNIVERSIDAD DE CUNDINAMARCA, SECCIONAL UBATE

FACULTAD DE INGENIERIA, INGENIERIA DE SISTEMAS

ELECTIVA PROFECCIONA II

2023

EVIDENCIAS ELIMINADAS: FILE CARVING

En la era digital actual, la capacidad de recuperar evidencia de dispositivos de almacenamiento, como discos duros, tarjetas de memoria y unidades USB, desempeña un papel crucial en investigaciones criminales y en la ciberseguridad. Uno de los métodos más efectivos para recuperar datos eliminados es el "file carving" o tallado de archivos.

File carving es una técnica esencial en el campo de la recuperación de datos y la ciberseguridad. Su capacidad para recuperar datos eliminados independientemente de la estructura del sistema de archivos la hace invaluable en una amplia gama de aplicaciones. Sin embargo, es crucial utilizarlo con cuidado y comprender sus limitaciones para garantizar la integridad de las evidencias recuperadas en investigaciones legales y forenses.

CARACTERÍSTICAS DEL FILE CARVING

El file carving es una técnica forense que se utiliza para recuperar archivos eliminados o perdidos de dispositivos de almacenamiento, sin depender de la estructura de archivos existente. A diferencia de otras técnicas de recuperación de datos, el file carving no se basa en metadatos o en la información del sistema de archivos, lo que lo hace adecuado para casos en los que esta información se haya corrompido o eliminado. Las principales características del file carving incluyen:

1. Independencia del Sistema de Archivos: El file carving no se basa en la estructura del sistema de archivos, lo que significa que puede recuperar archivos incluso si el sistema de archivos está dañado o ausente.
2. Búsqueda de Firmas: La técnica utiliza patrones de firma únicos para identificar y recuperar archivos. Estas firmas pueden ser encabezados, pies de página, o estructuras internas específicas de los tipos de archivo.
3. Recuperación de Datos Fragmentados: Puede recuperar datos fragmentados o parcialmente sobrescritos al ensamblar fragmentos de archivo dispersos en el dispositivo de almacenamiento.

MODO DE USO DEL FILE CARVING

El proceso de file carving se puede resumir en los siguientes pasos:

1. Selección de la Herramienta: Elija una herramienta de file carving adecuada. Algunas herramientas populares incluyen PhotoRec, TestDisk, y Foremost.
2. Análisis del Dispositivo: Ejecute la herramienta en el dispositivo de almacenamiento que contiene los datos eliminados.
3. Identificación de Firmas: La herramienta buscará patrones de firma específicos para identificar tipos de archivo. Esto implica buscar encabezados y pies de página de archivos conocidos.
4. Extracción de Datos: Una vez identificados los archivos, la herramienta extraerá y almacenará los datos recuperados en una ubicación específica.
5. Validación y Reconstrucción: Es importante validar la integridad de los archivos recuperados y, si es necesario, reconstruirlos a partir de fragmentos dispersos.

APLICABILIDAD DEL FILE CARVING

El file carving es aplicable en una variedad de escenarios, incluyendo:

1. Investigaciones Criminales: En casos de crímenes cibernéticos o incidentes de seguridad, el file carving puede ayudar a recuperar pruebas cruciales, como imágenes, documentos o registros de actividad.
2. Recuperación de Datos para Usuarios Finales: Los usuarios pueden utilizar herramientas de file carving para recuperar archivos personales eliminados accidentalmente, como fotos o documentos.
3. Análisis Forense: Los profesionales forenses pueden utilizar esta técnica en la recuperación de datos en dispositivos dañados o en investigaciones de incidentes de seguridad.

COMPLEMENTOS Y CONSIDERACIONES

Para maximizar la efectividad del file carving, es importante considerar lo siguiente:

1. Actualización de Firmas: Las herramientas de file carving deben tener firmas actualizadas para identificar los últimos formatos de archivos.
2. Tiempos de Ejecución: El proceso puede ser largo, especialmente en dispositivos de almacenamiento grandes. La paciencia es esencial.
3. Efectos sobre la Integridad de los Datos: La recuperación de datos a través del file carving puede alterar la estructura de los archivos. Esto debe ser tenido en cuenta al utilizar las evidencias en investigaciones legales.

ANÁLISIS DE MEMORIA RAM CON VOLATILITY

La memoria RAM (Random Access Memory) es una parte crítica en cualquier sistema informático, ya que almacena datos y procesos en ejecución de forma temporal. El análisis de la memoria RAM es una disciplina esencial en la investigación forense digital, la respuesta a incidentes de seguridad, puede proporcionar información valiosa para la resolución de casos, como la identificación de procesos maliciosos, la recuperación de contraseñas y la reconstrucción de actividades del usuario. Volatility es una herramienta de código abierto ampliamente utilizada para llevar a cabo el análisis de memoria RAM en sistemas operativos Windows, Linux y macOS.

El análisis de la memoria RAM con Volatility representa una herramienta fundamental en la investigación forense digital y en la respuesta a incidentes de seguridad. Su capacidad para extraer información vital de la memoria RAM de sistemas Windows, Linux y macOS la convierte en un recurso valioso para investigadores. Con una variedad de características robustas, un modo de uso claro y complementos especializados, Volatility es un componente esencial en el conjunto de herramientas de los profesionales de la informática forense. Su continua evolución y una comunidad activa de usuarios respaldan su eficacia en la investigación forense digital.

...