Los sistemas de archivos de un vistazo

Casi todas las preguntas que un examinador responde sobre una computadora, un teléfono o una tarjeta de memoria pasan por su sistema de archivos. El sistema de archivos determina dónde se almacenan los datos, cómo se llaman, cuándo cambiaron y qué ocurre cuando se eliminan. Entender cómo lo hace explica uno de los hechos más útiles de la informática forense: los datos eliminados a menudo todavía pueden encontrarse. Las marcas de tiempo tienen su propia lección (Lección 6.2), y los rastros que dejan los programas y los usuarios se abordan en la Lección 6.3.

Qué hace un sistema de archivos

Un dispositivo de almacenamiento es una larga sucesión de sectores numerados, normalmente de 512 o 4.096 bytes cada uno. Por sí solo, no tiene archivos ni carpetas. Un sistema de archivos organiza ese espacio y lleva un registro de cuatro cosas:

• Nombres y carpetas: la jerarquía que ve el usuario, como Documents\Invoices\march.xlsx.
• Metadatos: datos sobre cada archivo, como su tamaño, marcas de tiempo, propietario y permisos.
• Asignación: qué partes del disco contienen el contenido de cada archivo.
• Espacio libre: qué partes del disco están disponibles para nuevos datos.

El espacio se distribuye en clústeres (Windows) o bloques (Linux y macOS): grupos de sectores que constituyen la unidad más pequeña que puede ocupar un archivo, a menudo de 4 KiB. Por lo tanto, un archivo de 10 KiB ocupa tres clústeres de 4 KiB, y la parte no utilizada del último se convierte en evidencia importante, como se explica a continuación.

Particiones y volúmenes

Antes de que exista un sistema de archivos, un disco se divide en particiones, descritas por una tabla de particiones al principio del disco.

• MBR (registro de arranque maestro), el esquema más antiguo, permite cuatro particiones primarias y, con sectores de 512 bytes, discos de hasta 2 TiB.
• GPT (tabla de particiones GUID), utilizada por las computadoras modernas que arrancan con UEFI, admite discos mucho más grandes y numerosas particiones, y conserva una copia de respaldo de la tabla al final del disco.

Un volumen es una partición, o un conjunto de ellas, que contiene un sistema de archivos. El disco de una computadora portátil suele contener varios: una pequeña partición de arranque, una partición de recuperación y el volumen principal. Una imagen física (Módulo 4) los captura todos, incluido el espacio entre particiones que no pertenece a ninguna.

Los sistemas de archivos que encontrará

Los equipos Mac antiguos y algunas unidades externas utilizan HFS+, el predecesor de APFS. Reconocer el sistema de archivos desde el principio es importante, porque determina qué herramientas pueden leer el volumen, cómo se comportan los datos eliminados y cómo deben interpretarse las marcas de tiempo.

El interior de NTFS y FAT

NTFS: la tabla maestra de archivos

NTFS mantiene una tabla maestra de archivos (MFT), un archivo especial que contiene un registro, normalmente de 1 KiB, por cada archivo y carpeta del volumen. Cada registro contiene atributos, entre ellos $STANDARD_INFORMATION (marcas de tiempo e indicadores), $FILE_NAME (el nombre, la carpeta superior y otro conjunto de marcas de tiempo) y $DATA (el contenido). Los archivos muy pequeños pueden almacenarse íntegramente dentro de su registro de la MFT, lo que se denomina datos residentes; los archivos más grandes tienen su contenido en clústeres ubicados en otros lugares, y el registro indica dónde. NTFS también mantiene diarios de cambios recientes, como $LogFile y el diario de cambios $UsnJrnl, que se utilizan en el trabajo especializado del examinador para reconstruir la actividad.

FAT: entradas de directorio y tabla de asignación

FAT almacena el nombre, el tamaño, las marcas de tiempo y el clúster inicial de cada archivo en una entrada de directorio dentro de su carpeta superior. La tabla de asignación de archivos es una lista con una entrada por clúster que encadena cada clúster de un archivo con el siguiente. La estructura es sencilla, lo que facilita la lectura de FAT en casi cualquier dispositivo y su examen manual.

