Análisis de Imagen de Disco con Autopsy
Cuándo Usarlo
- Cuando tenga una imagen de disco forense y necesite un análisis estructurado de su contenido
- Durante investigaciones que requieran recuperación de archivos, búsqueda de palabras clave y análisis de línea de tiempo
- Cuando partes interesadas no técnicas necesiten informes visuales a partir de evidencia forense
- Para examinar metadatos del sistema de archivos, archivos eliminados y artefactos incrustados
- Al construir un caso completo a partir de múltiples imágenes de disco
Requisitos Previos
- Autopsy 4.x instalado (Windows) o Autopsy 4.x con The Sleuth Kit (Linux)
- Imagen de disco forense en formato raw (dd), E01 (EnCase) o AFF
- Mínimo 8 GB de RAM (se recomiendan 16 GB para imágenes grandes)
- Java Runtime Environment (JRE) 8+ para Autopsy
- Suficiente espacio en disco para la base de datos del caso de Autopsy (2-3 veces el tamaño de la imagen)
- Bases de datos de hash (NSRL, hashes maliciosos conocidos) para identificación de archivos
Flujo de Trabajo
Paso 1: Instalar Autopsy y Configurar el Entorno
# En Linux, instalar Sleuth Kit y Autopsy
sudo apt-get install autopsy sleuthkit
# Descargar Autopsy 4.x (versión GUI) desde la fuente oficial
wget https://github.com/sleuthkit/autopsy/releases/download/autopsy-4.21.0/autopsy-4.21.0.zip
unzip autopsy-4.21.0.zip -d /opt/autopsy
# En Windows, ejecutar el instalador MSI desde sleuthkit.org
# Iniciar Autopsy
/opt/autopsy/bin/autopsy --nosplash
# Para análisis de línea de comandos con Sleuth Kit junto a Autopsy
sudo apt-get install sleuthkit
Paso 2: Crear un Nuevo Caso y Agregar la Imagen de Disco
1. Iniciar Autopsy > "New Case"
2. Ingresar Nombre del Caso: "CASE-2024-001-Workstation"
3. Establecer Directorio Base: /cases/case-2024-001/autopsy/
4. Ingresar Número de Caso, Nombre del Examinador
5. Hacer clic en "Add Data Source"
6. Seleccionar "Disk Image or VM File"
7. Navegar a: /cases/case-2024-001/images/evidence.dd
8. Seleccionar Zona Horaria del sistema original
9. Configurar Módulos de Ingesta (ver Paso 3)
# Alternativamente, usar la CLI de Sleuth Kit para verificar primero la imagen
img_stat /cases/case-2024-001/images/evidence.dd
# Listar particiones en la imagen
mmls /cases/case-2024-001/images/evidence.dd
# Ejemplo de salida:
# DOS Partition Table
# Offset Sector: 0
# Units are in 512-byte sectors
# Slot Start End Length Description
# 00: ----- 0000000000 0000002047 0000002048 Primary Table (#0)
# 01: 00:00 0000002048 0001026047 0001024000 NTFS (0x07)
# 02: 00:01 0001026048 0976771071 0975745024 NTFS (0x07)
# Listar archivos en una partición (desplazamiento 2048 sectores)
fls -o 2048 /cases/case-2024-001/images/evidence.dd
Paso 3: Configurar y Ejecutar Módulos de Ingesta
Habilitar los siguientes Módulos de Ingesta de Autopsy:
- Recent Activity: Extrae historial del navegador, descargas, cookies, marcadores
- Hash Lookup: Compara archivos contra conjuntos de hash NSRL y maliciosos conocidos
- File Type Identification: Identifica archivos por firma, no por extensión
- Keyword Search: Indexa contenido para búsqueda de texto completo
- Email Parser: Extrae correos electrónicos de archivos PST, MBOX, EML
- Extension Mismatch Detector: Encuentra archivos con extensiones incorrectas
- Exif Parser: Extrae metadatos de imágenes (GPS, cámara, marcas de tiempo)
- Encryption Detection: Identifica archivos y contenedores cifrados
- Interesting Files Identifier: Marca archivos que coinciden con conjuntos de reglas personalizados
- Embedded File Extractor: Extrae archivos de ZIP, documentos Office, PDFs
- Picture Analyzer: Categoriza imágenes usando PhotoDNA o coincidencia de hash
- Data Source Integrity: Verifica el hash de la imagen durante la ingesta
