sha256sum evidencia.rawRegistra resultado, ruta, fecha y herramienta.
DFIR · KIT DE CAMPO
Del comando
al hallazgo defendible.
Prácticas guiadas, terminal de referencia, herramientas modernas y un glosario rápido. Cada ejercicio termina con un producto verificable.
WALKTHROUGHS
Cuatro prácticas completas, paso a paso.
Requisitos, secuencia, resultado esperado y errores que deben quedar documentados.
01LiME · DumpIt u otra herramienta validadaAdquisición de memoria RAM
Adquisición de memoria RAM
- 1
Confirma habilitación, destino, espacio, hora y versión de la herramienta. Fotografía el estado antes de ejecutar.
- 2
En Linux, compila o usa un módulo LiME compatible con el kernel del sistema. En Windows, revisa la sintaxis exacta de la versión autorizada de la herramienta: no reutilices comandos antiguos a ciegas.
- 3
Calcula SHA-256 al terminar, conserva la salida y registra los cambios inevitables causados por la adquisición.
PRODUCTO VERIFICABLE
Entrega: imagen de memoria, hash, salida de herramienta, reloj de referencia e incidencias.
No prometas una captura “sin alteración”: toda adquisición en vivo deja huella. La obligación es minimizarla y documentarla.
02windows.info · pslist · psscan · netscan · cmdlineAnálisis inicial con Volatility 3
Análisis inicial con Volatility 3
- 1
Verifica primero la integridad y trabaja sobre una copia. Ejecuta windows.info y documenta errores de capa o símbolos.
- 2
Construye una tabla de procesos con PID, padre, tiempo y comando; después contrasta listas y escaneos para detectar discrepancias.
- 3
Relaciona red, procesos y tiempo. Un plugin aporta observaciones: una etiqueta como malfind no constituye por sí sola un veredicto de malware.
PRODUCTO VERIFICABLE
Entrega: matriz proceso-red-tiempo con evidencia a favor, alternativas y siguiente verificación.
No atribuyas actividad a una persona por el nombre de una cuenta o proceso.
03ExifTool · salida texto y JSONMetadatos con ExifTool
Metadatos con ExifTool
- 1
Copia el fichero de trabajo, calcula SHA-256 y registra tamaño y tipo detectado.
- 2
Usa -a -u -g1 para no ocultar etiquetas duplicadas o desconocidas y exporta JSON si vas a correlacionar muchos archivos.
- 3
Distingue la fecha del sistema de archivos, los campos EXIF y cualquier fecha normalizada. Los metadatos pueden editarse y necesitan corroboración.
PRODUCTO VERIFICABLE
Entrega: tabla etiqueta-valor-fuente, hash del original y limitaciones.
Un GPS o un autor EXIF no demuestra por sí solo ubicación real o autoría.
04ewfverify · sha256sum · Get-FileHashValidación de imagen E01 o raw
Validación de imagen E01 o raw
- 1
Conserva el original protegido y verifica el contenedor E01 con la herramienta EWF correspondiente.
- 2
Para una imagen raw, compara el SHA-256 calculado al adquirir, transferir y abrir la copia de trabajo.
- 3
Si no coincide, detén el flujo: no sobrescribas, repite el cálculo, revisa tamaño, segmentos y soporte, y abre una incidencia.
PRODUCTO VERIFICABLE
Entrega: manifiesto de hashes, salida de verificación, tamaños y responsable de cada comprobación.
El hash demuestra igualdad entre contenidos comparados; no demuestra por sí mismo origen, legalidad o autoría.
TERMINAL / CHEATSHEET
Comandos listos para copiar.
Úsalos únicamente sobre fuentes autorizadas. Comprueba siempre versión, ruta, dispositivo y parámetros antes de ejecutar.
Get-FileHash -Path .\evidencia.raw -Algorithm SHA256Cmdlet oficial de PowerShell; evita algoritmos heredados como única referencia.
ewfverify evidencia.E01Verifica el contenedor EWF y conserva la salida completa.
exiftool -a -u -g1 evidencia.jpgMuestra etiquetas duplicadas, desconocidas y agrupadas.
exiftool -json -a -u -g1 evidencia.jpg > metadatos.jsonTrabaja sobre copia y calcula el hash del resultado.
python3 vol.py -f memoria.raw windows.infoConfirma que la capa y símbolos se resuelven antes de interpretar.
python3 vol.py -f memoria.raw windows.pslistContrasta después con psscan y otros artefactos.
python3 vol.py -f memoria.raw windows.netscanUna conexión exige contexto temporal y de proceso.
python3 vol.py -f memoria.raw windows.cmdlineCorrelaciona PID, padre, usuario y tiempo.
sudo insmod lime.ko "path=/mnt/evidence/memoria.lime format=lime"Solo en equipo autorizado, con módulo compatible con el kernel y destino preparado.
kape.exe --tsource C: --tdest E:\triage --target !SANS_TriageComprueba la versión y los targets instalados antes de usar; documenta la selección.
sudo dd if=/dev/sdX of=/mnt/evidence/disco.raw bs=4M conv=noerror,sync status=progressRequiere autorización, dispositivo correcto y procedimiento con bloqueo de escritura.
HERRAMIENTAS MODERNAS
Consulta la fuente antes de usar.
La plataforma prioriza documentación oficial y herramientas activas. La inclusión no sustituye validación interna, formación ni autorización.
GLOSARIO FORENSE
Conceptos para trabajar con precisión.
Obtención controlada de datos de una fuente con método y alcance documentados.
Dato o estructura generado por un sistema o aplicación que puede responder una pregunta forense.
Recuperación de contenido por firmas o estructura, sin depender del sistema de archivos.
Dos entradas diferentes producen el mismo resumen; MD5 y SHA-1 tienen debilidades conocidas.
Información que cambia o desaparece al perder energía, cerrar una sesión o continuar ejecutando el sistema.
Contenedor de imagen forense segmentable con metadatos y comprobaciones de integridad.
Copia lineal de bloques sin el contenedor y metadatos propios de EWF.
Espacio no ocupado al final de una unidad de asignación que puede conservar restos de datos.
Secuencia normalizada de eventos que conserva fuente, zona horaria y precisión.
Control físico o lógico destinado a impedir escrituras sobre el soporte fuente.