Espacio asignado, no asignado y residual

• El espacio asignado pertenece a archivos actuales y es lo que ve un usuario o lo que se incluye en una copia lógica.
• El espacio no asignado está marcado como libre. No está necesariamente vacío: a menudo contiene el contenido de archivos eliminados y fragmentos de datos anteriores.
• El espacio residual de archivo es el espacio no utilizado entre el final de un archivo y el final de su último clúster. Puede contener restos de lo que ocupaba anteriormente ese clúster.

Solo una imagen física o de volumen (Módulo 4) conserva el espacio no asignado y el espacio residual, lo que constituye una de las razones por las que los examinadores las prefieren cuando los datos eliminados pueden ser importantes.

Qué hace realmente la eliminación

Eliminar un archivo en el Explorador de Windows o en el Finder de macOS normalmente lo traslada a la Papelera de reciclaje o a la Papelera, que no es más que otra carpeta. Vaciarla, o eliminar directamente, modifica los registros del sistema de archivos en lugar del contenido:

• En NTFS, el registro de la MFT se marca como no utilizado y los clústeres del archivo se marcan como libres. El contenido permanece donde estaba hasta que nuevos datos lo sobrescriben, y el propio registro de la MFT puede conservarse durante algún tiempo.
• En FAT, el primer carácter del nombre en la entrada de directorio se sustituye por el byte E5 (hexadecimal) y se borra la cadena de clústeres del archivo en la tabla de asignación. El contenido suele permanecer, pero encontrar todas las partes de un archivo fragmentado se vuelve más difícil.

Por lo tanto, los datos eliminados a menudo pueden recuperarse en discos duros y tarjetas de memoria. En las unidades de estado sólido, TRIM (Módulo 1) puede hacer que la unidad borre los bloques liberados poco después de la eliminación, por lo que la ausencia de datos eliminados en un SSD es algo esperado y no sospechoso.

Recuperación de archivos por firmas

Cuando los registros del sistema de archivos ya no existen, todavía es posible encontrar contenido mediante la recuperación por firmas: el análisis de datos en bruto, normalmente del espacio no asignado, en busca de las firmas conocidas que marcan el inicio y el final de los tipos de archivo. Una imagen JPEG comienza con los bytes FF D8 FF y termina con FF D9; un PDF comienza con el texto %PDF; los archivos DOCX y XLSX son archivos ZIP, que comienzan con las letras PK. Los archivos recuperados por firmas no tienen su nombre original, su carpeta ni las marcas de tiempo del sistema de archivos, y los archivos fragmentados pueden recuperarse incompletos o mezclados con otros datos, por lo que los resultados de la recuperación por firmas deben verificarse y describirse en el informe tal como son.

Un ejemplo práctico

Una tarjeta de memoria de la cámara de una fotógrafa está formateada en exFAT. La propietaria dice que eliminó un conjunto de fotos semanas atrás y que desde entonces ha tomado muchas fotografías. El examinador crea una imagen de la tarjeta mediante un bloqueador de escritura y encuentra las entradas de directorio restantes de algunos archivos eliminados, con nombres y tamaños; la recuperación por firmas en el espacio no asignado permite recuperar decenas de archivos JPEG adicionales sin nombres. Algunas imágenes recuperadas por firmas tienen zonas grises donde sus clústeres fueron sobrescritos por fotos más recientes. El informe separa las fotos recuperadas con sus metadatos del sistema de archivos de las fotos recuperadas por firmas, e indica que las fechas de las fotos recuperadas por firmas solo pueden proceder de los datos contenidos en las propias imágenes.

Enfoque del examen: Las preguntas parten de qué registra un sistema de archivos (nombres, metadatos, asignación, espacio libre), los clústeres y bloques, las diferencias entre MBR y GPT, y dónde se utilizan NTFS, FAT32, exFAT, ext4 y APFS. Conozca la tabla maestra de archivos de NTFS y los datos residentes, las entradas de directorio de FAT y la tabla de asignación, así como la diferencia entre espacio asignado, espacio no asignado y espacio residual de archivo. Una pregunta típica es qué cambia la eliminación en NTFS y FAT; otras tratan de por qué los SSD a menudo no conservan datos eliminados y de qué puede y qué no puede recuperar la recuperación por firmas.