Software para recolección de evidencias digitales rápidas en sistemas Windows

Abstract

En el campo de la Informática Forense, existen numerosos criterios a tener en cuenta a la hora de determinar qué elementos resultan pertinentes para obtener información útil que sirva para esclarecer una causa. En un procedimiento de allanamiento, cuando existen numerosos elementos tecnológicos que podrían ser candidatos al secuestro para realizar análisis exhaustivos en el laboratorio, se hace necesario discernir qué elementos serían de interés y cuáles no aportarían información útil, debido a que los tiempos de análisis crecen exponencialmente, a medida que se añaden más equipos y dispositivos de almacenamiento masivo a la lista de equipos a secuestrar. En el presente trabajo se presenta un software de aplicación para obtención de evidencia digital forense durante procedimientos de allanamiento, de acuerdo con el protocolo de actuación vigente, este software será utilizado, además, como un indicador del contenido de los equipos bajo análisis, a fin de permitir al perito actuante tomar decisiones (como proceder al secuestro o no de un determinado equipo) en el lugar donde se está llevando a cabo dicho procedimiento.

In the field of Digital Forensics, there are numerous criteria to consider when determining which elements are relevant for obtaining useful information to clarify a case. During a search and seizure procedure, when there are numerous technological items that could be candidates for confiscation for in-depth analysis in the laboratory, it becomes necessary to discern which elements would be of interest, and which would not provide useful information. This is because the analysis times grow exponentially as more equipment and mass storage devices are added to the list of items to be seized. In this paper, we present an "on-site" application software for obtaining digital forensic evidence during search and seizure procedures, following the current protocol of action. This software will also be used as an "indicator" of the content of the equipment under analysis, allowing the acting expert to make decisions (such as whether to confiscate a specific piece of equipment or not) at the location where the procedure is being carried out.