Análisis Forense Informático - Fuentes de Evidencia

Fuentes de evidencia

1. -¿Cual de los dispositivos o componentes de un computador contendrá evidencias tipo archivos?

Normalmente los diferentes componentes de hardware donde encontraremos información relevante para ser entregada como evidencia en un proceso legal de delitos informáticos es básico, como son el disco duro y la memoria RAM, en estos encontramos los archivos personales y de registro del sistema.

2. -¿Que tipo de evidencias puede contener el sistema operativo?

Dentro de un sistema operativo encontramos diferentes tipos de evidencias, primero datos almacenados por el usuario, estos se encuentran fuera del sistema en el disco duro pero son cargados en este.

Podemos hacer un sondeo en diferente información tal como:

    - archivos ofimáticos, fotografías, fotos. 

Por otro lado tenemos información generada por el propio sistema operativo, esta tiene detalles de inicio de sesión, programas abiertos y usados, paginas web visitadas, historial de navegación, correos enviados, chats en redes sociales. Toda esta información es muy necesaria para realizar un Time line del delito.

Toda esta información se encuentra detallada en diferentes apartados ejemplo:

    - cookies, cache, historial, log del sistema, registro de Windows, Memoria RAM,

    análisis de disco duros, RAM Slack, file slack, unilocatte space, System Restore.

O en archivos como:

    - NtUSer.dat, Pagefile.sys, Hiberfil.sys.

3. -¿Se podrán encontrar evidencias en la memoria principal? 

Si, aunque dependendiendo de la legislación, puede no servir debido a que su la informacion contenida allí es volátil, es decir, la información dentro de la memoria RAM es eliminada o perdida en gran parte una vez el componente pierde señal eléctrica, si el sistema es apagado o reiniciado se perderán, aun así en caso de encontrar información se deben realizar pruebas de esta con fotografías y proceder.

En la memoria principal o RAM encontramos información relevante como:

    - procesos en ejecución, conexiones activas, drivers cargados, direcciones web usadas, 

    contraseñas y servicios recientes.