Recuperación de datos de imágenes forenses de disco AFD, E01 y S01
-
Autor:
Raidel Arbelay Becerra
-
Editor:
Angel Villares
En este artículo, examinaremos los formatos de imagen de disco AFD, E01 y S01, ampliamente utilizados en informática forense, seguridad de la información y recuperación profesional de datos. Explicaremos el propósito de cada formato, dónde se utilizan en la práctica y qué datos pueden contener. También revisaremos las características, ventajas y limitaciones de cada formato.
- Seguridad e integridad de la evidencia digital
- Imágenes forenses: E01, AFD y S01
- Cómo recuperar datos de una imagen forense
- Conclusión
- Preguntas frecuentes
- Comentarios
En informática forense, las imágenes de disco se utilizan para crear copias exactas de los dispositivos de almacenamiento, conservando la estructura de datos, el sistema de archivos y otra información crítica. Estas imágenes permiten examinar el medio original sin riesgo de alterar o dañar su contenido. Entre los formatos que pueden encontrarse durante el análisis forense se incluyen AFD, E01 y S01.
Sin embargo, incluso la presencia de una imagen forense ya preparada no garantiza que todos los archivos puedan abrirse o copiarse de inmediato. Los datos pueden estar eliminados, fragmentados, dañados o ubicados en particiones y sistemas de archivos que no son reconocidos por las herramientas estándar de Windows. En tales casos, se requieren herramientas especializadas para analizar la imagen y buscar datos perdidos.
En este artículo, explicaremos cómo abrir imágenes forenses AFD, E01 y S01, analizarlas y restaurar el acceso a archivos eliminados o perdidos. También abordaremos las particularidades del trabajo con este tipo de imágenes y el procedimiento para recuperar datos sin realizar cambios en el archivo de evidencia original.
Recuperación de datos de imágenes de disco forenses AFD, E01, S01
Seguridad e integridad de la evidencia digital
Las imágenes forenses pueden contener información confidencial y probatoria, por lo que a menudo se utiliza cifrado para protegerlas. Esto ayuda a impedir el acceso no autorizado y a confirmar la integridad de los datos. Estas imágenes se utilizan en el análisis de evidencia digital, la recuperación de archivos eliminados y el examen de registros de correo electrónico y eventos.
El trabajo con evidencia digital se rige por normas internacionales:
- Una de las normas clave es ISO/IEC 27037, que define reglas para la identificación, recolección, adquisición y preservación de la evidencia digital. Exige crear una copia exacta del medio, proteger los datos frente a cualquier modificación y documentar todas las acciones realizadas durante el manejo de la evidencia.
- Además, en el ámbito de la informática forense se utiliza ampliamente ISO/IEC 17025, que establece requisitos para la competencia de los laboratorios forenses y la calidad de los exámenes.
Imágenes forenses: E01, AFD y S01
Al crear una copia de un dispositivo de almacenamiento, Exterro FTK Imager ofrece varios formatos de imagen, entre los cuales AFD, E01 y S01 son los más utilizados. Se trata de formatos forenses diseñados para crear una copia exacta sector por sector de un disco, conservando el sistema de archivos, los datos de servicio y la información sobre archivos eliminados.
Estas imágenes permiten capturar el estado del dispositivo de almacenamiento con la mayor precisión posible en el momento de la adquisición y realizar posteriormente análisis, peritaje digital o recuperación de datos sin trabajar con el medio original.
| Característica | AFD | E01 | S01 |
|---|---|---|---|
| Nombre completo | Advanced Forensic Format | Expert Witness / EnCase Evidence Format | SMART / Expert Witness Image |
| Extensiones de archivo | .afd | .e01, .e02, .e03, etc. | .s01, .s02, .s03, etc. |
| Tipo | Contenedor de imagen forense de disco | Contenedor de imagen forense de disco | Contenedor de imagen forense de disco |
| Propósito principal | Almacenamiento y análisis de imágenes forenses de almacenamiento | Creación y análisis de copias forenses de discos | Creación y análisis de imágenes forenses |
| Copia sector por sector del medio | Sí | Sí, para imágenes bitstream | Sí |
| Compresión | Compatible | Compatible | Compatible |
| Segmentación de la imagen | Posible según la implementación | Sí, la imagen puede constar de varios segmentos | Sí |
| Metadatos | Puede almacenar información de servicio sobre la imagen | Almacena metadatos e información del caso | Admite información de servicio sobre la imagen |
| Verificación de integridad | Compatible mediante mecanismos del formato | Se utilizan sumas de verificación y hashing | Se admiten mecanismos de control de integridad |
| Recuperación de archivos eliminados | Posible si los datos correspondientes están presentes en la imagen | Posible, incluido el análisis del espacio no asignado | Posible |
| Manejo del sistema de archivos | Depende del software de análisis | Depende del software de análisis | Depende del software de análisis |
| Popularidad en herramientas forenses | Un formato AFF relativamente común | Amplia compatibilidad | Compatible con varias aplicaciones forenses especializadas |
| Uso típico | Informática forense, examen de evidencia | Examen forense de discos y evidencia digital | Examen forense de imágenes de disco |
| Característica | Formato abierto orientado a aplicaciones forenses | Uno de los formatos de imagen forense más utilizados | Formato asociado con SMART/Expert Witness |
| Ventaja principal | Flexibilidad y enfoque en el análisis forense | Amplia compatibilidad, compresión, metadatos y verificación de integridad | Compresión y preservación de la estructura de la imagen forense |
Formato E01
El formato E01 es uno de los estándares más utilizados en informática forense y peritajes forenses. Crea una copia exacta del dispositivo de almacenamiento y conserva los datos de servicio para la verificación de integridad: número de caso, nombre del perito, fecha de creación, descripción del medio y sumas de verificación. Por ello, E01 se utiliza ampliamente en informática forense, investigaciones de incidentes de ciberseguridad y manejo de evidencia digital.
Para crear una imagen en formato E01, abra Exterro FTK Imager. En el menú File, seleccione Create Disk Image.
En la ventana de selección de origen, elija Physical Drive, ya que estamos creando una copia de un dispositivo de almacenamiento físico.
A continuación, seleccione la unidad flash USB conectada u otro medio del que desee crear una imagen.
Después de esto, se abrirá la ventana de configuración.
Haga clic en Add y seleccione E01 o Expert Witness Format en la lista de formatos. Esta opción se utiliza para crear una imagen en formato E01.
En el siguiente paso, rellene los campos de servicio: número de caso, número de evidencia, descripción del dispositivo, nombre del perito y notas. Esta información se almacenará dentro de la imagen y ayudará a verificar su origen durante el análisis posterior.
A continuación, especifique la carpeta donde se guardará el archivo y establezca el nombre de la imagen.
Si es necesario, configure Image Fragment Size. Si necesita un único archivo continuo, establezca el valor en 0. Si la imagen debe dividirse en partes, especifique el tamaño del fragmento en megabytes.
Después de configurar E01, no inicie la copia inmediatamente si necesita crear otra imagen en un formato diferente. Haga clic en Add nuevamente y continúe con la creación de S01.
Formato S01
S01 está diseñado para crear y almacenar evidencia digital en la suite de software SMART. Crea una copia exacta del dispositivo de almacenamiento con datos de servicio para verificar la integridad de la información. El formato se utiliza en peritajes digitales, investigaciones de incidentes, auditorías corporativas y almacenamiento de evidencia digital. Aunque el formato S01 es menos común, sigue siendo compatible con muchas herramientas de informática forense.
Para agregar una imagen en formato S01, seleccione Smart de la lista de formatos disponibles. Esta opción se utiliza para crear una Smart Disk Image en formato S01.
A continuación, rellene los campos de información del medio examinado: número de caso, número de evidencia, descripción del dispositivo, nombre del perito y notas. Después, especifique la carpeta de destino y establezca el nombre del archivo.
Después de configurar S01, puede agregar otro formato. Ahora рассмотрaremos AFD, que difiere de los formatos anteriores en la forma en que se almacenan los datos.
Formato AFD
AFD es un formato de imagen de disco utilizado en las soluciones de Exterro para almacenar y analizar evidencia digital. A diferencia de E01 y S01, AFD almacena los datos como un conjunto de archivos en una carpeta separada, lo que resulta conveniente para grandes volúmenes de información. El formato admite compresión, metadatos de servicio y almacenamiento a largo plazo de evidencia digital: documentos, correos electrónicos, fotos, vídeos, historial del navegador, mensajes, bases de datos, registros del sistema y archivos eliminados.
