XMount-GUI permite la conversión al vuelo entre diversos tipos de imágenes de discos duros de entrada y salida. Xmount crea un sistema de archivos virtual utilizando FUSE (Filesystem in Userspace) el cual contiene una representación virtual de la imagen de entrada. La representación virtual puede estar en DD Bruto, formato de archivo de disco virtual de VirtualBox o en formato de archivo VMDK de VmWare. Las imágenes de entrada pueden estar en DD Bruto, EWF (Expert Witness Compression Formar) o AFF (Advanced Forensic Format).

Forensic Registry EDitor (FRED) o Editor Forense del Registro, es un editor de colmenas para el registro de Microsoft Windows. El proyecto nació por el requerimiento de tener un razonablemente buen visor para las colmenas del registro de Windows, al momento de realizar análisis forense. Incluye algunas funcionalidades no encontradas en editores de registros “libres” normal como un visor hexadecimal con interprete de datos y una función de reporte la cual puede ser fácilmente ampliada con plantillas de reporte personalizadas ECMAScript·

Un función de cifrado hash es una función la cual es considerada como prácticamente imposible de revertir, es decir, recrear el dato de ingreso desde solo el valor hash. El dato de ingreso es frecuentemente nombrado como el “Mensaje”, y el valor hash resultante es frecuentemente nombrado como el “resumen del mensaje” o simplemente “resumen”.

Una suma de verificación es un dato de tamaño pequeño desde un bloque de datos digital para el propósito de detectar errores, los cuales pueden haber sido introducidos durante su transmisión o almacenamiento

Durante un análisis forense es muy útil crear una cronología o línea de tiempo, la cual permite rastrear y seguir las actividades relacionadas al tiempo de los archivos residentes en un dispositivo de almacenamiento. Este es un proceso delicado, pues se deben considerar factores como la zona horaria del país donde se capturó la evidencia digital (GMT / UTC); la cual puede ser diferente a la del analista; de esta manera se contextualiza perfectamente los tiempos.

Fmount, permite montar todos los volúmenes detectados asignados en una imagen de solo lectura en el directorio /media. Las particiones son nombradas con el formato “IMAGEN_VOLUMEN”. Si la imagen está dividida, se deben especificar todos los segmentos. Las imágenes divididas son montadas primero como un disco virtual en /mnt/ antes de montarse las particiones.

Para las siguientes demostraciones se utilizan dos imágenes forenses, una correspondiente a un Sistema Windows 7, y la segunda corresponde a una imagen forense dividida de un sistema Windows XP.

Guymager es un replicador forense libre para adquisición de medios. Entre sus principales características se enumeran, Una fácil interfaz de usuario en diferentes lenguajes, Se ejecuta en GNU/Linux, Es realmente rápido debido a su diseño multi-threaded, pipelined, y compresión de datos multi-hilos, Realiza una completa utilización de máquinas multi-procesador, Genera imágenes en bruto (dd), EWF (E01) y AFF, soportando clonación de disco, Es libre de cargos, completamente open source.

Para la siguiente demostración se utilizará la distribución Forense CAINE y una unidad USB.

El escaneo de vulnerabilidades es el proceso de descubrir e identificar vulnerabilidades en una red. Este proceso puede generar un gran cantidad de tráfico, pudiendo también inducir a condiciones de negación de servicio en dispositivos de red. Una herramienta capaz de realizar un escaneo de vulnerabilidades es Nmap, mediante su poderosa y flexible característica denominada NSE (Nmap Scripting Engine). La cual permite a los usuarios escribir (y compartir) scripts sencillos para automatizar una amplia diversidad de tareas de red.

Enum4linux es una herramienta para enumerar información desde sistemas Windows y Samba. Intenta ofrecer funcionalidades similares a “enum.exe”. Ha sido escrito en Perl y es básicamente un envoltorio alrededor de las herramientas Samba, smbclient, rpcclient, net y nmblookup. Entre sus funcionalidades se enumeran, RID cíclico, Listar usuarios, Listas información de grupos de membresías, Enumeración de compartidos, Detectar si el host esta un grupo o dominio, Identificar el sistema operativo remoto, Capturar políticas de contraseñas.

DNSRecon es una herramienta de escaneo y enumeración DNS escrita en Python, la cual permite realizar diferentes tareas, como enumeración de registros estándar para un dominio definido (A, NS, SOA y MX). Expansión de dominio de nivel superior para un dominio definido. Transferencia de zona contra todos los registros NS para un dominio definido. Consulta reversa contra un rango de direcciones IP, proporcionando una dirección IP inicial y final.

Recon-ng es un framework de reconocimiento web escrito en Python. Entre sus características principales se enumeran los módulos independientes, interacción con base de datos, construcción con funciones confortables, ayuda interactiva, y completado de comandos. Recon-ng proporciona un poderoso entorno en el cual se puede realizar reconocimiento open source basado en web de manera rápida y total.