PRACTICA TEMA 15

Estas practicas estan basadas en la recolección de evidencias:

EJERCICIO 1: en esta actividad vamos a llevar a cabo los pasos a seguir en el hipotético caso en el que un sistema haya sufrido un indicente y queramos establecer una línea temporal de recopilación de evidencias. Para ello se obtendrá la fecha y hora del sistema mediante la linea de comandos:

Los pasos a seguir y su significado:

• Introducimos date /t para que nos dé la fecha del sistema. Después introducimos time /t para que nos de la hora.
• La misma actividad de otra foroma: instroducimos date y time de tal manera que la información que nos dan la guarde a un fichero de texto, en vez de mostrarla en pantalla: date /t > fechayhora.txt. Dentro del fichero fecha.txt tendremos la fecha del sistema. 
• Ahora vamos hacer lo mismo pero añadiendo también la hora: time /t >> fechayhora.txt.
• Por último se ejecuta el comando como debiéramos hacer para recopilar la fecha y hora de inicio de recolección de evidencias tras un incidente: date /t > start-time.txt &time /t >> start-time.txt.

El resultado es la obtención de la información solicitada en el fichero correspondiente:

EJERCICIO 2: en esta segunda actividad vamos a realizar un volcado de memoria del equipo mediante la herramienta FTK Imager siguiendo las instrucciones del aula virtual. El resultado obtenido ha sido el siguiente:

Además. a través de esta aplicación hemos podido buscar también información de interés como puede ser el usuario y contraseña de una de las sesiones abiertas como usuario.