Introducción a la informática forense; página legal; índice; introducción; 1 se ha escrito un crimen digital; 1.1 un día como otro cualquiera; 1.2 intervención; 1.2.1 los primeros en llegar; 1.2.2 apagado sin más; 1.2.3 objetos intervenidos; 1.3 la amenaza digital; 1.3.1 el delito informático; 1.3.2 evaluación del riesgo; 1.3.3 los motivos del agresor; 1.3.4 amenazas internas y externas; 1.4 dinámica de una intrusión; 1.4.1 footprinting; 1.4.2 escaneo de puertos y protocolos; 1.4.3 enumeración; 1.4.4 penetración y despliegue de exploits; 1.4.5 puertas traseras; 1.4.6 borrando huellas la investigación forense2.1 etapas de una investigación forense; 2.1.1 adquisición (imaging); 2.1.2 análisis; 2.1.3 presentación; 2.1.4 la línea de tiempo; 2.2 requisitos de la investigación forense; 2.2.1 aceptabilidad; 2.2.2 integridad; 2.2.3 credibilidad; 2.2.4 relación causa-efecto; 2.2.5 carácter repetible; 2.2.6 documentación; 2.3 valoración jurídica de la prueba digital; 2.3.1 interés legal de la prueba; 2.3.2 prueba física y prueba personal; 2.3.3 cualificación del investigador forense; 2.3.4 la adquisición: fase crucial; 3 soportes de datos; 3.1 procedimientos de adquisición 3.1.1 encase & linen3.1.2 dd; 3.1.3 dcfldd, dc3dd y ddrescue; 3.1.4 air; 3.1.5 adquisición por hardware; 3.1.6 md5 y sha; 3.1.7 cálculo de md5 con linux; 3.2 discos, particiones y sistemas de archivos; 3.2.1 ntfs; 3.2.2 fat; 3.2.3 ext2, ext3, ext4; 3.2.4 hfs, hfs+, jfs, reiserfs, etc.; 3.3 modelo de capas; 3.3.1 nivel 1; 3.3.2 nivel 2; 3.3.3 nivel 3; 3.3.4 nivel 4; 3.3.5 nivel 5; 3.3.6 nivel 6; 3.3.7 nivel 7; 3.4 recuperación de archivos borrados; 3.4.1 dinámica del borrado de archivos; 3.4.2 sector/, cluster/ y file slack; 3.5 análisis de una imagen forense con tsk; 3.5.1 componentes de tsk 3.5.2 adquisición de un soporte de datos3.5.3 instalación de tsk; 3.5.4 análisis de la imagen; 3.5.5 análisis del sistema de archivos; 3.5.6 listado de archivos; 3.5.7 recuperando archivos borrados; 3.6 análisis de archivos; 3.6.1 firmas características; 3.6.2 documentos; 3.6.3 archivos gráficos; 3.6.4 multimedia; 3.6.5 archivos ejecutables; 3.6.6 exclusión de archivos conocidos; 3.7 data carving; 3.7.1 cuando todo lo demás falla; 3.7.2 extracción de archivos; 4 análisis forense de sistemas (...); 4.1 recopilando información volátil; 4.1.1 fecha y hora del sistema 4.1.2 conexiones de red abiertas4.1.3 puertos tcp y udp abiertos; 4.1.4 ejecutables conectados a puertos tcp y udp; 4.1.5 usuarios conectados al sistema; 4.1.6 tabla de enrutamiento interna; 4.1.7 procesos en ejecución; 4.1.8 archivos abiertos; 4.2 análisis forense de la ram; 4.2.1 captura de ram completa con dd; 4.3 adquisición de soportes; 4.3.1 adquisición con encase; 4.3.2 adquisición con ftk imager; 4.3.3 otros métodos; 4.4 análisis post mortem; 4.4.1 análisis con encase; 4.4.2 accessdata ftk; 4.4.3 captain nemo; 4.4.4 mount image pro; 4.4.5 filedisk