Informatica Forense

Buenas,

Apache es un servidor Web que no necesita presentación. Existe mucha documentación asociada a cómo compilarlo, cómo configurarlo y cómo administrarlo, así que sobre eso poco o nada tengo que decir.

Lo que os voy a contar hoy es cómo se activa y se utiliza un módulo determinado en el servidor. Ese módulo es mod_log_forensics. Las explicaciones se harán para una instalación FreeBSD, con lo que los usuarios de Linux que se anden con ojo, ya que los filesystem de *BSD difieren de los Linux, con lo que quizás algún fichero de configuración tenga distintas ubicaciones y denominaciones que las mostradas en este pequeño tutorial. La instalación la he efectuado en Apache/1.3.39

Leer todo el contenido…

Para un análisis forense en el que me encuentro trabajando, tenía que probar que el sospechoso había utilizado un disquete que se encontró tirado cerca de la escena del crimen. Afortunadamente, esto resulto muy sencillo de hacer gracias a los metadatos que se encuentran en los archivos Link de Windows.

Uno de los metadatos más interesantes es el “Volume Serial Number”, que es el código del volumen en donde un archivo o directorio ha sido guardado. Esto por ejemplo, nos permitiría identificar unívocamente que un archivo ha sido guardado en un disquete o pen-drive en particular.

Si a todo esto le sumamos que cada vez que abrimos un documento en Windows, un Link se crea en la carpeta “Recent”, podemos encontrar en los archivos Link una importante fuente probatoria para un análisis forense.

EnCase trae módulos para buscar y parsear archivos LNK automáticamente dentro de un caso, pero sino también pueden utilizar este programa que decodifica la información de estos archivos como se muestra a continuación: