¿Qué Es Una Imagen Forense?

Una pregunta que a menudo se les hace a nuestros expertos forenses en TI es: ¿Qué es una imagen forense? En pocas palabras, una imagen forense es una copia de información electrónica inalterada. Un archivo de imagen puede contener un solo archivo o un disco duro completo. Obtener una imagen forense es un primer paso crucial para cualquier investigación forense digital y, si no se realiza correctamente, es posible que sus pruebas se consideren inadmisibles. La elección de un perito informático para crear la imagen forense no solo garantiza que se sigan los procedimientos y protocolos adecuados, sino que también puede ayudarlo a evitar acusaciones de manipulación o expoliación de pruebas.

¿Qué tipo de imagen forense debería elegir?

Hay tres métodos principales de obtención de imágenes forenses: físico, lógico o dirigido. Los beneficios y desventajas de cada uno dependen de los detalles de su caso.

Físico: una imagen física de un disco duro captura todos los unos y ceros contenidos en el disco. También captura el espacio eliminado en la unidad (incluso si se ha formateado recientemente), archivos eliminados y fragmentos de archivos. Por lo tanto, una imagen física de una unidad de 500 GB producirá un archivo de imagen resultante de 500 GB. Este es el tipo de imagen forense más completo. Es útil para los casos en los que sospecha que se han eliminado o manipulado pruebas y donde los metadatos son un factor importante.

Lógico: una imagen lógica de un disco duro captura todos los datos "activos". Normalmente, los archivos eliminados, el espacio y los fragmentos de archivo no se capturarán. Entonces, si una imagen lógica está hecha de una unidad de 500 GB, pero solo 50 GB contienen archivos activos, la imagen resultante será de 50 GB. Esto es perfecto para los casos en los que solo le preocupa la información contenida en la unidad.

Dirigido: a veces, conoce el conjunto exacto de archivos o documentos que necesita para su caso. Luego, esos archivos se pueden copiar selectivamente a un archivo de imagen en lo que se conoce como una colección dirigida. Esto puede reducir considerablemente los costos y la mano de obra, ya que tiene un conjunto de datos mucho más pequeño con el que trabajar desde el principio.