Ingesta y qué analiza cada módulo

Al ingerir una fuente, Autopsy hace pasar los archivos por una tubería de módulos, uno tras otro. Los más habituales: File Type Identification asigna a cada archivo un tipo según su contenido, no según su extensión; Recent Activity extrae la actividad del usuario, como el historial web, los dispositivos conectados y los documentos recientes; Hash Lookup calcula los hashes y los compara con conjuntos conocidos; Keyword Search indexa el texto para buscar después; Embedded File Extractor abre los archivos comprimidos y los documentos de Office y devuelve lo que contienen a la tubería.

Otros trabajan sobre lo que dejaron los anteriores: uno compara el tipo detectado con la extensión del archivo y señala las que no cuadran; otro busca archivos cifrados.

Un módulo se puede desactivar al lanzar la ingesta, o puede no estar disponible. En ambos casos el efecto es el mismo: no aparecen resultados de ese tipo, y nadie recibe una alarma. Por eso, antes de decir que algo «no está», hay que comprobar que el módulo que lo habría encontrado se ejecutó.

Revisa la tabla de módulos de la ingesta del portátil.

La ingesta no tiene por qué recorrerlo todo. Un filtro de ingesta limita los archivos por ruta, nombre, tamaño o fecha de modificación, y ahorra tiempo cuando se sabe dónde mirar. El precio es que lo excluido no se analizó: un resultado vacío vale solo para la parte que se miró.

Para saber cuánto quedó sin analizar, resta los archivos analizados de los que había en la fuente.

Los módulos dejan avisos en una bandeja de mensajes durante y después de la ingesta. Unos son informativos y otros señalan algo que requiere acción: un archivo que podría estar cifrado, un conjunto de hashes que falta, una verificación que falló. Es lo primero que se lee al abrir un caso que no se ingirió uno mismo.

Lee la bandeja de la ingesta del portátil.

Hash Lookup calcula los hashes de los archivos, pero para marcar un archivo como conocido o como notable necesita conjuntos de hashes configurados. Sin ellos, el módulo corre y no marca nada. Eso significa que no se aprovechó la comparación, no que no existan archivos conocidos ni notables.