CENTRO NACIONAL DE SEGURIDAD DIGITAL Análisis Forense Digital Ing. Maurice Frayssinet Delgado mfrayssinet@gmail.com Tfl. (+51)980.997.203 Unidad 4 Análisis forense de archivos Unidad 4. Análisis forense de archivos 4.1 Identificación de tipos de archivos 4.2 Recuperación de archivos borrados 4.3 Análisis de imágenes digitales 4.4 Análisis de audio digital 4.5 Análisis de video digital 4 4.1 Identificación de tipos de archivos Sistema de archivos El sistema de archivos es un conjunto de tipos de datos que se emplea para el almacenamiento, la categorización jerárquica, la gestión, la navegación, el acceso y la recuperación de datos. Están organizados en directorios estructurados en árbol y los directorios requieren autorización de acceso. Proporciona un mecanismo para que los usuarios almacenen datos de forma lógica en una jerarquía de archivos y directorios. También incluye un formato para especificar la ruta a un archivo a través de la estructura de directorios. Los principales sistemas de archivos incluyen FAT, NTFS, HFS, Ext2, Ext3, etc. 6 Tipos de sistemas de archivos Tipos Descripción Sistemas de archivos de disco Este sistema de archivos es uno en el que varios sistemas (servidores) tienen compartido acceso al mismo subsistema de disco externo. Sistemas de archivos de propósito especial En este sistema de archivos, los archivos se organizan dinámicamente por software, destinados a fines tales como la comunicación entre procesos informáticos o el espacio de archivos temporal. Sistemas de archivos de cinta Este sistema de archivos está diseñado para almacenar y recuperar el archivo en la cinta en una forma autodescriptiva. Sistemas de archivos flash Este sistema de archivos está diseñado para almacenar y recuperar el archivo en los dispositivos de memoria flash. 7 Tipos de sistemas de archivos Tipos Descripción Sistemas de archivos de base de datos Los archivos se identifican por sus características, como tipo de archivo, tema, autor o metadatos similares. Sistemas de archivos de red Este sistema de archivos es un tipo de sistema de archivos que se crea para acceder a los archivos en otras computadoras que están conectadas por una red. Sistemas de archivos en disco Este sistema de archivos está diseñado para almacenar y recuperar el archivo en los dispositivos de almacenamiento, generalmente un disco duro. 8 Lista de sistemas de archivos de disco ADFS Sistema de archivo de disco avanzado de Acorn, sucesor de DFS. Ext Sistema de archivos extendido, diseñado para sistemas Linux. BFS El sistema de archivos Be utilizado en BeOS. Ext2 Sistema de archivos extendido 2, diseñado para sistemas Linux. EFS Sistema de archivos cifrados, una extensión de NTFS. Ext3 Sistema de archivos extendido 3, diseñado para sistemas Linux, (ext2 + registro en diario). EFS (IRIX) Un sistema de archivo de bloques más antiguo bajo IRIX. Ext4 Un seguimiento de ext3 y también un sistema de archivos registrado con soporte para extensiones. 9 Lista de sistemas de archivos de disco FAT Tabla de asignación de archivos, utilizada en DOS y Microsoft Windows, profundidades de tabla de 12 y 16 bits. Files-11 Sistema de archivos OpenVMS. FAT32 FAT con profundidades de tabla de 32 bits. HFS Sistema de archivos jerárquico, utilizado en sistemas Mac OS más antiguos. FFS Sistema de archivos rápido, utilizado en sistemas * BSD. HSF Plus Versión actualizada de HFS utilizada en sistemas Mac OS más nuevos. 10 Arquitectura NTFS 11 Funcionamiento del sistema de cifrado de archivos (EFS) 12 Funcionamiento del sistema de cifrado de archivos (EFS) 13 Sistemas de archivos Linux Sistemas de archivos Linux populares EXT (sistema de archivos extendido) • Primer sistema de archivos para el sistema operativo Linux en superar ciertas limitaciones del sistema de archivos Minix. • Es reemplazado por el segundo sistema de archivos extendido. 