TITULACION UNO

¿Qué tecnología explica que la recuperación de archivos borrados sea generalmente más difícil en un SSD moderno que en un HDD?. El cifrado obligatorio de la interfaz SATA, que oculta todos los bloques sin la tabla de archivos. GPT, que sobrescribe de forma obligatoria todo el espacio libre del dispositivo con ceros. TRIM, que informa al SSD qué bloques ya no se necesitan y permite que su controlador los depure posteriormente. La fragmentación extrema de la memoria flash, que impide cualquier recuperación por firmas.

Un cliente solicita omitir deliberadamente un hallazgo relevante del informe. ¿Qué debe considerar el perito?. Que puede omitirlo sin riesgo cuando el cliente firma una cláusula adicional de confidencialidad. Que solo recibirá una observación verbal si el archivo no constituye el objeto principal del proceso. Que la decisión corresponde exclusivamente al cliente porque es quien contrató el servicio. Que aceptar comprometería su objetividad e integridad y podría generar responsabilidades disciplinarias, civiles o penales.

¿Cuál es la utilidad principal de realizar simulacros dentro de un plan de respuesta a incidentes?. Comprobar el protocolo, entrenar a los participantes e identificar fallas antes de un incidente real. Convertir a todos los usuarios en peritos capaces de efectuar investigaciones judiciales completas. Justificar obligatoriamente la adquisición anual de nuevos equipos para el laboratorio. Cifrar automáticamente todas las bases de datos durante cada ejercicio de entrenamiento.

¿Cuál puede ser la consecuencia procesal de una ruptura o deficiencia no justificada en la cadena de custodia?. Obliga al juez a considerar la evidencia verdadera, aunque reconozca que está incompleta. Genera automáticamente una recompensa para el perito que informó la deficiencia. Permite corregir el problema solicitando una copia nueva sin explicar lo ocurrido anteriormente. Puede cuestionar la autenticidad e integridad de la evidencia y afectar su admisibilidad o valor probatorio, según la valoración de la autoridad.

¿Qué controlador de captura se utiliza actualmente en Windows para que Wireshark pueda capturar tráfico en vivo?. Npcap. SQLite Engine. Sysinternals Live Extension. EnCase Container Tool.

¿Qué ventaja técnica ofrece utilizar una imagen forense en lugar de trabajar directamente sobre el dispositivo original?. Elimina la necesidad de calcular valores hash. Permite preservar intacta la evidencia original mientras el análisis se realiza sobre una copia exacta. Hace innecesario el uso de bloqueadores de escritura. Reduce automáticamente el tamaño de la evidencia sin pérdida de información.

¿Qué representa el valor Hash (MD5 ο SHA-1) dentro de una adquisición forense?. La contraseña utilizada para proteger la evidencia digital. El tamaño físico del dispositivo de almacenamiento. Una huella digital única que permite verificar la integridad de la evidencia. El número de serie asignado por el fabricante del disco duro.

¿Qué herramienta se utiliza principalmente para crear imágenes forenses de discos y otros dispositivos de almacenamiento?. Wireshark. FTK Imager. Nmap. Metasploit.

¿Cuál es el principal objetivo del marco de trabajo COBIT dentro de una organización?. Diseñar aplicaciones web utilizando Python y Django. Administrar exclusivamente redes inalámbricas. Alinear los objetivos de Tecnologías de la Información con los objetivos del negocio mediante un adecuado gobierno y gestión de TI. Desarrollar algoritmos criptográficos para proteger bases de datos.

En un disco duro sin sobrescritura posterior, ¿por qué puede recuperarse un archivo después de vaciar la papelera de reciclaje?. Porque el MBR duplica automáticamente el contenido de cada archivo dentro del sector de arranque. Porque se elimina su referencia lógica y el espacio se marca como disponible, aunque los datos pueden permanecer físicamente. Porque todos los archivos eliminados se sincronizan obligatoriamente con una cuenta de almacenamiento en la nube. Porque el sistema operativo crea siempre una copia íntegra en una partición oculta de recuperación.

Durante el preanálisis de una evidencia cifrada, si no es posible romper el cifrado, ¿qué debe hacer el perito?. Eliminar la evidencia del caso para continuar con el resto del análisis. Registrar en el informe pericial que no fue posible acceder al contenido de la evidencia cifrada. Intentar acceder utilizando herramientas ilegales sin autorización. Suponer el contenido de la evidencia basándose en el nombre del archivo.

¿Qué sucede con la información almacenada en la memoria RAM cuando un equipo se apaga?. Permanece almacenada permanentemente. Se copia automáticamente al disco duro. Se pierde, ya que la memoria RAM es una memoria volátil. Se almacena en la BIOS.

¿Cuál es el objetivo principal de preservar la evidencia digital durante una investigación forense?. Reducir el tamaño de los archivos para facilitar el análisis. Mejorar el rendimiento del sistema operativo. Garantizar la autenticidad e integridad de la evidencia para que conserve su valor probatorio. Eliminar malware presente en el dispositivo.

¿Cuál es la principal función de un bloqueador de escritura (Write Blocker)?. Acelerar la copia de la evidencia digital. Evitar cualquier modificación sobre el dispositivo original durante la adquisición. Comprimir automáticamente los archivos. Recuperar archivos eliminados.

