CURSO Gestión de incidentes en Seguridad Informática MÓDULO MF0488

CURSO IFCT0109 – Seguridad en Sistemas informáticos

Práctica 6. Análisis y recuperación de datos con autopsy
Vamos a realizar recuperaciones de datos con autopsy tanto desde Windows como desde Linux

EJERCICIO 1 : Autopsy con Linux

APARTADO 1: Crear discos y datos

Necesitamos añadir dos discos a nuestro Kali:
1. Uno llamado externo (5GB) y otro llamado copias (10 Gb)
2. Desde la utilidad de Discos de Kali montar y configurar los dos discos para que puedan ser accesibles.
3. Realizar un fdisk-l para ver las unidades de particionamiento donde se encuentran, normalmente los discos
duros del sistema estarán /dev/sda y el resto en /dev/sdb__
4. Con los discos ya accesibles ir al disco externo y descargaros archivos en pdf varios, crear carpetas.
5. Borrar con shift+suprimir uno de los archivos (para que lo elimine directamente)

APARTADO 2: Clonar disco

1. Clonar el disco externo con la utilidad dd ejemplo si quiero clonar el disco externo y lo tengo en /dev/sdb1 y
copiar el clon al archivo externo.dd en el disco datos dentro de una carpeta que se llame clon escribiría
2. dd if=/dev/sdb1 of=/media/root/datos/clon/externo.dd
3. donde externo.dd es el archivo que genera del clon de la imagen del disco y es con el que vamos a trabajar.

APARTADO 3: Trabajo con Autopsy

1. Creamos un nuevo caso llamado caso 1
2. Le agregamos un nuevo host llamado equipo 1
3. Añadimos una nueva imagen

Profesor: Sonia Fernández Módulo 3

CURSO Gestión de incidentes en Seguridad Informática MÓDULO MF0488
CURSO IFCT0109 – Seguridad en Sistemas informáticos

Profesor: Sonia Fernández Módulo 3

CURSO Gestión de incidentes en Seguridad Informática MÓDULO MF0488
CURSO IFCT0109 – Seguridad en Sistemas informáticos
1. Mostrar todos los archivos borrados
2. Localizad el archivo que habéis eliminado (escribir una nota recuperado 1)
3. Si habéis borrado varios archivo (haced lo mismo)
4. Añadir en la secuencia de eventos la fecha y la hora de los archivos eliminados.
5. Crear un timeline de la imagen.
6. Mediante las meta, localizar las posiciones de memoria donde se encuentra
7. Recuperar el archivo
8. Realizar un informe por pantalla de los archivos clasificados por tipo.
9. Localizad el archivo eliminado con las Meta y recuperarlo mediante Export.
10. Sacad toda la información de la imagen

EJERCICIO 2 Autopsy con Windows

1. Crear un caso nuevo llamado Caso1
2. En la imagen datosborrados.dd que se encuentra en la carpeta compartida
3. Sacad todas las metas y explorarlas
4. Analizar todos los ficheros que hay y categorizarlos.
a. Por tamaño
b. Por tipo
c. Por extensión
5. Crear un timeline
6. Ver el contenido de los archivos y
7. Recuperad los archivos borrados y categorizarlos como importantes
8. Buscad toda la información meta de las fotografías
9. Sacad información sobre emails vinculados a los archivos.
10. Generar un informe html

Profesor: Sonia Fernández Módulo 3