Adquisición e integridad · Lección 3 de 3
Imágenes forenses y bloqueo de escritura
8 min de lectura
Crear la imagen de una unidad es trabajo de rutina, y en la rutina se esconden los errores: el formato equivocado, un bloqueador de escritura que nunca se probó, un sector defectuoso que nadie anotó. A continuación se tratan los formatos utilizados, los bloqueadores de escritura, la prueba de herramientas, un flujo de trabajo paso a paso y los problemas más frecuentes. El almacenamiento seguro de las imágenes se aborda en el Módulo 5.
Formatos de imagen
Una imagen forense es un archivo, o un conjunto de archivos, que contiene una copia bit a bit de un origen.
En bruto (dd)
Una imagen en bruto, a menudo llamada imagen dd por el comando dd de Unix que suele utilizarse para crearla, contiene los bytes exactos del origen y nada más. Casi todas las herramientas pueden leerla y puede dividirse en segmentos numerados (.001, .002). Al no tener cabecera, los detalles del caso y los valores hash se conservan por separado, en registros y notas.
Expert Witness Format (E01)
El formato Expert Witness Format (EWF), conocido por su extensión de archivo E01, se originó en una herramienta forense comercial y actualmente es compatible con la mayoría de los programas forenses. Una imagen E01 almacena los datos de origen, opcionalmente comprimidos, junto con metadatos del caso, como el número de caso, el examinador y la descripción, sumas de comprobación de cada bloque de datos para localizar daños y un hash de los datos adquiridos. Las imágenes grandes se dividen en segmentos denominados .E01, .E02 y así sucesivamente.
El hash almacenado en un E01 es el hash de los datos de origen, no del archivo .E01. Calcular el hash del propio archivo .E01 con una utilidad de uso general da un valor diferente, lo cual es normal y no indica manipulación. Las herramientas verifican un E01 leyendo los datos del contenedor y comparando su hash con el valor almacenado.
AFF4
AFF4 (Advanced Forensic Format 4) es un formato abierto diseñado para imágenes de gran tamaño, que puede contener varios flujos de datos, como una imagen de disco y una imagen de memoria, junto con sus metadatos en un solo contenedor.
| Formato | Ventajas | Limitaciones |
|---|---|---|
| En bruto (dd) | Bytes exactos, sencillo, legible por casi cualquier herramienta | Sin metadatos ni hash integrados; sin compresión |
| E01 (EWF) | Compresión, metadatos del caso, hash integrado, sumas de comprobación de bloques, segmentos | Los datos deben leerse mediante software compatible con el formato |
| AFF4 | Especificación abierta, imágenes de gran tamaño, varios flujos en un solo contenedor | Compatible con menos herramientas que los formatos en bruto y E01 |
Bloqueadores de escritura
Un bloqueador de escritura permite al examinador leer un dispositivo de almacenamiento e impide cualquier escritura en él. Sin uno, el simple hecho de conectar una unidad a un equipo puede modificarla: los sistemas operativos pueden montar sus volúmenes, reproducir los diarios del sistema de archivos o crear archivos del sistema en ella.
- Los bloqueadores de escritura por hardware se sitúan físicamente entre la unidad de origen y la estación de trabajo forense. Transmiten los comandos de lectura a la unidad y detienen los comandos de escritura, independientemente del sistema operativo de la estación de trabajo. Existen modelos para interfaces comunes como SATA, SAS, NVMe y USB.
- Los bloqueadores de escritura por software funcionan dentro del sistema operativo, como un controlador o una configuración que rechaza las escrituras en los dispositivos seleccionados, o como un entorno de arranque forense que nunca monta las unidades para escritura. Son económicos, pero dependen de que el sistema operativo y su configuración se comporten exactamente como se espera.
Un bloqueador de escritura controla los comandos que proceden del equipo. No controla lo que sucede dentro de la unidad: el controlador de una SSD puede seguir borrando bloques marcados por TRIM (Módulo 1) mientras recibe alimentación, y las unidades actualizan contadores internos, como las horas de funcionamiento. Además, un bloqueador de escritura solo protege el dispositivo conectado a través de él, y un simple adaptador de USB a SATA no es un bloqueador de escritura, por mucho que se le parezca.
Pruebas de las herramientas y validación de la configuración
Los examinadores deben poder demostrar que su bloqueador de escritura y su herramienta de creación de imágenes se comportan como se afirma. Dos tipos de evidencia respaldan esto.
- Pruebas independientes: el programa Computer Forensics Tool Testing (CFTT) de NIST publica especificaciones para categorías de herramientas, incluidos los bloqueadores de escritura por hardware y software y las herramientas de creación de imágenes de disco, así como informes de pruebas de productos y versiones específicos, con las anomalías detectadas.