# Configurar el conjunto de hash NSRL para filtrado de archivos conocidos no maliciosos
# Descargar NSRL desde https://www.nist.gov/itl/ssd/software-quality-group/national-software-reference-library-nsrl
wget https://s3.amazonaws.com/rds.nsrl.nist.gov/RDS/current/rds_modernm.zip
unzip rds_modernm.zip -d /opt/autopsy/hashsets/
# Importar en Autopsy:
# Tools > Options > Hash Sets > Import > Seleccionar NSRLFile.txt
# Marcar como "Known" (para filtrar archivos conocidos no maliciosos)
Paso 4: Analizar el Sistema de Archivos y Recuperar Archivos Eliminados
# En la GUI de Autopsy: Navegar la estructura de árbol
# - Data Sources > evidence.dd > vol2 (NTFS)
# - Examinar el árbol de directorios, notar archivos eliminados (marcados con X)
# Usando la CLI de Sleuth Kit para recuperación específica
# Listar archivos eliminados
fls -rd -o 2048 /cases/case-2024-001/images/evidence.dd
# Recuperar un archivo eliminado específico por inodo
icat -o 2048 /cases/case-2024-001/images/evidence.dd 14523 > /cases/case-2024-001/recovered/deleted_document.docx
# Extraer todos los archivos de un directorio
tsk_recover -o 2048 -d /Users/suspect/Documents \
/cases/case-2024-001/images/evidence.dd \
/cases/case-2024-001/recovered/documents/
# Obtener metadatos detallados del archivo
istat -o 2048 /cases/case-2024-001/images/evidence.dd 14523
# Muestra: marcas de tiempo de creación, modificación, acceso y cambio MFT, tamaño, runs de datos
Paso 5: Realizar Búsquedas de Palabras Clave y Etiquetar Evidencia
En Autopsy:
1. Panel de Keyword Search > "Ad Hoc Keyword Search"
2. Términos de búsqueda: patrones de tarjetas de crédito, regex de SSN, direcciones de correo electrónico
3. Ejemplo de regex para tarjetas de crédito: \b(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14})\b
4. Ejemplo de regex para SSN: \b\d{3}-\d{2}-\d{4}\b
5. Revisar resultados > Hacer clic derecho en elementos > "Add Tag"
6. Crear etiquetas: "Evidence-Critical", "Evidence-Supporting", "Requires-Review"
7. Agregar comentarios a los elementos etiquetados documentando su relevancia
# Usando Sleuth Kit para búsqueda de palabras clave en CLI
srch_strings -a -o 2048 /cases/case-2024-001/images/evidence.dd | \
grep -iE '(password|secret|confidential)' > /cases/case-2024-001/keyword_hits.txt
# Buscar firmas de archivos específicas
sigfind -o 2048 /cases/case-2024-001/images/evidence.dd 25504446
# 25504446 = firma de encabezado PDF
Paso 6: Construir Línea de Tiempo y Generar Informes
En Autopsy:
1. Visor de Línea de Tiempo: Tools > Timeline
2. Seleccionar el rango de fechas de interés (ventana del incidente)
3. Filtrar por tipo de evento: Archivo Creado, Modificado, Accedido, Actividad Web
4. Acercarse a períodos de tiempo sospechosos
5. Exportar eventos de línea de tiempo como CSV para análisis externo
Generar Informe:
1. Generate Report > HTML Report
2. Seleccionar elementos etiquetados y fuentes de datos a incluir
3. Configurar secciones del informe: listados de archivos, aciertos de palabras clave, línea de tiempo
4. Exportar a /cases/case-2024-001/reports/
# Usando mactime de Sleuth Kit para línea de tiempo en CLI
fls -r -m "/" -o 2048 /cases/case-2024-001/images/evidence.dd > /cases/case-2024-001/bodyfile.txt
# Generar línea de tiempo desde el bodyfile
mactime -b /cases/case-2024-001/bodyfile.txt -d > /cases/case-2024-001/timeline.csv
# Filtrar línea de tiempo a un rango de fechas específico
mactime -b /cases/case-2024-001/bodyfile.txt \
-d 2024-01-15..2024-01-20 > /cases/case-2024-001/incident_timeline.csv
Conceptos Clave
| Concepto | Descripción |
|---|---|
| Módulos de Ingesta | Complementos de análisis automatizados que procesan fuentes de datos al importarlas |
| MFT (Tabla de Archivos Maestra) | Estructura de metadatos de NTFS que registra todas las entradas y atributos de archivos |
| File carving | Recuperación de archivos desde espacio no asignado utilizando firmas de archivo |
