Manual de informática forense II. Luis Enrique Arellano González

imagen de Macintosh a Macintosh

       Efectuar la imagen de una computadora dubitada Macintosh con un CD/DVD de arranque o inicio en vivo

       Procedimiento para determinar la fecha y hora en Macintosh

       Consideraciones previas

       Procedimiento para la recolección de datos de memoria volátil en un sistema desbloqueado

       Consideraciones previas

       Procedimiento para la recolección de datos de memoria volátil en un sistema bloqueado

       Consideraciones previas

       Síntesis – Lista de control – Descarga de la memoria volátil

       Procedimiento para la recolección de datos en el modo de usuario único (Single User Mode)

       Consideraciones previas

       Etapa de análisis de datos

       Procedimiento para el análisis de la información del inicio del sistema operativo y los servicios asociados

       Consideraciones previas

       Procedimiento para el análisis del sistema de archivos HFS+ de la imagen recolectada

       Procedimiento para el análisis de directorios especiales (bundle) en el sistema de archivos HFS+ de la imagen recolectada

       Consideraciones previas

       Procedimiento para el análisis de archivos de configuración de red

       Consideraciones previas

       Procedimiento para el análisis de archivos ocultos

       Consideraciones previas

       Procedimiento para el análisis de aplicaciones instaladas

       Consideraciones previas

       Procedimiento para el análisis de espacio de intercambio (swap) y de hibernación

       Consideraciones previas

       Procedimiento para el análisis de sucesos o registros (logs) del sistema

       Consideraciones previas

       Procedimiento para el análisis de información de las cuentas de usuarios

       Consideraciones previas

       Procedimiento para el análisis del directorio de inicio (Home)

       Consideraciones previas

       Procedimiento para desencriptar la carpeta de inicio del usuario cifrada por el servicio FileVault

       Consideraciones previas

       Síntesis – Lista de control

       Procedimiento para la recuperación de datos del navegador web Safari de la imagen adquirida

       Consideraciones previas

       Caché del navegador

       Íconos de la URL de los sitios (webpageIcons.db)

       Archivos plist

       Sitios más visitados (TopSites.plist)

       Marcadores (Bookmarks.plist)

       Descargas de archivos (Downloads.plist)

       Historial (History.plist)

       Última sesión (LastSession.plist)

       Cookies.plist

       Síntesis – Lista de control

       Procedimiento para la función del navegador Safari como visor de archivos en el sistema operativo de Microsoft Windows

       Consideraciones previas

       Ubicación de los archivos plist en el sistema operativo de Microsoft Windows

       Procedimiento para la recuperación y análisis de elementos de correo electrónico e iChat de la imagen adquirida

       Consideraciones previas

       Procedimiento para la recuperación de mensajes del cliente de correo de Microsoft Entourage de Office: Mac 2008 para Mac

       Procedimiento para la recuperación y análisis de la libreta de direcciones (Address Book) de la imagen adquirida

       Consideraciones previas

       Procedimiento para la recuperación y análisis de datos del iChat de la imagen adquirida

       Consideraciones previas

       Síntesis – Lista de control

       Apple Mail

       Libreta de direcciones

       iChat

       Procedimiento para la recuperación y análisis de fotografías de la imagen adquirida

       Consideraciones previas

       Características de la aplicación iPhoto

       Ubicación de los archivos de iPhoto