incibe_toma_evidencias_analisis_forense

PsServiceVolatilityhttp://technet.microsoft.com/es-es/sysinternals/bb897542.aspxhttps://code.google.com/p/volatility5.3.2.3. Usuarios que han iniciado sesión y listado de cuentas de usuario.Para obtener el listado usuarios actualmente han iniciado sesión en el equipo se puedenutilizar diferentes herramientas como netusers 35 .Para ello se debe escribir la siguiente instrucción:netUsers.exe > "UsuariosActualmenteLogueados-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.txt"Con la misma herramienta, se pueden saber los usuarios que alguna vez se han iniciadosesión en la máquina y cuándo fue la última vez que lo hicieron. Para ello se debe escribir lasiguiente instrucción:netUsers.exe /History > "HistoricoUsuariosLogueados-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.txt"PsloggedonLogonSessionshttp://technet.microsoft.com/es-es/sysinternals/bb897545.aspxhttp://technet.microsoft.com/es-es/sysinternals/bb896769.aspx5.3.3. Información de red: estado, conexiones activas, puertos UDP y TCPabiertos5.3.3.1. Estado de la redPara obtener el estado de la red, los adaptadores de red, su configuración, etc. se puedeutilizar el comando ipconfig.Para ello, se debe escribir la siguiente instrucción:ipconfig /all > "EstadoDeLaRed-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.txt"35http://www.systemtools.com/cgi-bin/download.pl?NetUsersToma de evidencias en entornos Windows 29