MANUAL DE FICHEROS PARA LINUX Y WINDOWS

MANUAL DE FICHEROS PARA LINUX Y WINDOWS

Introduccion

Para poder realizar un buen analisis forense en una computadora se tiene que estar familiarisado con el sistema operativo que necesita ser examinado. Sistemas operativos de la misma compañia suelen ser muy similares uno de otro; pero entre ellas su configuracion y estructura son muy diferentes.

En este manual se entrara a fondo a los sistemas de ficheros de Windows y Linux, se mostrara la base de la estructura y se señalara las ubicaciones mas importantes dentro de estos para poder hacer un buen analisis forense dentro de estos sistemas operativos

MANEJO DE FICHEROS EN WINDOWS

Los sistemas operativos de windows utilizan principalmente los siguientes sistemas de archivos:

FATS32 (File Alocation Table 32)

NTFS: Permite acceso a carpetas y archivos a travez de permisos y no es compatible con linux. Es compatible con sistemas de archivo FATS y es el mas usado desde Windows Vista

La estructura de las direcciones en windows se puede ejemplificar asi: C:\directorio\directorio\archivo.ext

Los cuales esta compuesta de las siguientes partes

Unidad (C:\), que es donde se encuentra almacenado; ruta (\directorio\directorio\) que es la ubicacion, nombre del archivo (archivo) y finalmente extension (.ext); la cual es muy importante ya que determina el tipo de archivo al que se refiere y con que apliacion o de que forma puede ser manipulado en el sistema.

Dentro de windows todos los archivos se encuentran almacenados en unidades de disco; dependiendo de la configuraciones puede haber varias unidades de disco; el sistema operativo utiliza normalmente una particion para sus archivos, pero pueden existir mas que pueden ser para almacenamiento o sistemas operativos alternos.

Dentro de la partición del sistema operativo encontramos los siguientes ficheros importante

Archivos de programas, si el sistema es de 64 bits tendrá otra carpeta llamada Archivos de progamas (x84); Windows donde se encuentran las carpetas escenciales para que funcione el sistema operativo y usuarios, donde se encuentran las configuraciones y personalizaciones de los diversos usuarios creados en el sistema. Algunas apliaciones y programas se instalan en esta parte en lugar de la carpeta de archivos de progama. A continuacion se detallara que se encuentra en cada una de estas.

Carpeta Archivos de Programa y Archivos de programa x86:

Esta carpeta almacena las aplicaciones y programas que fueron instalados en el equipo. Estas carpetas no hacen disticion por usuario si no que toman en cuenta todo lo que ha sido instalado sin importar en que cuenta se haya revisado. Asi mismo mucha informacion del uso de estas se guarda en estas carpetas.

Dentro de la carpeta están incluidas las carpetas de cada sesión de usuario individual, además del usuario administrador principal y la carpeta publica, donde se pueden compartir archivos en una red local con facilidad.

Carpeta de usuarios:

Cada carpeta de usuario contiene todos los archivos propios del usuario. Sin embargo la parte mas importante es la carpeta de AppData. Esta carpeta  contiene todas las configuraciones de las aplicaciones del usuario en cuestion; ademas de esto muchas aplicaciones se ecuentran instaladas en esta carpeta por lo que se tiene que tener especial cuado al manejar esta.

Esta ubicacion se divide en otras tres las cuales son las siguientes

Local: en esta carpeta se guardan las configuraciones y los datos que corresponden a un usuario dentro del equipo donde se encuentren. Ademas se pueden encontrar archivos temporales de tanto archivos usados en el equipo como de informacion consultada en la web.

Roaming : Muy similar a la carpeta local, solo que esta se guardan datos y configuraciones que tenga un usuario en diferentes computadoras

Locallow: Identica a la carpeta de local pero ademas en este se corren aplicaciones que necesitan un permiso mas restringido. Esta carpeta es muy importante ya que es aqui donde software personalizado se instala.

-Carpeta de Windows

Es en esta carpeta donde se encuentran todas las configuraciones que se tiene el sistema de windows. Dependiendo de que tipo de sistema sea, si de 64 o 32 bits se encontraran carpetas diferentes.

Carpetas Syswow64 y System32

En estas carpetas se almacenan las librerias principales para que corran tanto los programas que se instalan como las mismas funcionalidades de windows. En sistemas de 64 bits la carpeta SYSWOW64 almacenara lo relativo a aplicaciones de 32 bits unicamente.

Carpeta Prefecht: En esta carpeta se almacena la informacion sobre los ejecutables de las aplicaciones para posteriormente correrlos con mayor eficiencia. Cada que se ejecuta una aplicacion nueva se crea un archivo nuevo dentro de esta carpeta con la extension PF. Esta carpeta es muy importante ya demuestra las aplicaciones que se estuvieron usando en el equipo sin importar si estas fueron borradas o desintaladas.

Ubicaciones especiales

Carpeta de reciclaje:

En esta carpeta es donde se almacenan todo aquello que fue “eliminado” del directorio principal.  Es necesario investigar que contiene esta ubicacion y en que fecha y hora fue eliminado con rapidez ya que en algunas configuraciones de windows los archivos solo duran un tiempo y despues no es tan sencillo visualizarlos.

Documentos Recientes:

La mayoria de las versiones de windows tienen una opcion para accesar a los directorios mas usados en el equipo. De estar activada esta opcion revizar estos archivos es de vital importancia ya que da una idea de que fue de las ultimas actividades que se realizaron en el equipo.

Navegadores Web:

Analizando los ultimos sitios que fueron accesados desde el sistema es posible encontrar informacion relevante al incidente que se esta tratando de analizar, sobre todo si este estuvo relacionado a algun ataque directo a sitios web.

CONSIDERACIONES PARA ANALISIS DE FICHEROS EN WINDOWS

Para poder analizar los ficheros en una computadora que corra windows es recomendable que se revisen los archivos mas recientes, los archivos temporales y los archvos borrados en la papelera. Se debe de analizar que aplicaciones estan corriendo y en caso de ser relevantes se debe de encontrar su ubicacion dentro de la unidad correspondiente.

...