Durante un incidente, cada segundo cuenta. Extraer información de un sistema Linux para llevar a cabo un análisis forense puede ser un reto complejo debido a la diversidad de distribuciones, kernels y configuraciones, así como a la necesidad de una extracción rápida y fiable antes de que los datos puedan perderse o alterarse.
Lintriage: Una solución para el análisis forense en Linux
Securizame ha desarrollado Lintriage, una herramienta pensada para que los analistas de DFIR puedan recolectar evidencias de manera rápida y eficiente en máquinas vivas Linux. Esta herramienta fue presentada en exclusiva por Lorenzo Martínez (aka @lawwait) durante la XV edición de la RootedCON el día 6 de marzo de 2025, y ahora se libera a toda la comunidad de manera totalmente gratuita.
La necesidad de una herramienta similar para sistemas Linux surgió tras el desarrollo de LNX IR Tool, una solución que permitía ejecutar extracciones forenses desde un pendrive. Con el tiempo, se decidió ampliarla, mejorarla y hacerla más completa, escalable, sencilla y amigable para el investigador.
Además de Lintriage, en 2020 lanzaron WinTriage, una herramienta de adquisición de evidencias DFIR para sistemas Windows. Esta herramienta ha tenido una gran aceptación por parte de la comunidad de analistas forenses y profesionales de ciberseguridad.
Funcionalidades clave de Lintriage
- Ejecución en terminal de comandos
- Facilita la recolección rápida de artefactos forenses clave
- Respeto con el orden de volatilidad y con el mínimo impacto en el sistema víctima
- Extracción de artefactos forenses de sistema, de usuario y de sistema de ficheros
- Soporte de TSK para sistemas de archivos XFS
- Basada en la utilización de binarios y librerías confiables
- Interoperabilidad con sistemas basados en SystemV y SystemD
- Filosofía UNIX que permite hacerlo modular y escalable basado en plugins
Novedades de Autopsy 4.22.0
Autopsy 4.22.0 ya está disponible. Las principales novedades son la compatibilidad con BitLocker, la posibilidad de ejecutarse junto con Cyber Triage y las actualizaciones de bibliotecas de nivel inferior.
Si se tiene una unidad cifrada con BitLocker, se puede introducir la clave de recuperación al añadir la unidad y Autopsy (a través de The Sleuth Kit) podrá descifrarla. Esta función solo está disponible en Windows. Si la unidad está cifrada, pero no tiene contraseña, Autopsy la descifrará automáticamente sin la clave de recuperación.
Ahora puede ejecutarse Autopsy y Cyber Triage simultáneamente. Anteriormente, presentaban un conflicto de rutas de archivo porque ambos usaban la misma biblioteca subyacente de Sleuth Kit.
Otras herramientas útiles para el análisis forense
Si WinTriage y LinTriaje no alcanzan aquí hay algunas listas «awesome» de Herramientas de Análisis Forense:
- https://awesome.ecosyste.ms/lists?topic=forensics
- https://github.com/mesquidar/ForensicsTools
- https://github.com/cugu/awesome-forensics
- https://github.com/shadawck/awesome-anti-forensic
- https://github.com/digitalisx/awesome-memory-forensics
- https://github.com/stuhli/awesome-event-ids
- https://start.me/p/q6mw4Q/forensics
- https://github.com/rshipp/awesome-malware-analysis
- https://github.com/meirwah/awesome-incident-response
- https://www.dfir.training/tools | https://www.dfir.training/freetools