Tema 2

Tema 2

1. Programa vs Proceso

   • Programa= archivo estático. Instrucciones de código
   • Proceso = Programa en ejecución que consume recursos del sistema, como memoria y almacenamiento
     • Cada p tiene al menos 1 hilo de control (thread of control)
     • Cada p se identifica por PID(Process ID)
     • KERNEL= PROCESO PRINCIAL QUE CORRE TODAS LAS ORDENES

2. Artefactos volátiles VS No volátiles

   • Volátiles = No son permanentes y se pierden cuando el sistema se apaga.
     • Info disp y versión del sistema ope.
       • Fecha y hora del sist.
         • Config de las interfaces de red del dispositivo
           • Conexiones de red abiertas y procesos relacionados
             • Tabla de enrutamiento interna
               • Aplicaciones que se ejecutan automáticamente al iniciar el sistema
   • No volátiles = Son permanentes
     • Aplicaciones instaladas
       • Parches instalados
         • Enlaces a archivos creados
           • Archivos comprimidos
             • Historial de los disposit. con conect. USB q se han conectado al sist.
               • Caché de DNS

3. Herramientas para obtener artefactos forenses

   • CMD/ PowerShell
   • Herramientas de código propietario
     • Accessdata FTK
       • Guidance EnCase
         • Nuix
           • Evidence Center
             • OSForencsics
   • Herramientas de código abierto
     • Autopsy
   • Recogida de evidencias en ¨vivo¨
     • SysInternals
       • Nirsoft Utilities
         • Windows System Control Center
           • Win-UFO
   • Análisis de memoria RAM
     • Volatility
       • Mandian Redline
         • Google Rekall

4. Adquisición de soportes de almacenamiento

   • Formatos habituales para la obtención de imágenes de volúmenes de disco
     • RAW
       • Encontrados como archivos con extensión
         • .dd
         • .img
     • Guiadance ENcase
       • .E01
   • Herramientas para la obtención de imágenes de volúmenes lógicos
     • AccessData FTK Imager
       • Gratuita
       • Windows entono gráfico
       • Permite:
         • Clonados de dispositivos de almacenamiento
         • Capturas de memoria RAM
         • Crear imágenes forenses
     • Distribuciones Live
       • Kali

5. Triaje de evidencias volátiles en Windows

   • Información del dominio
     • echo %userdomain%
       • Muestra nomb. dominio q contine user actual conect.
     • echo %logonserver%
       • Muestra controlador d dominio q autentico al user act.
     • net
       • muestra info adicional dl dominio q contiene al user act, + permite arrancar, parar, pausar y reanudar un servicio.
   • Programas, procesos y servicios
     • tasklist
       • Muestra todos los procesos en ejecución
     • schtasks
       • Muestra las tareas programadas por el sist.
     • wmic startup
       • Muestra el list de app q se ejecutan al ini de sesión
   • Conexiones de red
     • ipconfig/all
       • Muestra rodas las interfaces disponibles del sistema
     • nbtstat
       • Comando para trabajar con conexiones Windows NetBIOS
     • netstat
       • Comando para trabajar con conexiones TCP/IP
     • route print
       • Muestra las tablas de enrutamiento de los adaptadores de red
     • arp-a
       • Muestra la tabla ARP presente en la cache de los adaptadores de red

6. WinTriage

   • Herramienta forense Libre
     • Compatible con : W XP/2003 --> W 11/2022
     • Permite realizar extraciones de diferentes artefatos forenses de usuarios, sistema y sitema de ficheros, tanto en caliente como a partir de una img forense.
   • Inventor = Secirízame

7. Autopsy

   • TSK(the sleuth kit)= Conjunto d herramientas open source para el análisis d imágenes de discos.
   • Interfaz grafica de TSK q agrupa todas sus herramientas y plugins
     • Incluye:
       • Recuperación de datos
       • Análisis de metadatos
   • 1º al abrirlo:
     • Crear o abrir un CASO
       • Esto es la unidad lógica que contendrá todo lo relacionado con la investigación
     • 2º
       • Asociar 1 o + orígenes de datos, como:
         • Discos físicos
         • Imagen forense
       • Por ultimo:
         • Configurar los módulos, permitirán sacar la info relevnate
           • M. d análisis d actividad reciente
           • M. d consultas hashes
           • M. d identificación d archivos
           • M. d extracción de ficheros empotrados
           • M. interprete EXIF
           • M. d palabras claves
           • M. d correos electrónicos
           • M. detector d incoherencias d extensión
           • M verificación E01
           • M. analizador d Android
           • M. identificador d archivos ¨Interesantes¨
           • M. photo carver

8. VOLATILITY FRAMEWORK

   • Colección de herramientas open source
     • Lenguaje Phython
     • Objetivo
       • Facilitar el análisis de la memoria RAM en sist. Windows, Linux y Mac
     • Potencia dado por + d 200 plugins
       • Los + famosos:
         • imageinfo
           • Identifica:
             • Sist. operativo
             • service pack
             • Arquitectura de hardware
             • Núm. CPU
             • Hora en q se recopiló la muestra
           • PRIMORDIAL
         • kdbgscan
         • pslist
         • pstree
         • psxview
         • malfind
   • Proporciona varios comandos para extraer info sobre procesos
     • Algunos:
       • pslist
         • Averigua si hay algún programa o proceso sospechoso corriendo en el equipo
       • pstree
         • El resultado de pslist lo transforma en árbol para poder ver mejor la relación / padre e hijos
       • psscan
         • Encuenrta procesos terminados y no vinculados.
   • Obtención de contraseñas
     • hivelist
       • Permite averiguar donde están los hives con las contraseñas
     • hashdump
       • Se extraen los hashes de las contraseñas