GUÍA DE ESTUDIO PARA ACE

Transcripción

1 GUÍA DE ESTUDIO PARA ACE *Nota* Todas las preguntas del examen son de opción múltiple. Esta Guía de Estudio cubre todo el material que corresponde al examen. 1. FTK Imager soporta el cifrado de archivos de imagen forenses. Cuáles son los dos métodos que se puede usar para el cifrado? - Contraseña - Certificado (*.pfx, *.p12, *.pem) 2. Cuando se crea una Lista de Valores Hash de Archivos en Imager, qué información se incluye en el archivo? - Hash MD5 - Hash SHA1 - Nombres de los archivos (Incluyendo la ruta) 3. Cuál es el panel de Imager que muestra información específica a los sistemas de archivo como HFS+, NTFS y Ext2? - Panel Properties (Propiedades) 4. Qué tipo de evidencia se puede agregar en FTK Imager? - Unidad física - Unidad lógica - Archivo de imagen - Contenido de una carpeta 5. Nombre tres características de la función Image Mounting (Montaje de imagen) en Imager y en FTK. - Navegar sistemas de archivos en Windows Explorer (Ext2, HFS+, etc) que normalmente no se reconocen. - Correr un software antivirus en imágenes montadas. - Hacer escritura virtual en la imagen montada usando un archivo en caché. - Correr software de terceros en la imagen montada. - Navegar la estructura de directorio sin hacer cambios usando la opción de montaje Read-Only (Sólo lectura). 6. Qué tipo de formatos de archivo de imagen permite crear Imager? - RAW(DD) - * SMART - *.S01 - EnCase - *.E01 - Advanced Forensic Format - *.AFF - AD Custom Content (Imagen lógica) - *.AD1 7. Nombre cuatro características de las Imágenes Custom Content. - Extensión de archivo *.AD1 - Sólo archivos lógicos sin el slack del archivo - Puede incluir subdirectorios recursivos - Puede incluir el espacio no asignado 8. Qué herramientas forenses de AccessData tienen la funcionalidad de Intérprete de Valores Hexadecimales (Hex Value Interpreter)? - FTK Imager - FTK

2 - FTK - Registry Viewer 9. Nombre tres funciones del Informe Sinóptico del Visor del Registro (Registry Viewer Summary Report) - Puede mostrar valores específicos en una clave del registro. - La función de Comodín (Wildcard) permite crear plantillas del registro. - Se pueden documentar múltiples áreas de un archivo del registro. 10. Nombre dos funciones de un Área Común del Visor del Registro (Registry Viewer Common Area)? - Ofrece accesos directos o marcadores para las claves del registro que se visitan con frecuencia - Se pueden agregar claves adicionales para personalizarlo 11. Nombre tres de los campos que se muestran para la cuenta del usuario de Windows en el panel Propiedades (Properties) del Visor del Registro (Registry Viewer) cuando se visualiza el archivo SAM. - Identificador único SID - Hora del último registro en el sistema (Logon) - Nombre del usuario - Conteo de registros en el sistema (Logon Count) - Último cambio de contraseña - Requiere contraseña 12. Qué tipos de búsquedas se pueden realizar en el Visor del Registro (Registry Viewer)? - Búsqueda estándar (Standard Search) siguiente instancia de un término de búsqueda - Búsqueda avanzada (Advanced Search) todas las instancias de un término de búsqueda - Búsqueda de una clave con la fecha de la última escritura: i. para un rango de fechas ii. durante y después de una fecha dada iii. durante y antes de una fecha dada 13. Cómo se crea el Golden Dictionary en PRTK? - Se autogenera a partir de contraseñas satisfactoriamente recuperadas en la computadora local. 14. Nombre los cuatro tipos de ataques indicados en el menú PRTK Help > Recovery Modules (Ayuda de PRTK > Módulos de recuperación)? - Diccionario - Descrifrado - Keyspace - Resetear 15. Nombre las cuatro principales secciones de un Perfil de ataque de PRTK (PRTK Attack Profile). - Diccionarios - Reglas (niveles) - Idiomas - Grupos de caracteres 16. Cuál de los 5 archivos del registro (SAM, SYSTEM, SECURITY, SOFTWARE, NTUSER.DAT) puede atacar PRTK para buscar posible información cifrada o contraseñas? - SAM, SECURITY, NTUSER.DAT 17. Qué tipo de campos están disponibles en el Diccionario Biográfico de PRTK? - Nombre, Dirección, Ciudad, Estado, Código Postal, País, Teléfono, Fecha, Número, Palabra, Frase. 18. Cuáles son los tres tipos de hash "tradicional" que se pueden hacer en el preprocesamiento de FTK?