Para agregar una imagen en formato AFD, en la ventana de configuración de imágenes haga clic en Add y seleccione AFF o AFF Directory Image, según cómo esté etiquetada esta opción en su versión del programa.
Después de seleccionar el formato, complete la información de servicio sobre el dispositivo de almacenamiento: número de caso, número de evidencia, descripción del dispositivo, nombre del perito y notas. Luego especifique la carpeta de destino.
Después de esto, haga clic en Finish e inicie el proceso de creación de la imagen. Espere a que se complete la copia y la verificación.
Después de esto, estas imágenes pueden agregarse a Hetman Partition Recovery para su análisis posterior, visualización de los datos encontrados y recuperación de archivos a otro dispositivo de almacenamiento físico.
Cómo recuperar datos de una imagen forense
Montaje de imágenes
El montaje de imágenes forenses en Hetman Partition Recovery es muy sencillo. El programa admite los formatos AFD, E01 y S01 y muestra dichas imágenes como discos físicos normales con particiones, sistema de archivos y archivos accesibles.
Para adjuntar un archivo, abra el menú de montaje en Hetman Partition Recovery y seleccione el tipo requerido:
- Para AFD, seleccione AFF Directory Images y especifique la carpeta que contiene sus componentes.
- Para E01, agregue el archivo Expert Witness Format.
- Para S01, seleccione Smart Disk Image y especifique el directorio donde se almacenan los archivos correspondientes.
Hetman Partition Recovery admite imágenes comprimidas y no comprimidas de estos formatos, por lo que no se requieren ajustes adicionales para montarlas. Después de agregar la imagen, el programa la mostrará automáticamente en la lista de dispositivos de almacenamiento como un disco independiente. Asegúrese de que las particiones y el sistema de archivos necesarios estén disponibles.
Recuperación de datos desde imágenes forenses
A continuación, seleccione la partición de la que necesita recuperar datos e inicie el análisis. Hay dos modos de exploración disponibles: Quick Scan y Full Scan:
- Utilice Quick Scan si el sistema de archivos permanece intacto, la estructura de la partición no ha cambiado y necesita encontrar archivos eliminados conservando la estructura original de carpetas.
- Utilice Full Scan si la partición ha sido formateada, el sistema de archivos está dañado, la estructura de la partición ha cambiado o necesita encontrar archivos por firmas. En este modo, el programa realiza un análisis profundo del medio y busca datos mediante patrones de archivo conocidos.
Después de completar el análisis, revise los archivos encontrados. Asegúrese de utilizar la función Preview para verificar que los documentos, fotos, vídeos u otros archivos requeridos se abran correctamente.
Si se encuentran los datos requeridos, haga clic en Recover y guarde los archivos en otro dispositivo de almacenamiento físico.
No guarde los datos recuperados nuevamente en la misma imagen ni en el disco desde el que se está realizando la recuperación.
Conclusión
Las imágenes forenses AFD, E01 y S01 permiten conservar copias exactas de dispositivos de almacenamiento y examinarlas sin necesidad de trabajar directamente con el medio original. Sin embargo, si los archivos han sido eliminados, el sistema de archivos está dañado o se ha perdido la estructura de particiones, el simple montaje de la imagen puede no ser suficiente para acceder a la información requerida.
Para recuperar datos, es importante identificar correctamente el formato de la imagen, su estructura y su estado, y luego analizar las particiones disponibles, los sistemas de archivos y el espacio no asignado. El software especializado de recuperación de datos puede encontrar tanto archivos existentes como datos eliminados, siempre que su contenido no haya sido sobrescrito aún.
Al trabajar con evidencia digital, es especialmente importante no modificar la imagen forense original. Se recomienda trabajar con una copia y guardar los resultados de la recuperación en otro dispositivo de almacenamiento físico. Este enfoque reduce el riesgo de pérdida de información y preserva la imagen original para análisis posteriores.
Por lo tanto, la recuperación de datos desde AFD, E01 y S01 es posible incluso en casos complejos, siempre que la imagen no esté críticamente dañada y los datos requeridos aún existan físicamente en su interior. La elección correcta de las herramientas y un proceso sistemático de análisis de la imagen forense permiten restaurar de forma eficaz el acceso a archivos perdidos, eliminados u ocultos.