- Validación propia: ISO/IEC 27041 establece que los métodos y las herramientas deben validarse para el uso previsto. Una comprobación sencilla consiste en calcular el hash de una unidad de prueba, conectarla a través del bloqueador, intentar montarla y escribir en ella y, después, volver a calcular su hash; los valores deben coincidir. Repita la comprobación tras las actualizaciones de firmware o software y conserve los registros. SWGDE también publica directrices sobre las pruebas de validación.
Un informe de CFTT sobre una versión de firmware diferente, o una validación realizada hace años con otro hardware, ofrece un respaldo más débil que una comprobación reciente de la configuración exacta utilizada.
El flujo de trabajo de creación de imágenes
- Documente el origen. Fotografíe la unidad y su etiqueta; registre la marca, el modelo, el número de serie, la capacidad, la interfaz y el dispositivo del que procede.
- Prepare el destino. Utilice medios nuevos o borrados mediante un procedimiento forense, con espacio suficiente y comprobados antes de su uso, para que los datos antiguos no puedan confundirse con evidencia. Registre también su identidad.
- Conecte a través del bloqueador de escritura. Conecte el origen al bloqueador y el bloqueador a la estación de trabajo, siguiendo las instrucciones del bloqueador para suministrar alimentación a la unidad.
- Verifique el bloqueo. Confirme que el bloqueador indica protección contra escritura y que la estación de trabajo reconoce la unidad como de solo lectura; compruebe que la capacidad indicada sea la esperada.
- Cree la imagen. Elija el formato, el tamaño de los segmentos, la compresión y los algoritmos hash, introduzca los detalles del caso y cree una imagen de todo el dispositivo.
- Calcule el hash y verifique. Registre el hash de adquisición y, después, verifique la imagen y compare los valores.
- Registre. Conserve el registro de la herramienta; anote la herramienta y su versión, las horas de inicio y finalización, los errores y los valores hash finales; actualice la cadena de custodia (Módulo 5).
Herramientas a modo de ejemplo
El método importa más que el producto. Algunos ejemplos gratuitos son FTK Imager (una herramienta gratuita para Windows de un proveedor comercial), Guymager (una herramienta de código abierto para Linux con interfaz gráfica), ewfacquire (parte de la biblioteca de código abierto libewf, que crea imágenes E01) y dc3dd (una versión de dd adaptada al uso forense, que calcula hashes mientras copia y registra los errores). Registre el nombre y la versión de la herramienta.
Problemas comunes
- Sectores defectuosos. Las herramientas de creación de imágenes reintentan la lectura de las áreas dañadas y, después, suelen rellenar con ceros los sectores ilegibles y registrar su ubicación. Un hash posterior del origen puede ser diferente. Informe de cuántos sectores no pudieron leerse.
- Áreas ocultas. El área protegida del host (HPA) y la superposición de configuración del dispositivo (DCO) son funciones de las unidades ATA que pueden hacer que una parte del disco sea invisible para el sistema operativo. Compare la capacidad nativa de la unidad con la capacidad indicada; acceder a un área oculta puede requerir cambiar la configuración de la unidad, lo cual debe documentarse.
- Unidades cifradas. Una imagen física de una unidad cifrada es válida, pero ilegible sin la contraseña o la clave de recuperación. Busque claves antes de apagar el sistema (Lección 4.1), registre las claves de recuperación proporcionadas con la debida autorización y considere crear una imagen lógica del volumen desbloqueado en un sistema en funcionamiento. Las unidades con autocifrado cifran mediante hardware; cuando se establece una contraseña, se bloquean al perder la alimentación y no proporcionan datos de usuario legibles sin ella.
- Almacenamiento que no puede extraerse. En muchas computadoras portátiles actuales, el almacenamiento está soldado a la placa base y cifrado por hardware, por lo que es imposible extraer la unidad para crear una imagen con el sistema apagado. En estos casos, los examinadores recurren a las interfaces del propio dispositivo, a modos de arranque especiales o a la adquisición en vivo y lógica.
Enfoque del examen: Compare las imágenes en bruto (dd), E01 y AFF4, y recuerde que el hash almacenado en un E01 corresponde a los datos adquiridos, no al archivo contenedor. Distinga los bloqueadores de escritura por hardware de los bloqueadores por software y conozca sus limitaciones, especialmente la recolección de basura de las SSD. Conozca la función de NIST CFTT y de su propia validación conforme a ISO/IEC 27041, los pasos del flujo de trabajo de creación de imágenes en orden y cómo abordar los sectores defectuosos, HPA y DCO, y las unidades cifradas.