Extracción de información Volátil en el SO Windows

TABLA DE CONTENIDO

INTRODUCCIÓN        3

1.        OBJETIVO        4

1.1.        General        4

2.        DESARROLLO DE LA ACTIVIDAD        5

2.1.        Extracción de información Volátil en el SO Windows        5

2.2 Extracción de información Volátil en el SO Linux        15

CONCLUSIONES        21

BIBLIOGRAFIA        22

INTRODUCCIÓN

“La informática forense es una especialidad técnica que asume dentro de sus procedimientos las tareas necesarias asociadas con la evidencia en la escena del crimen, como son: identificación, preservación, extracción¸ análisis, interpretación, documentación y presentación.” (Cruz.Q. 2016). Como acciones básicas para un especialista están el aseguramiento de la información, establecer un estado inicial de la evidencia, y establecer un punto departida para comenzar a revisar, investigar y realizar comparaciones.

Para lo anterior es necesario que un experto en seguridad identifique, interiorice y se apropie de ciertos procedimientos que le servirán para establecer lo antes mencionado.

El siguiente trabajo se busca contribuir a este punto, por lo que establecen tres objetivos específicos, el primero identificar los conceptos, el segundo aplicarlos a un sistema operativo y Linux y  a un sistema operativo Windows.

1. OBJETIVO

1. General

• Usar conceptos básicos de Análisis forense
• Extracción y recolección de información en sistema operativo Windows
• Extracción y recolección de información en sistema operativo Linux

1. DESARROLLO DE LA ACTIVIDAD

En este punto se procede a recopilar toda la información posible del sistema operativo objeto mediante diferentes herramientas del sistema, como hora y fecha del sistema, procesos de ejecución, conexiones de red, puertos abiertos y aplicaciones asociadas, y usuarios logueados en el sistema.

1. Extracción de información Volátil en el SO Windows

System Time: Se utiliza para establecer la hora del sistema, con esto definir una línea de tiempo para realizar los análisis y validaciones correspondientes:

Fig.1. ingresando a System Time

[pic 1]

Fuente: El autor

System date: Muestra o establece la fecha y hora del sistema.

Fig.2. ingresando a System Date

[pic 2]

Fuente: El autor

Muestra o establece la fecha del sistema.

Logged-On Users: Devuelve una lista de todos los usuarios que han iniciado sesión en el equipo.

Fig.3. Ingresando Logged-On Users

[pic 3]

Fuente: El autor

Muestra los usuarios conectados, se realiza la consulta sobre una máquina virtual externa, para verificar la información sumistrada, se evidencia entonces los usuarios conectados g.rodriguez (mi usuario), y el usuario Admistrador.

Fig.4. Usuarios Logueados

[pic 4]

Fuente: El autor

Open FILES: Para ejecutar esta instrucción es necesario que se inicie la consola como administrador:

Fig.5. Ingresando a Open files

[pic 5]

Fuente: El autor

En la anterior imagen se ve la diferencia entre las dos máquinas consultadas, una con la consola como administrador y la otra sin permisos, muestra los archivos abiertos en un sistema.

NetBIOS Name Table: Muestra las estadísticas de protocolo NetBIOS sobre TCP/IP (NetBT), las tablas de nombre NetBIOS para el equipo local y los equipos remotos, y la caché de nombres NetBIOS, se utiliza nbtstat sobre la consola, aparecerán las ayudas para identificar que comodín utilizar según la necesidad.

Fig.6. Ingresando a NetBIOS Name Table

[pic 6]

Fuente: El autor

Fig.7. Ingresando a NetBIOS Name Table

[pic 7]

Fuente: El autor

Almacena una tabla con los nombres o las ips de los dispositivos que accedieron.

Fig.8. Opciones de nbtstat

[pic 8]

Fuente: El autor

Fig.9. Ingresando a nbtstat

[pic 9]

Fuente: El autor

Network:

Fig.10. Ingresando a route Print

[pic 10]

Fuente: El autor

Tabla de protocolo de resolución de direcciones: Muestra las estadísticas de protocolo NetBIOS sobre TCP/IP (NetBT), las tablas de nombre NetBIOS para el equipo local y los equipos remotos, y la caché de nombres NetBIOS.

Fig.11. Tabla ARP

[pic 11]

Fuente: El autor

Información de procesos: Muestra información sobre procesos y subprocesos.

Fig.12. Ingresando a PsList

[pic 12]

Fuente: El autor

Process-to-Port: Muestra las conexiones TCP activas, los puertos en los que el equipo está escuchando, las estadísticas de Ethernet, la tabla de enrutamiento IP, las estadísticas de IPv4 (para los protocolos IP, ICMP, TCP y UDP) y las estadísticas de IPv6 (para los protocolos IPv6, ICMPv6, TCP a través de IPv6 y UDP a través de IPv6)

Fig.13. Process-to-Port

[pic 13]

Fuente: El autor

Es la relación que se asigna y debe existir entre un proceso y un puerto, para identificarla se puede usar el netstat y más específicamente netstat –anob, que se muestra como ejemplo el 1433 que tiene configurado el sql server como aplicación que se ejecuta en él.

...