Estructura de un caso

5 tareas · 40 min · Principiante

Hasta aquí la ruta ha leído artefactos sueltos y salidas de utilidades. Autopsy, la interfaz gráfica de The Sleuth Kit, pone todo bajo un mismo techo: un caso con su carpeta, su base de datos y sus fuentes de datos. Antes de mirar un solo resultado conviene saber qué es cada pieza, porque quien no sabe qué guarda un caso no sabe qué entregar a otra persona ni qué puede haberse perdido al moverlo. Con el caso de Almanaque Distribuciones lees la carpeta, las fuentes y la zona horaria declarada. Solo lectura de salidas guardadas: no se abre ninguna imagen ni se ejecuta nada.

0 de 5 · 0%

Objetivo de la sala

The Sleuth Kit es un conjunto de utilidades y una biblioteca para leer discos y sistemas de archivos; Autopsy es la interfaz gráfica que se apoya en ella y organiza el trabajo en casos. Ambos son de código abierto: Autopsy con licencia Apache 2.0, y The Sleuth Kit con una mezcla de licencias según el componente.

Cada caso de Autopsy vive en su propia carpeta. Allí hay un archivo de extensión .aut, que es la configuración del caso (su nombre, su número y dónde está), y una base de datos, autopsy.db, en la que Autopsy anota cada entrada de archivo que enumera y los resultados que producen los módulos. Hay además subcarpetas: ModuleOutput para lo que guardan los módulos, Reports para los informes, Export para lo que se exporta, y otras de apoyo como Cache, Log y Temp.

Responde para continuar

Alguien te pregunta qué guarda cada pieza de la carpeta de un caso. ¿Cuál es la descripción correcta?

El archivo .aut guarda la configuración del caso y autopsy.db las entradas de archivos y los resultados de los módulos El archivo .aut guarda una copia completa de la imagen del disco y autopsy.db solo guarda el nombre del examinador La carpeta Reports guarda los resultados de cada módulo de ingesta, y autopsy.db solo guarda los informes ya generados por el caso

Ver pista de ayuda

Una pieza es configuración; la otra es una base de datos con el análisis.

Un caso no contiene la evidencia: la referencia. Cada fuente de datos se añade como un tipo distinto: una imagen de disco o de memoria, un dispositivo, o una carpeta de archivos lógicos que alguien copió. La diferencia importa porque una imagen conserva espacio no asignado y metadatos de bajo nivel, y una copia de archivos no los conserva.

Abre el listado de fuentes del caso y mira la columna del tipo.

Responde para continuar

¿Qué fuente de datos se añadió como archivos lógicos y no como imagen de disco? Escribe su nombre tal cual.

Ver pista de ayuda

La columna tipo de fuentes-de-datos.txt.

Los datos de una imagen se dan en sectores y en tamaño de sector, y rara vez en bytes. El tamaño del soporte es el número de sectores multiplicado por los bytes de cada sector. Conocerlo sirve para comprobar que la imagen está completa y para decir en el informe qué tamaño de soporte se examinó.

Responde para continuar

¿Cuántos bytes mide el disco de portatil-ventas.dd? Escribe solo el número.

Ver pista de ayuda

Sectores por tamaño de sector, según imagen-del-disco.txt.

Al añadir una fuente se declara su zona horaria, porque los sistemas guardan las horas de formas distintas: unos en UTC y otros en hora local sin indicar la zona. Si el caso interpreta mal la zona, todas las horas que muestre estarán corridas. Por eso la zona que declara cada fuente es un dato del caso que se anota en el informe.

Responde para continuar

¿Qué zona horaria declara la fuente portatil-ventas.dd? Escribe solo el nombre de la zona.

Ver pista de ayuda

Una columna de fuentes-de-datos.txt.

Como el caso solo anota la ruta de la imagen, copiar la carpeta del caso a otro equipo no copia la evidencia. Quien la abra encontrará la base de datos con todo el análisis, pero la imagen estará en otro sitio o no estará. Lo que se entrega, entonces, es el conjunto: la carpeta del caso, la imagen o su ubicación, y el hash con el que se verificó.

Responde para continuar

Tienes que pasar el caso a otra analista para que lo revise. ¿Qué entregas?

Solo la imagen, porque al abrirla el caso se vuelve a crear solo Solo la carpeta del caso, porque autopsy.db ya contiene el disco entero y no hace falta nada más La carpeta del caso, la imagen o su ubicación y el hash con el que se verificó

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Qué hay en la carpeta de un caso Lab

2 Las fuentes de datos Lab

3 Cuánto mide el disco Lab

4 La zona horaria que declara la fuente Lab

5 Qué se entrega con la carpeta Lab

Whoami-Labs Pro utiliza cookies