Propuesta proceso de calibración de la herramienta forense the sleuth kit y analisis de los resultados obtenidos

Abstract

La calibración de un elemento o instrumento es importante porque permite conocer a los investigadores la diferencia entre lo que debería indicar el instrumento y lo que éste está indicando, hay quienes piensan que si se tiene un instrumento totalmente nuevo va a proporcionar información correcta, esto es una grave equivocación ya que si un instrumento nunca ha sido calibrado el investigador no podrá determinar si los datos son correctos o errados. Para que un instrumento arroje resultados correctos debe calibrarse periódicamente dependiendo de la intensidad de uso que se le dé.

La herramienta The Sleuth Kit fue escogida por su carácter libre, por ser una herramienta conocida y utilizada durante el desarrollo de la especialización, para limitar el alcance y poder medir fácilmente los resultados se escogieron dos funciones de la herramienta con las que se pueden validar las particiones, los sectores en las que se encuentran ubicadas y el tipo de sistema de archivos correspondiente a cada una, estas funciones son fsstat y mmls. Para la realización de este trabajo se creó un patrón con el fin de determinar la calibración de las funciones anteriormente mencionada de TSK, para ello se cuenta con un disco extraíble USB esterilizado al que se le ha asignado dos particiones, una fat32 otra ntfs y se ha dejado un espacio no particionado. A cada una de las particiones se les ha agregado o insertado carpetas exactamente iguales con archivos tales como imágenes, videos, documentos en formatos pdf, Excel, Word y PowerPoint entre otros, algunos de estos archivos han sido eliminados y a otros se les ha dejado como ocultos. Una vez acondicionado el disco extraíble se ha generado una imagen como primer paso para dar inicio a la calibración de las funciones fsstat y mmls. Posteriormente se procede a verificar que el contenido concuerda con lo que se acaba de crear, para ello se utiliza la herramienta de análisis forense FTK, observando que la creación del patrón es conforme a las especificaciones y que una herramienta forense puede hallar lo que previamente se ha definido como patrón.