Diferencias

Muestra las diferencias entre dos versiones de la página.

--- master_cs:analisis_forense:windows [2025/03/05 17:55] – thejuanvisu
+++ master_cs:analisis_forense:windows [2025/03/05 18:37] (actual) – thejuanvisu
@@ Línea 97: / Línea 97: @@
   * .ALT: Copia de seguridad alternativa
-===== Listas MRU =====
+=== Listas MRU ===
-Most Recently Used, son listas que almacenan infomación de los elementos usados más recientemente por el sistema operativo y aplicaciones. Esto se almacena para mejorar la eficiencia, no es de origen forense, pero nos permite ver que se ha hecho en un momento específico, como si se ha accedido a un archivo o si se han borrado cosas. Las MRU se pueden consultar en:
+Most Recently Used, son listas que almacenan infomación de los elementos usados más recientemente por el sistema operativo y aplicaciones. Esto se almacena para mejorar la eficiencia, no es de origen forense, pero nos permite ver que se ha hecho en un momento específico, como si se ha accedido a un archivo o si se han borrado cosas. Las MRU se pueden consultar en el regedit en:
 <code c>
 HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/ComDig32/OpenSavePidlMRU #Programas ejecutados recientemente
 HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/RunMRU #Comandos ejecutados recientemente
 </code>
+=== ShellBags ===
+Lugares donde el SO guarda información relacionada con las preferencias de visualización de archivos en Windows Explorer. Se generan automáticamente cuando un usuario abre una carpeta. Guardan información aunque las carpetas ya no existan. También guardan las fechas y horas, de forma que se puede reconstruir una cronología con esta información. Se encuentran en:
+<code c>
+HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/Shell/Bags #Info de como el usuario ha personalizado la vista
+HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/Shell/BagMRU #ntuser.dat, contiene el historial de carpetas visitadas por un usuario.
+#Lo mimso pero para dominio:
+HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/ShellNoRoam/Bags
+HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/ShellNoRoam/BagMRU
+</code>
+=== Herramientas ===
+  * MiTec Windows Registry Recovery: Herramienta que permite cargar archivos de registro de un backup o de un hive file. Nos facilita la visualización de esta información.
+  * ShellBags Recovery
+=== Prefetch y Superfetch ===
+Son tecnologías de windows orientadas a la eficiencia del sistema, siendo **prefetch** la más antigua (Win XP), busca mejorar el rendimiento y eficiencia de la carga de aplicaciones. Cuando arranca una aplicación hace un seguimiento de que archivos carga una aplicación y los guarda para acelerar futuras ejecuciones. Los datos de Prefetch se pueden encontrar en:
+<code c>
+HKEY_LOCAL_MACHINES/SYSTEM/CurrentControlSet/Control/session manager/ Memory Management/PrefetchParameters #Si está habilitado o deshabilitado
+%SystemRoot%/Prefetch #datos del prefetch
+</code>
+Para leer los contenidos de los prefetch se recomienda **Windows File Analyzer** o **WinPrefetchView**
+**Superfetch** aparece en Windows Vista para monitorizar de forma contínua el uso de los programas y como usan estos la RAM con el objetivo de optimizar el rendimiento del sistema. A partir de Windows 10 se llama SysMain. Sus datos se pueden encontrar en:
+<code c>
+HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sysmain
+%SystemRoot%\prefetch
+</code>
+===== Sistemas de Ficheros =====
+La jerarquía de almacenamiento es Bit > Byte > Sector > Cluster. El tamaño de los sectores y clusters se define en el encabezado del sistema de archivos. Los sistemas de archivos asignan espacio en el disco a los archivos en cluster completos. Generalmente se usan dos sitemas de archivos: FAT y NTFS. Cada uno de estos sistemas de archivos tienen diferentes parámetros que se definen en el encabezado del sistema de archivos. Cuando se borra un archivo quedan huecos en los sectores llamados Slack Space donde pueden quedar restos de los archivos que a veces se pueden recuperar mediante carving.
+==== Sistema FAT ====
+File Allocation Table, desarrollado en 1977 por Microsoft. Componentes clave:
+  * Sector de arranque
+      * BIOS Parameter Block (BPB): proporciona detalles para acceder al volúmen, como el tamaño del cluster que puede ir de un sector de 512Bytes hasta 128 Sectores de 65.536 Bytes
+      * información sobre el sistema de archivos
+      * Ubicación del inicio del volúmen
+  * Tabla de Asignación de Archivos (FAT): Actúa como mapa del dispositivo de almacenamoento, cada entrada FAT se corresponde a un cluster en el disco, que indican si están:
+      * Libre (Unallocated)
+      * Asignados (Allocated)
+      * Fin de archivo (EOF)
+      * Defectuoso
+  * Región del directorio Raíz: Se ubica inmediatamente después de la región FAT
+      * Tiene tamaño fijo
+      * Contiene entradas para archivos y subdirectorios
+      * En FAT32 el directorio raíz se almacena en la región de datos, permitiendo expandirla cuando sea necesario.
+  * Región de datos
+Desde el punto de vista forense:
+  * Comportamiento de eliminación de archivos:
+      * Al eliminar un archivo, el primer carácter de entrada de este pasa a ser 0xE5
+      * El resto del archivo permanece intacto hasta que se sobreescriba la zona.
+  * Espacio Resiudal (Slack Space). Es lo que queda entre donde estaba el archivo y el resto del clúster. Si en un cluster caben 10 cosas y se quieren almacenar 11 cosas, se usan 2 clusters, quedando 9 secciones del segundo cluster libres
+  * Timestamp: Las fechas no son muy precisas, lo que es un problema para reconstruir la línea de tiempo y no se guarda la zona horaria.
+  * Almacenamiento del nombre de archivos: Los guarda en formato 8.3 (8 caracteres y extensión de 3 caracteres)
+      * Fat guarda como 2 veces, guarda una vez el nombre del archivo, por ejemplo, para InformeConfidencial.docx guarda un archivo INFORM~1.DOC y el nombre en otros archivos a parte.
+  * Recuperación de entradas FAT: Suele haber un FAT1 y un FAT2, reflejándose los cambios en FAT1 en FAT2 con mirroring
+==== NTFS ====
+New Technology File System, aparece con Windows NT 3.1 para optimizar el almacenaje en discos duros, mientras que FAT era para disquettes. NTFS guarda la información en unos archivos especiales que empiezan por $:
+  * Sector de Arranque de Partición (PBS): Ubicado al inicio del volúmen NTFS y almacenado en $$Boot
+  * MFT (Master File Table): El archivo $MFT reside en la zona MFT del área de datos y actua como la base de datos central de NTFS, registrando información de cada archivo y dato del volúmen.
+  * Eliminación Lógica: cuando se elimina un archivo, se marca esa zona como no usada en la MFT, siguiendo esos datos ahí.
+  * Slack Space: Similar al de FAT, pero en menor medida ya que los archivos pequeños pueden ser almacenados directamente en la MFT sin usar el cluster.
+  * Análisis de Volume Shadow Copy (VSC): Función de NTFS que crea copias de archivos o volúmenes.
+      * Permite recuperar versiones anteriores de archivos, incluyendo eliminados y modificados.

Knoppia

Herramientas de usuario

Herramientas del sitio

Diferencias

Herramientas de la página