3 FTK? - MD5 - SHA1 - SHA Cómo se puede determinar la ubicación y el padre de un elemento grabado automáticamente (carving) en FTK? - Al hacer clic en el elemento recientemente grabado, el padre aparecerá en la ruta que se indica en la parte inferior de la pantalla. El nombre del padre aparece a la izquierda del nombre del hijo. - La ubicación del elemento grabado (offset/posición del cursor) dentro del padre está indicada por el número que está en el nombre del archivo. 20. Cuáles son las principales secciones del informe de FTK? - Información del caso - Marcadores - Gráficos - Videos - Rutas de los archivos - Propiedades de los archivos - Selecciones del registro - Captura de pantalla 21. Nombre tres restricciones para un usuario asignado como Revisor del Caso (Case Reviewer) en FTK. - No puede ver Archivos privilegiados - No puede agregar evidencia - No puede realizar Análisis adicionales - No puede Desencriptar archivos - No puede crear filtros 22. Cuándo se puede realizar Recuperación o Grabación de datos (Data Carving) en FTK? - Durante el preprocesamiento - Después de crear el caso 23. Cuál sería la ventaja de realizar la Recuperación o Grabación de datos (Data Carving) después de crear el caso? - Se puede realizar en grupos más reducidos de archivos (verificados, Quick Picked) en lugar de todo un caso. 24. Cuál de los siguientes archivos NO se debe encontrar en el contenedor de archivos de Internet/Chat de la Pestaña Overview (Vista General) de FTK? a. Firefox places.sqlite b. Internet Explorer Index.dat c. Skype main.db d. Yahoo *.DAT 25. Qué Expresión Regular encontraría la cadena numérica " "? a. (\d{3}[\- ]){2}\d{17365} b. (\d{3}[\- ]){2}\d{5} c. (\d{3}[\- ]){3}\d{5} d. (\d{3}[\- ]){422}\d{5} 26. Cuáles son las ventajas de importar una lista de términos de búsqueda a la Pestaña Búsqueda indexada (Indexed Search) en FTK? - Es más rápido que la entrada manual

4 - Es más rápido que la entrada manual - Se puede usar una lista de términos de búsqueda común en múltiples casos. 27. Indique los pasos necesarios para la recuperación o grabación de un archivo EFS cifrado en FTK. 1. Identificar el archivo cifrado General > Estatus de archivo > Archivos cifrados (Overview > File Status > Encrypted Files). 2. Visualizar el archivo en el árbol de la Pestaña Explorar (Explore); buscar la cadena $EFS en Lista de archivos (File List). 3. Observe quién es el usuario de Windows que cifró el archivo en la cadena $EFS. 4. Exporte los archivos SAM y SYSTEM para descrifrarlos en PRTK. (ataque por diccionario). 5. Después de obtener la contraseña de Windows del archivo SAM, ingresar dicha contraseña en FTK. 6. Visualizar el archivo descifrado como un subelemento del archivo cifrado o Estatus de archivo > Archivos descrifrados. 28. Cuándo se puede realizar la opción de procesamiento Expandir archivos compuestos (Expand Compound Files)? - Durante el preprocesamiento - Después de crear el caso Evidencia > Análisis adicional (Evidence > Additional Analysis) 29. Qué tipos de archivos se benefician de la opción de procesamiento Expandir archivos compuestos (Expand Compound Files)? - Archivos zip, EVTX, Correo (PST, mbox, msg, NSF), MS Office OLE, Registry, SQLite) 30. Cuáles son los cinco tipos de ajustes personalizdos que se pueden compartir entre casos desde el menú Administrar (Manage) en FTK? - Hash Sets y Grupos KFF - Etiquetas - Recuperadores o Grabadores (Carvers) - Filtros - Columnas 31. Cuáles son las dos opciones para generar miniaturas de archivos de video en FTK? - Porcentaje (Cada "n" por ciento) - Intervalo (Cada "n" segundos) 32. Cómo se llena la pestaña Volátil (Volatile) en FTK? - A través del menú Administrar > Agregar datos remotos (Manage > Add Remote Data) - A través del menú Administrar > Importar volcado de memoria (Manage > Import Memory Dump) 33. Nombre dos maneras de limitar el alcance de una búsqueda Indexada en FTK. - Usar filtros - Usar archivos verificados 34. Cuál es la ventaja de abrir los archivos del registro con Registry Viewer dentro de un caso en FTK? - Hay una vista más detallada que la vista predeterminada de FTK. - Los informes generados en el Visor del Registro (Registry Viewer) se pueden vincular al informe de FTK. 35. Qué aplicaciones se pueden lanzar dentro de FTK? - FTK Imager - Registry Viewer - PRTK

5 - PRTK - License Manager - Language Selector 36. Qué archivos del registro mostrarán contenido en una tabla HTML en FTK usando el procesamiento predeterminado? - SAM (información de la cuenta de Usuario) - SOFTWARE (información de la instalación) - SYSTEM (información de zona horaria) 37. Cuál es el objetivo de la opción de procesamiento Informes del Registro (Registry Reports) en FTK? - Procesa automáticamente los Informes Sinópticos del Registro. - Se debe seleccionar el Análisis de firma de archivo (File Signature Analysis). - Sólo se corren los archivos RSR en el directorio designado. - Se puede incorporar en el informe de FTK. 38. Qué formatos de hash sets se pueden importar a FTK? - Base de datos Hash de AccessData (*.HDB) - Lista de Hash de FTK Imager (*.CSV) - Lista de Hash FTK Copy Special Hash List (delimitada por tabuladores) - Hash Set HashKeeper (*.HKE, HKT.TXT) - National Software Reference Library (NSRL) - Archivos delimitados por tabuladores (TSV) - Archivo Hash (.hash) - FTK (KFF) Los siguientes son elementos adicionales con los que debe estar familiarizado: 1. Cómo acceder a la información EXIF de los archivos de gráficos en FTK. 2. Usar el Administrador de filtros (Filter Manager) para aplicar múltiples filtros en FTK. 3. Cómo correr una Expresión Regular y examinar los resultados. 4. Reconocer archivos que son anexos de correo electrónico. 5. Determinar el Tipo de Archivo real cuando un archivo tiene una extensión de archivo incorrecta. 6. Captura de RAM puede haber cambios en la fuente ( sin protección contra escritura) 7. Visualización y captura de pantalla de Social Analyzer. 8. PhotoDNA concepto general. 9. Language ID Opciones, múltiples idiomas dentro de un documento. 10. Descrifrado de archivos en PRTK. 11. Envío de archivos directamente a PRTK desde FTK. 12. Preprocesamiento de archivos RSR en FTK. Updated Aug 2013

6