0 1 2 3 EXT2 (Segundo sistema de archivos extendido) • Sistema de archivos estándar con algoritmos mejorados utilizados en el sistema operativo Linux durante varios años. • No es un sistema de archivos de diario. EXT3 (Tercer sistema de archivos extendido) • Sistema de archivos con registro utilizado en el sistema operativo GNU / Linux. Se monta y se utiliza como un sistema de archivos Ext2. • Utiliza utilidades de mantenimiento del sistema de archivos (como fsck) para mantener y reparar el sistema de archivos Ext2 por igual. 14 Sistemas de archivos Mac OS X HFS (sistema de archivos jerárquico) Desarrollado por Apple Computer para soportar el sistema operativo Mac. HFS Plus HFS Plus (HFS +) es un sucesor de HFS y se utiliza como sistema de archivos principal en Macintosh. UFS (sistema de archivos UNIX) Derivado del Berkeley Fast File System (FFS) que fue desarrollado originalmente en Bell Laboratories a partir de la primera versión de UNIX FS. Todos los derivados de BSD UNIX, incluidos FreeBSD, NetBSD, OpenBSD, NeXTStep y Solaris, utilizan una variante de UFS. Actúa como sustituto de HFS en Mac OS X. 15 4.2 Recuperación de archivos borrados Eliminar archivos Liberar espacio en disco. Es una forma de eliminar un archivo del sistema de archivos de una computadora. Razones: Eliminación de datos duplicados o innecesarios para evitar confusiones. Hacer que la información sensible no esté disponible para otros. Los archivos se mueven a la Papelera de reciclaje de las siguientes formas: Haciendo clic derecho en un archivo y seleccionando eliminar en el menú. Seleccionando eliminar del menú lateral en Windows XP. Desde un comando del menú contextual o alguna otra función en una aplicación de software (generalmente configurable). Por un virus informático. Arrastrando y soltando un archivo en el icono de la Papelera de reciclaje. 17 Herramientas Recover My Files El software de recuperación de datos Recover My Files recupera archivos eliminados vaciados de la Papelera de reciclaje de Windows, archivos perdidos debido al formateo o reinstalación de un disco duro, o archivos eliminados por un virus, infección troyana, apagado inesperado del sistema o falla del software. http://www.recovermyfiles.com/ 18 Herramientas EASEUS Data Recovery Wizard Software de recuperación de datos con vista previa de archivos. Tipos: Documentos, Vídeos, Imágenes, Emails, audios. https://www.easeus.com/ 19 Herramientas Recuva Recuva es una aplicación para recuperar ficheros perdidos o borrados por accidente que ha sido elaborada por Piriform, los mismos desarrolladores de la útil herramienta CCleaner. Recupera archivos de discos formateados o dañados. Recupera emails. Dispone de asistente enormemente el proceso. que simplifica Análisis profundo para una búsqueda más exhaustiva de los datos. https://www.ccleaner.com/recuva 20 Herramientas PC INSPECTOR File Recovery PC INSPECTOR File Recovery es un llamado FREEWARE. Encuentra unidades automáticamente incluso si el sector de arranque o la FAT se han eliminado o dañado. Reconstruye archivos con la fecha y hora originales. Admite guardar datos reconstruidos también unidades de red Reconstruye archivos. http://pcinspector.de/ 21 Herramientas DiskDigger Es una herramienta que recupera y recupera archivos perdidos de su disco duro, tarjetas de memoria, unidades flash USB. Capacidad mejorada para recuperar archivos comprimidos en volúmenes NTFS. Los archivos recuperables comprimidos se descomprimirán automáticamente cuando se recuperen. Soporte para detectar archivos PostScript (.PS) y PostScript encapsulado (.EPS) en el modo Profundizar. Detección mejorada de particiones antiguas de IBM PC-DOS. Mejor guardado y restauración de sesiones, para pausar y reanudar escaneos de larga duración. https://diskdigger.org/ 