incibe_toma_evidencias_analisis_forense

para que vaya borrando electrónicamente el contenido de esas celdas y las prepare parafuturas operaciones de escritura. Es muy importante tener claro que no es posible evitar elproceso de recolección de basura en el caso de que el comando TRIM esté activado, ni siquiera cambiando el disco SSD a otro equipo, ni poniendo un bloqueador de escritura, yaque un disco SSD únicamente con tener corriente iniciará dicho proceso de maneraautomática.Esto quiere decir que si un usuario elimina un fichero, y el comando TRIM está activado, laevidencia desaparecerá para siempre. Este hecho no afecta a los volúmenes cifrados comoTrueCrypt, BitLocker, etc por lo que deben ser recopilados para un posterior análisis.Así mismo, hay que tener en cuenta que este hecho afecta a la hora de sacar el hash de undisco SDD, el cual puede ser distinto, ya que el proceso que desencadena el comando TRIMcorre en un segundo plano y pese a que aparentemente dicho disco no haya sufrido ningunamodificación, en realidad sí que haya sufrido cambios.• Creación de una copia de datos dispersos de una carpeta o archivo: es decir, realizaruna copia selectiva: ya que en muchas ocasiones dependiendo del tipo de incidente puedeno ser necesario volcar todo el disco y sea suficiente copiar ciertas carpetas o ficheros.Para ello basta con utilizar alguna herramienta como Teracopy 54 . Un ejemplo deutilización es el siguiente:TeraCopy.exe Copy "D:\Info" F:\BackupMediante esta herramienta es posible comprobar si el proceso de copiado se ha realizadocorrectamente ya que calcula hashes de los ficheros y sus respectivas copias y los compara.RobocopyCopyXcopyForensicCopyDisponible en sistemas operativos Windows.Disponible en sistemas operativos Windows.http://technet.microsoft.com/eses/library/cc733145(v=ws.10).aspxhttp://sandersonforensics.com/forum/content.php?121-ForensicCopy54http://codesector.com/teracopyToma de evidencias en entornos Windows 57