Como Windows domina el parque de equipos, domina también los casos forenses. El sistema deja artefactos por todas partes; dos de los más ricos son la MFT y el registro.
La MFT (Master File Table)
En el sistema de archivos NTFS, la MFT es el índice central: un registro de cada archivo del disco con su nombre, tamaño y marcas de tiempo. Analizarla permite ver archivos que existieron (incluso borrados) y reconstruir cuándo se crearon y modificaron.
El registro de Windows
El registro es la base de datos central de configuración del sistema. Además de ajustes, guarda rastros de uso muy valiosos para el forense.
| En el registro queda… | Qué cuenta |
|---|---|
| Dispositivos USB | Qué se conectó y cuándo |
| Programas ejecutados | Qué corrió en el equipo |
| Redes Wi-Fi | A qué redes se conectó |
| Configuración por usuario | Preferencias y actividad |
Otros artefactos de Windows
- Prefetch: qué programas se ejecutaron y cuántas veces.
- Event Logs: inicios de sesión, servicios, errores.
- Jump Lists / Recent: archivos abiertos recientemente.
- Papelera y shadow copies (copias anteriores de archivos).
Con tantas fechas y eventos provenientes de tantas fuentes, hace falta ordenarlos en una sola secuencia. Cómo construir esa línea de tiempo (y recuperar archivos por carving) es el próximo tema.
CONTENIDO PARA MIEMBROS
Inicia sesión para leer la clase
La clase escrita completa es para quienes tienen cuenta. Crearla es gratis.