22 4.3 Análisis de imágenes digitales 24 ¿Qué es un Archivo de Imagen? El mecanismo utilizado para almacenar y rasterizar una imagen puede variar a lo largo de diferentes estándares. Un formato de archivo de imagen es cómo se almacena y representa una foto digital. Los datos de una imagen se almacenan de tal forma que aparezcan en la pantalla o se impriman. Esto se logra mediante el proceso de rasterización. Una imagen es una cuadrícula de pixeles y a cada pixel se le asigna un valor (un bit). Esto es lo que hace a cualquier formato de imagen algo único. En su mayoría, los formatos siguen técnicas comprimidas o no comprimidas (es decir, compresión sin pérdida o de pérdida). Sin embargo, algunos formatos de imagen están dedicados para vectores. Algunos formatos de imagen comúnmente utilizados son JPEG, BMP, GIF, PNG, PSD, y TIFF. Aparte de ellos, podría haber muchos otros formatos. 25 Bitmap vs Vector 26 Bitmap 27 Original 28 Vectorial 29 Vectorial 30 Tipos de formato de archivo 31 ¿Qué es un Archivo de Imagen? 32 Diferencias entre JPG y JPEG 33 ¿Qué es GIF? Significa “Graphic Interchange Format (Formato de Intercambio Gráfico)”. Hoy en día, los GIFs se utilizan para representar videos y animaciones. El formato fue presentado en 1987, pero ganó una inmensa popularidad en los últimos años debido a las redes sociales. Sigue la técnica de compresión sin pérdida LZW. Significa que se mantiene la calidad original de los datos. Sin embargo, los GIFs sólo permiten pixeles de 8 bits. Es decir, sólo hay 256 posibles combinaciones de colores en el formato. Puesto que los GIFs almacenan "fotos en movimiento", el tamaño del archivo es generalmente más grande que los JPEGs. 34 ¿Qué es PNG? PNG significa Portable Network Graphics (Gráficos de Red Portátiles). Es un formato de imagen de gráficos rasterizados. Fue presentado en 1997 y obtuvo una norma ISO en el 2004. PNG fue originalmente diseñado para transferir imágenes por internet (y no para imprimir). Por eso es compatible con el espectro RGB. Sin embargo, el formato se utiliza conmúnmente en diseño, debido a su fondo transparente. 35 JPG vs BMP 36 ¿Qué es un archivo RAW? Los archivos RAW son fotos no procesadas. Es decir, son los archivos originales que aún no son procesados por la cámara. Puesto que no están procesados, no pueden ser editados por las aplicaciones usuales. Estos son los formatos de pre-conversión que luego se pueden usar en edición de alto nivel (como con Photoshop). Sin embargo, no son adecuados para imprimir. RAW es un grupo de extensiones de archivos con algunos formatos comúnmente utilizados: 3FR, DNG, DATA, ARW, SR2 y muchos más. 37 JPEG vs. RAW 38 ¿Qué es un Archivo TIFF? TIFF significa Tagged Image File Format (Formato de Archivo de Imagen con Etiquetas) y sigue una extensión TIFF o TIF. Es un formato de gráficos de trama que se utiliza principalmente en publicación. También permite publicación de imágenes, impresión e incluso el reconocimiento óptico de caracteres. El formato se desarrolló originalmente por Adobe en los 80s. TIFF sigue una técnica no comprimida o una CCIT (codificación Huffman). 39 JPEG VS TIFF 40 1860 Este retrato casi icónico (en forma de litografía) del presidente estadounidense Abraham Lincoln es una composición de la cabeza de Lincoln y el cuerpo del político sureño John Calhoun. 1930 Stalin rutinariamente sacaba a sus enemigos de las fotografías. En esta fotografía, un comisario fue eliminado de la fotografía original después de caer en desgracia con Stalin. 41 42 ¿De que color es el vestido? 