Dónde estamos: forense de Windows a nivel intermedio

En Introducción al análisis forense digital usted aprendió los principios que no cambian nunca: trabajar sobre una copia, verificar con hash, respetar el orden de volatilidad y separar hechos de inferencias. Esta lección es el puente: ubica dónde estamos, qué damos por sabido y qué cambia al centrarnos solo en Windows a nivel intermedio.

Qué es el forense de Windows

El forense de Windows es la disciplina que reconstruye lo que ocurrió en un equipo con ese sistema operativo a partir de sus artefactos. Un artefacto es un rastro que Windows genera de forma automática al operar: una entrada en la tabla de archivos, un archivo de Prefetch, una clave de registro, un evento. El usuario no los crea a propósito y rara vez sabe que existen, y por eso son tan valiosos para el analista.

A diferencia del curso introductorio, que cubría Windows y Linux por encima, aquí vamos a fondo en un solo sistema. La pregunta deja de ser "¿qué es un artefacto?" y pasa a ser "¿qué me dice exactamente esta entrada de la MFT, y cómo la cruzo con el Prefetch y con el Event Log para sostener una conclusión?".

Breve contexto

Windows NT introdujo el sistema de archivos NTFS en 1993, y con él la MFT, el registro moderno y los Event Logs. Durante más de treinta años Microsoft fue agregando artefactos pensados para rendimiento o comodidad del usuario (Prefetch en Windows XP, ShellBags, Jump Lists en Windows 7, Amcache en versiones recientes) que el forense aprovecha para contar historias. Hoy, el ecosistema gira en torno a dos nombres que verá en todo el curso: Eric Zimmerman, que mantiene un conjunto de herramientas gratuitas para parsear estos artefactos, y el proyecto Volatility, para el análisis de memoria.

Por qué importa en el trabajo

El analista de SOC que recibe una alerta de EDR necesita confirmarla con artefactos de disco. El consultor que atiende un ransomware en una pyme debe decirle a la gerencia cómo entró el atacante y qué tocó. El perito que acompaña a legal tiene que sostener cada afirmación con una fuente verificable. En los tres casos, dominar los artefactos de Windows es la diferencia entre "creemos que pasó esto" y "a las 02:14 UTC se ejecutó este binario, lo prueban estas tres fuentes".

El marco legal, siempre primero

Antes de tocar un equipo, el analista confirma que tiene autorización. En Costa Rica, la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales regula qué se puede recolectar y cómo. En un incidente corporativo, la autorización suele venir de la gerencia por escrito y de las políticas internas que el empleado aceptó; en un caso judicial, de una orden. Analizar un equipo sin esa base no solo invalida la evidencia: puede constituir un delito.

Cómo leer las fichas y la sintaxis de este curso

Las herramientas de línea de comandos de este curso se documentan con una ficha. En los bloques de sintaxis usamos esta convención:

HERRAMIENTA [OPCIONES] -f ARCHIVO

Los corchetes indican partes opcionales, las MAYÚSCULAS indican un valor que usted reemplaza, y los tres puntos indican que algo se puede repetir. Para pedir ayuda, casi todas las herramientas aceptan --help y muchas muestran sus opciones al ejecutarlas sin argumentos.

Conceptos clave