| Filtrado por hash | Uso de conjuntos de hash NSRL o personalizados para excluir archivos conocidos no maliciosos o marcar maliciosos |
| Análisis de línea de tiempo | Reconstrucción cronológica de eventos del sistema de archivos y actividad del usuario |
| Recuperación de archivos eliminados | Restauración de archivos cuyas entradas de directorio se han eliminado pero los datos permanecen |
| Indexación de palabras clave | Índice de búsqueda de texto completo construido a partir de todo el contenido de archivos, incluyendo espacio slack |
| Extracción de artefactos | Análisis automatizado de artefactos específicos del navegador, correo electrónico, registro y sistema operativo |
Herramientas y Sistemas
| Herramienta | Propósito |
|---|---|
| Autopsy | Plataforma forense GUI de código abierto para análisis de imágenes de disco |
| The Sleuth Kit (TSK) | Conjunto de herramientas forenses de línea de comandos subyacente a Autopsy |
| fls | Listar archivos y directorios en una imagen de disco, incluyendo entradas eliminadas |
| icat | Extraer contenido de archivo por número de inodo desde una imagen de disco |
| mactime | Generar línea de tiempo desde el formato bodyfile de TSK |
| mmls | Mostrar el diseño de particiones de una imagen de disco |
| NSRL | Base de datos de hash del NIST para identificar archivos de software conocidos |
| sigfind | Buscar firmas de archivos a nivel de sector |
Escenarios Comunes
Escenario 1: Investigación de Robo de Datos de Empleados Importar la imagen de la estación de trabajo del empleado, ejecutar todos los módulos de ingesta, buscar nombres de archivos confidenciales de la empresa y palabras clave, examinar artefactos de conexión USB en Actividad Reciente, verificar artefactos de clientes de almacenamiento en la nube, revisar archivos eliminados en busca de evidencia de preparación de datos, generar informe HTML para el equipo legal.
Escenario 2: Forense de Infección por Malware Agregar la imagen del sistema comprometido, habilitar los módulos de Extension Mismatch y Encryption Detection, examinar el directorio prefetch en busca de evidencia de ejecución, buscar hashes de malware conocidos, construir línea de tiempo alrededor de la ventana de infección, extraer ejecutables sospechosos para análisis adicional en un sandbox.
Escenario 3: Investigación de Material de Explotación Infantil (CSAM) Importar imagen con los conjuntos de hash de PhotoDNA y Project VIC habilitados, ejecutar el módulo Picture Analyzer, aplicar hash a todos los archivos de imagen contra bases de datos maliciosas conocidas, etiquetar y categorizar coincidencias por gravedad, generar informe para las fuerzas del orden con documentación de la cadena de custodia.
Escenario 4: Disputa de Propiedad Intelectual Importar múltiples imágenes de disco de empleados como fuentes de datos separadas en un solo caso, realizar búsquedas de palabras clave para términos propietarios y nombres de proyectos, comparar hashes de archivos entre fuentes, construir línea de tiempo que muestre patrones de acceso y transferencia de archivos, exportar evidencia para revisión legal.
Formato de Salida
Resumen de Análisis del Caso de Autopsy:
Caso: CASE-2024-001-Workstation
Imagen: evidence.dd (500GB NTFS)
Particiones: 2 (System Reserved + Primaria)
Archivos Totales: 245,832
Archivos Eliminados: 12,456 (recuperables: 8,234)
Resultados de Ingesta:
Coincidencias de Hash (Malicioso Conocido): 3 archivos
Extensiones Incorrectas: 17 archivos
Aciertos de Palabras Clave: 234 en 45 archivos
Archivos Cifrados: 5 contenedores detectados
Datos EXIF Extraídos: 1,245 imágenes con metadatos
Evidencia Etiquetada:
Crítica: 12 elementos
De Apoyo: 34 elementos
Revisión: 67 elementos
Eventos de Línea de Tiempo: 1,234,567 entradas (filtradas a ventana de incidente: 892)
Informe: /cases/case-2024-001/reports/autopsy_report.html