43 44 Formato de archivos (cabecera y eof) 45 4.4 Análisis de audio digital 47 Voz humana La voz humana son rápidas fluctuaciones en la presión del aire. Estas presiones sonoras son generadas y radiadas por el aparato fonador humano; ellas son detectadas por los oídos y entendidas por el cerebro 48 Aparato fonador humano. En la producción de la voz interviene la mayor parte de los órganos que componen el sistema respiratorio. El aparato fonador se puede dividir en tres grandes partes: las cavidades infraglóticas, la cavidad glótica y las cavidades supraglóticas. Cada una de ellas realiza una misión distinta en la fonación. 49 Micrófonos Los micrófonos son transductores de señal acústica en señal eléctrica y están caracterizados principalmente por su: Sensibilidad. Respuesta de frecuencia. Directividad. Impedancia interna. 50 Clasificación según su tipo de captación Micrófonos omnidireccionales Recogen la señal acústica procedente de todas las direcciones, de forma mas o menos uniforme dentro de un área de tolerancia. El sistema de montaje permite que solo una cara del diafragma sea accesible a presión exterior. Estos micrófonos son recomendados para aquellas instalaciones donde no hay riesgo de retroalimentación acústica (efecto Larsen) y en los casos de que el usuario deba moverse constantemente. Generalmente la grafica de respuesta tiende a decrecer a frecuencias altas debido a los efectos de difracción y a medida que aumenta el Angulo de incidencia 51 Clasificación según su tipo de captación Micrófonos bidereccionales Captan principalmente los sonidos procedentes de las partes frontal y posterior, atenuando los que provienen de los lados. El sistema de montaje de la membrana permite que esta sea accesible por las dos caras a la presión sonora. La fuerza resultante que actúa sobre el diafragma depende de la diferencia de presión entre ambas caras. 52 Clasificación según su tipo de captación Micrófonos unidireccionales Son del tipo mixto, de presión y de gradiente de presión. El efecto unidireccional se logra mediante la combinación de una resistencia acústica y una cavidad que actúan como una línea de retardo. Estos micrófonos captan principalmente sonidos procedentes de la parte frontal, mientras que los de la parte posterior quedan muy atenuados (de 10 a 20 dB). 53 Grabación analógica de sonido Las señales analógicas se llaman así porque son análogas a la forma de la señal original. Los sistemas analógicos de grabación son 3: Grabación mecánica analógica. Grabación magnética analógica. Grabación óptica analógica. 54 Grabación digital de sonido La grabación digital de sonido es la grabación de sonido en la que se obtiene audio digital. Para ello interviene un proceso previo de Conversión A/D (Analogica-digital) y, una vez que obtenemos la señal digital, esta es grabada sobre un soporte. Lo que determina si estamos ante una grabación analógica o digital no es el soporte, sino el tipo de señal grabada en el. Así por ejemplo podemos tener grabaciones digitales sobre cintas magnéticas como en el caso del DAT, ADAT, etc. 55 Grabación digital de sonido Ese proceso de transformar una señal analógica a una digital se llama conversión A/D y tiene tres escalones: Muestreo: se toma un determinado numero de muestras por segundo (normalmente 44.100muestras/s: frecuencia de muestreo 44,1 kHz, aunque se puede utilizar frecuencias de muestreo mas altas). Cuantificación: a cada muestra se le asigna un valor numérico, que se corresponde con el valor de tensión eléctrica de la señal analógica. Este valor se aproximara a un numero entero que, encada caso, depender ́a del numero de bits que dispongamos para la codificación. Codificación: los valores numéricos obtenidos en la cuantificación son traducidos a un determinado numero de bits (generalmente 16, 20 o 24 bits de resolución). 