La recolección de evidencias

 Actividad 1

En esta primera actividad vamos a obtener la fecha y hora del sistema que ha sufrido un incidente, de tal forma que podremos establecer una línea temporal de recopilación de evidencias, duración del proceso, etc. Para ello nos vamos a valer de la línea de comandos utilizando las instrucciones date y time:

• En primer lugar, para que el dispositivo nos ofrezca la fecha debemos introducir el comando "date /t" en la famosa aplicación símbolo del sistema, observando así que la respuesta aparece con rapidez.

Ahora vamos a realizar esta misma actividad pero de manera más elegante. Vamos a ordenar a las instrucciones date y time que la información que nos dan la guarde a un fichero de texto, en vez de mostrarla en pantalla. 

• Primero lo hacemos sólo con el comando date: ◦ date /t > fechayhora.txt
• Dentro del fichero fecha.txt tendremos la fecha del sistema. Ahora vamos hacer lo mismo pero añadiendo también la hora. ◦ time /t >> fechayhora.txt
• Para terminar esta actividad vamos a ejecutar el comando como debiéramos hacer para recopilar la fecha y hora de inicio de recolección de evidencias tras un incidente: ◦ date /t > start-time.txt &time /t >> start-time.txt 

Actividad 2 

En esta segunda actividad vamos a realizar un volcado de memoria del equipo mediante la herramienta "FTK Imager".

En primer lugar, descargamos app y seleccionamos, una vez abierto el programa, la opción "File" y lurgo "Capture Memory". Al dar click se abrirá una ventana de opciones donde podemos incluir...

- la ruta donde vamos a guardar el volcado de memoria.

- el nombre que queremos dar al archivo.

- si queremos incluir la memoria virtual (pagefile.sys) o no.

- si queremos crear el volcado en un archivo cifrado tipo AD1.

Para nuestra actividad vamos a seleccionar que vuelque la memoria virtual y seleccionamos como carpeta para guardar la información la carpeta de usuario, dejando todo lo demás por defecto. Pulsamos Capture Memory y dejamos que realice el proceso cerrando la ventana al finalizar.

Una vez que tenemos capturada la memoria del equipo, la cargaremos mediante File/Add Evidencie Item, seleccionando el archivo memdump.mem que es nuestro volcado de memoria.

Para realizar una búsqueda de información en texto plano nos situaremos al principio de la información del archivo y con el botón derecho seleccionamos la opción Find. Se nos abrirá una ventana y en la que podremos buscar la información que sea de nuestro interés, por ejemplo podríamos buscar el texto “&passwd=”, &password=” o “password” para intentar encontrar alguna de las contraseñas de acceso de algún servicio que el usuario hubiese utilizado durante la sesión.