Análisis forense con Kape

Kape es un software de código abierto para la adquisición de evidencia digital que se utiliza en el campo de la informática forense. Fue desarrollado por Eric Zimmerman, un experto en informática forense y autor de varias herramientas populares en este campo.

Veamos cómo funciona Kape y cómo hacer análisis forense con esta herramienta.

Kape: origen

Kape es una herramienta de línea de comandos que se ejecuta en sistemas Windows y permite a los investigadores recopilar y analizar datos de sistemas en vivo o en imágenes forenses. Es altamente personalizable y puede configurarse para adquirir una amplia variedad de datos, incluyendo archivos, registros de eventos, información del sistema y navegadores web. Además, Kape es capaz de realizar análisis forenses automáticos en los datos adquiridos para ayudar a los investigadores a identificar patrones y relaciones relevantes en la información.

Kape fue una herramienta de código abierto, lo que significa que puede descargarse y utilizarse de forma gratuita por cualquier persona interesada en la informática forense. También se beneficia de una comunidad de usuarios y desarrolladores activos que contribuyen al desarrollo y mejora continua de la herramienta.

Características

• Kape es un software desarrollado por Eric Zimmerman.
• Es una herramienta que nos permite extraer y procesar los artefactos de un equipo.
• Está compuesta por diferentes módulos ya creados, pero además permite la opción de personalizar y crear nuevos módulos acordes a nuestras necesidades.

Acerca de su creador, Eric Zimmerman

Kape es una herramienta demasiado útil y, gracias a Eric Zimmerman, la vida de los investigadores forenses es muchísimo más fácil.

Eric Zimmerman es un analista forense que ha dedicado su vida a producir y desarrollar un montón de herramientas forenses para interpretar diferentes elementos pertenecientes a la informática forense.

Ha desarrollado muchísimas herramientas de gran utilidad que los informáticos forenses emplean todo el tiempo en sus actividades de análisis.

La mayoría de herramientas se sacaron inicialmente para Windows, pero algunas de ellas ya han sido implementadas para Linux.

Entre esas herramientas que ha creado Zimmerman se encuentra Kape. En sus días era de código abierto y, aunque sigue siendo gratuita, ahora pertenece a una empresa llamada Kroll (que también es suya). Teniendo esto presente, cabe decir que para poder descargar cualquier herramienta perteneciente a Kroll hay que registrarse.

Utilidad de Kape

Extraer información

Esta herramienta nos facilita mucho la vida como investigadores forenses, ya que, si tenemos que sacar los archivos de las evidencias un o a uno dentro de una imagen de disco, tendríamos que conocerlos mucho y saber dónde están para ir a cada parte del disco de manera específica y así poder recuperar la información que necesitemos.

Con Kape nos olvidamos de eso, ya que solo configuramos este programa de una forma específica y él, de manera automática, nos extrae toda la información y los ficheros necesarios cuando montamos nuestra imagen. Luego, cuando tengamos que hacer análisis, lo único que tenemos que hacer es ir a nuestra carpeta creada por Kape y coger los ficheros necesarios para cada artefacto.

Triaje

También podemos hacer el denominado triaje sobre un sistema que está corriendo. En caso de que no podamos hacer una imagen forense y tengamos que entrar rápidamente y sacar nuevas evidencias lo que podemos hacer es llevar el ejecutable de Kape, lo pegamos en la máquina que necesitemos, lo ejecutamos y nos copia a una carpeta todos los ficheros necesarios para después analizarlos.

Parsear artefactos y secuencias

Además de todo esto, tiene otra funcionalidad en la que hay que aplicar un poco más de configuración: la de ejecutar automáticamente herramientas que nos permitan parsear los artefactos que hayamos escogido. Es decir, podemos decirle a Kape que no solamente nos coja, por ejemplo, la MFT, sino que también nos la interprete y que nos muestre los ficheros con su respectivo contenido. Así pues, todo lo que tendríamos que hacer sería entrar, ejecutar Kape y, simplemente, luego tendríamos que analizar los resultados que nos haya arrojado.

¿Cómo aprender más?

Ya hemos visto qué es Kape y cómo funciona esta herramienta. Si quieres seguir aprendiendo para ser un gran profesional en áreas de ciberseguridad e informática forense, en KeepCoding tenemos la formación intensiva e íntegra perfecta para ti. Accede a nuestro Ciberseguridad Full Stack Bootcamp y descubre cómo puedes convertirte en un gran especialista en muy pocos meses con la guía constante de profesores expertos en el sector. ¡Solicita más información ahora mismo y transforma ya tu futuro!