Hoy en día, la informática o la ciencia forense digital es muy importante debido a los delitos relacionados con los ordenadores, Internet y los móviles. Las piezas de evidencia como los dispositivos informáticos y digitales contienen o almacenan información sensible que puede ser útil para el investigador forense en un crimen o incidente particular.
La investigación forense digital requiere herramientas para extraer la información deseada de los dispositivos. Existen varias herramientas comerciales para la investigación forense, pero se requiere una gran cantidad de dinero para comprarlas. La comunidad de código abierto también contribuyó en este campo y hay varias herramientas de código abierto para el campo forense digital. En este artículo, se explorarán las mejores herramientas relacionadas con el análisis forense digital.
Antes de explorar las herramientas conocidas para el análisis forense digital, las siguientes distribuciones de Linux contienen muchas herramientas forenses gratuitas.
1) SIFT (SANS Investigative Forensic Toolkit)
Un equipo internacional de expertos forenses, junto con instructores de SANS, crearon la estación de trabajo SANS Incident Forensic Toolkit (SIFT) para la respuesta a incidentes y el uso forense digital. El conjunto forense SIFT está disponible de forma gratuita para toda la comunidad. El kit de herramientas SIFT gratuito, que puede coincidir con cualquier suite de herramientas forenses y de respuesta a incidentes moderna, que se utiliza en los cursos de SANS. Demuestra que las investigaciones avanzadas y la respuesta a las intrusiones pueden llevarse a cabo utilizando herramientas de código abierto de vanguardia que están disponibles de forma gratuita y se actualizan con frecuencia.
Las características de la distribución SIFT son las siguientes:
- Ubuntu LTS 14.04 Base
- Sistema base de 32/64 bits
- Últimas herramientas y técnicas forenses
- VMware Appliance listo para abordar el análisis forense
- Compatibilidad cruzada entre Linux y Windows
- Opción de instalar stand-alone vía (.iso) o utilizarlo a través de VMware Player/Workstation/
- Un entorno interoperable que apoye al investigador digital durante las cuatro fases de la investigación digital
- Interfaz gráfica amigable para el usuario
- Contiene herramientas de código abierto
- Análisis forense de memoria
- Análisis forense de disco duro
- Imágenes forenses
- Forense de red
2) CAINE (Computer Aided Investigative Environment)
CAINE es una distribución Linux live creada como un proyecto de Forense Digital. CAINE ofrece un entorno forense completo que está organizado para integrar las herramientas de software existentes como módulos de software y proporcionar una interfaz gráfica amigable.
Los principales objetivos que pretende garantizar la distribución CAINE son los siguientes:
3) KALI (antes Backtrack)
Kali Linux es un proyecto de código abierto que es mantenido y financiado por Offensive Security, un proveedor de servicios de formación en seguridad de la información y pruebas de penetración de clase mundial. Kali Linux es la primera opción de los probadores de penetración y los profesionales de la seguridad. Tiene herramientas de seguridad para diferentes propósitos. Herramientas de código abierto para móviles, redes y análisis de RAM están disponibles en Kali Linux.
4) DEFT linux ( Digital Evidence & Forensics Toolkit )
DEFT es una distribución hecha para Informática Forense, con el propósito de correr en vivo en sistemas sin manipular o corromper dispositivos (discos duros, pendrives). Está basada en GNU Linux y puede ejecutarse en vivo (vía CD/DVD o pendrive USB), instalada o ejecutada como máquina virtual en VMware/Virtualbox. DEFT está emparejado con DART (conocido como Digital Advanced Response Toolkit), un sistema forense que puede ejecutarse en Windows y que contiene las mejores herramientas para la investigación forense y la respuesta a incidentes.
5) Martiux
Es una distribución de seguridad completa basada en Debian que consiste en un poderoso grupo de más de 300 herramientas de código abierto y gratuitas que pueden ser utilizadas para varios propósitos, incluyendo, pero no limitado a, pruebas de penetración, hacking ético, administración de sistemas y redes, investigaciones ciberforenses, pruebas de seguridad, análisis de vulnerabilidad, y mucho más. Es una distribución diseñada para los entusiastas y profesionales de la seguridad, aunque se puede utilizar normalmente como su sistema de escritorio por defecto.
Matriux está diseñado para ejecutarse desde un entorno Live como un CD / DVD o una memoria USB o se puede instalar fácilmente en su disco duro en unos pocos pasos. Matriux también incluye un conjunto de herramientas de informática forense y de recuperación de datos que se pueden utilizar para el análisis forense y las investigaciones y la recuperación de datos.
6) Santoku
Santoku se dedica a la informática forense, el análisis y la seguridad de los móviles, y se empaqueta en una plataforma de código abierto fácil de usar. Está patrocinado por la empresa de seguridad móvil «nowsecure».
Herramientas forenses gratuitas para Linux
Hay varias categorías de herramientas forenses informáticas, sin embargo, las siguientes son categorías conocidas:
7) Volatility
8) Utilidad «dd» de Linux
La utilidad «dd» viene por defecto en la mayoría de las distribuciones de Linux disponibles hoy en día (por ejemplo, Ubuntu, Fedora). Esta herramienta se puede utilizar para varias tareas forenses digitales, como el borrado forense de una unidad (puesta a cero de una unidad) y la creación de una imagen en bruto de una unidad. Es una herramienta muy potente que puede tener efectos devastadores si no se utiliza con cuidado. Se recomienda experimentar en un entorno seguro antes de utilizar esta herramienta en el mundo real.
9) Sleuth kit (Autopsy)
Sleuth Kit es un kit de herramientas forenses digitales de código abierto que se puede utilizar para realizar un análisis en profundidad de varios sistemas de archivos (FAT,NTFS, EXT2/3 etc e imágenes en bruto). Autopsy es una interfaz gráfica que para Sleuth Kit (herramienta de línea de comandos). Viene con características como el análisis de la línea de tiempo, el filtrado Hash, el análisis del sistema de archivos y la búsqueda de palabras clave con la capacidad de añadir otros módulos para una funcionalidad extendida.
Cuando inicie Autopsy, puede elegir crear un nuevo caso o cargar uno existente. Para crear un nuevo caso tendrás que cargar una imagen forense para comenzar el análisis y una vez que el proceso de análisis se haya completado, utiliza los nodos del panel izquierdo para elegir qué resultados ver.
10) Xplico