56 ¿Qué es Audacity? Audacity es una aplicación libre, de código abierto, gratuita y en español, bajo licencia Licencia Pública General de GNU (GNU GPL), que te permitirá grabar, editar y manipular archivos de sonido. Admite formatos como MP3, WAV, AIFF, AU y OGG y con esta herramienta podrás copiar, pegar y cortar, mezclar pistas y canciones y añadir efectos. Incluye un editor de amplitud, un espectrograma y un analizador de frecuencias implementados. Lo encontrarás en muchas distribuciones GNU/Linux, como Ubuntu, por ejemplo. Y existe una versión portátil que puedes llevar y usar directamente desde una memoria USB. 57 ¿Que se puede hacer con Audacity? Grabar, editar y manipular archivos de sonido. Admite formatos como MP3, WAV, AIFF, AU y OGG. Copiar, pegar y cortar archivos de audio. Extraer audio de un video o de un audio que se este reproduciendo. Mezclar pistas de audio. Aplicar efectos de sonido. Incluye un editor de amplitud, un espectrograma y un analizador de frecuencias implementados. 58 ¿Dónde está Audacity? La pagina web del programa esta en: https://www.audacityteam.org/download/ 59 4.5 Análisis de video digital Video Un vídeo está compuesto, principalmente, por una secuencia de imágenes (fotogramas) capturadas junto a una secuencia de audio, que a una velocidad determinada genera una escena en movimiento 61 Contenedor Técnicamente, un vídeo no es más que un contenedor que se encarga de encapsular todos los componentes (códecs de vídeo, de audio y datos adicionales como los subtítulos). 62 Proceso de generación de un vídeo digita 63 Compresión de video Un proceso muy importante para la generación del vídeo es la sincronización de las muestras de audio y vídeo realizado por el Digital Signal Processor(DSP) a través del software que contiene. Este proceso se realiza para obtener un vídeo sin desfase y coherente a la realidad. 64 Compresión de video Para reducir la cantidad de datos de un vídeo existen tres estrategias: Reducir las dimensiones de los fotogramas Reducir la velocidad de los fotogramas capturados Compresión de datos, siendo esta última la más usada. Los procesos de compresión o codificación convierten el vídeo digital en un formato adecuado para su transmisión o almacenamiento, mientras que reduce típicamente el número de bits. 65 Cronología de los formatos y estándares de codificación de vídeo 66 Cronología de los formatos y estándares de codificación de vídeo 67 ¿Qué es un códec? Los códecs de vídeo se usan para comprimir los datos de un fichero de vídeo que, de otra manera, ocuparían una barbaridad. Por ejemplo, un disco Blu-Ray normal puede ocupar unos 30-50 GB, por lo que normalmente se comprimen con algún códec para reducir su tamaño y que pueda guardarse en el ordenador o ser reproducido por streaming de manera más cómoda. 68 ¿Qué es un códec? Algunos de los códecs de vídeo más habituales son: DivX: mítico códec que se utilizaba para ripear DVDs. Sigue el estándar del MPEG-4. XviD: versión de código abierto de DivX. H.264 o MPEG-4 parte 10: es el códec con mayor presencia en el contenido en alta definición actualmente. x264: librería de código libre para sustituir al H.264. H.265 o MPEG-H Parte 2: también conocido como HEVC (High Efficiency Video Coding). Aumenta la eficiencia en la compresión consiguiendo vídeos con mejor calidad en menor espacio. A su vez, es compatible con resoluciones de hasta 8192 x 4320 píxeles. Poco a poco está desplazando al H.264. 69 ¿Qué es un contenedor? Se llama contenedor a un fichero que contiene en su interior un conjunto de archivos. Por ejemplo, los ficheros con la extensión .mkv indican que el fichero es un contenedor Matroska. La extensión no es el contenedor, pero sí indica que el fichero es un contenedor Matroska. Por lo general, un contenedor puede albergar ficheros de vídeo, audio, subtítulos, imágenes, etc. De hecho, algunos formatos de archivo contenedor permiten añadir distintos idiomas, subtítulos, menús interactivos 70 Contenedor 71 ewqrewrew ¡Muchas gracias! wewerwer CENTRO NACIONAL DE SEGURIDAD DIGITAL