¿Qué tipo de adquisición obtiene una copia bit a bit de todo el dispositivo de almacenamiento?. Adquisición lógica. Adquisición incremental. Adquisición selectiva. Adquisición física.

¿Qué distingue al estándar Digital Forensic Process de otros modelos más tradicionales?. Es una plataforma de código abierto que divide el trabajo en siete fases detalladas. Prohíbe la recolección de evidencias que no estén almacenadas en la nube. Se centra exclusivamente en la investigación de escenas de crímenes físicos como robos de oficinas. No requiere la fase de presentación de conclusiones para ser válido.

Durante la fase de preanálisis, ¿qué acción se debe tomar si no se logra romper el cifrado de una evidencia?. Anotar en el reporte pericial que no se pudo acceder al contenido de dicha evidencia. Eliminar la evidencia del caso para no entorpecer el análisis de otros archivos. Suponer el contenido del archivo basándose en el nombre de la extensión.

¿Cuál es la extensión de archivo típica para identificar máquinas virtuales creadas bajo la especificación de Microsoft (Hyper-V)?. .EXE. .XVA. .VMDK. .VHD.

En el análisis del sistema operativo, ¿por qué es importante investigar si existen "usuarios anormales"?. Para detectar posibles cuentas creadas por atacantes para mantener persistencia o privilegios. Para desinstalar programas que consumen demasiada memoria RAM. Para cambiar el idioma de la interfaz del sistema operativo. Para verificar si los empleados comparten sus contraseñas.

¿Cuál es el propósito principal de acotar la escena del crimen en un análisis forense informático?. Restringir el acceso para evitar que personas no calificadas alteren o comprometan la evidencia. Limpiar el área de trabajo para instalar herramientas. Desconectar inmediatamente todos los equipos. Identificar únicamente los equipos que no sufrieron daños.

¿Cuál es la diferencia fundamental entre una adquisición física y una lógica?. La adquisición física copia todo el contenido del dispositivo bit a bit, mientras que la lógica se limita a volúmenes o particiones específicos. La adquisición física se realiza solo mediante hardware, mientras que la lógica requiere software especializado. La adquisición lógica garantiza la integridad del dispositivo original, mientras que la física siempre altera los datos. La adquisición física es exclusiva para memorias volátiles y la lógica para dispositivos de almacenamiento masivo.

¿Por qué el uso de herramientas como Dumplt para recuperar la memoria RAM se considera una acción que altera inevitablemente la evidencia?. Porque al cargarse en el sistema operativo, el software ocupa espacio en la propia memoria RAM que se intenta capturar. Porque el software Dumplt sobrescribe automáticamente el historial del navegador. Porque solo es compatible con sistemas operativos de código abierto. Porque requiere reiniciar el equipo antes de comenzar el proceso.

De acuerdo con el estándar de seguridad NATO para el borrado seguro de información, ¿cuál es el procedimiento que se sigue?. Se realizan siete pasadas de sobrescritura, alternando valores fijos y finalizando con un carácter aleatorio. Se sobrescribe la información original únicamente con ceros en una sola pasada. Se aplica un algoritmo que sobrescribe la información con una serie de 35 patrones diferentes. Consiste en tres pasadas de sobrescritura utilizando un valor fijo, un valor complementario y valores aleatorios.

Al investigar un navegador Chrome en Windows 10, ¿qué comando o dirección permite al perito identificar rápidamente la ruta del directorio del perfil del usuario?. chrome://version/. chrome://settings/profiles/. chrome://history/view/. C:\Users\Default\AppData\.

En la arquitectura de redes móviles, ¿cuál es la función de las bases de datos HLR y VLR desde una perspectiva forense?. Registrar el estado de los clientes e indicar su localización en la red, lo cual es relevante para ubicar un dispositivo. Sustituir el código IMEI por un identificador temporal. Almacenar permanentemente el contenido de llamadas y mensajes SMS. Encriptar la tarjeta SIM para impedir su lectura.

¿Qué ventaja técnica ofrece el uso de una imagen forense en lugar de realizar un clon directo de un disco duro físico?. Permite que varios analistas trabajen sobre el mismo archivo simultáneamente y facilita el marcado de archivos de interés dentro de la evidencia. Elimina la necesidad de utilizar bloqueadores de escritura durante el proceso de copia. Es el único método que permite realizar una adquisición "en caliente" de un servidor crítico. La imagen forense reduce el tamaño de los datos originales mediante una compresión que elimina los espacios vacíos.

Al realizar análisis de red con Wireshark, ¿cuál es la función de la librería WinPcap o similares?. Gestionar la captura de paquetes de información que circulan por la interfaz de red. Proveer una interfaz gráfica para que el usuario pueda filtrar los protocolos TCP. Limpiar los virus y malware presentes en los paquetes de datos capturados. Desencriptar automáticamente las contraseñas que viajan de forma segura por la red.

¿En qué situación un perito informático optaría obligatoriamente por una adquisición "en caliente"?. Cuando se trata de sistemas críticos para una empresa que no pueden ser apagados ni retirados de su ubicación. Cuando el perito no cuenta con bloqueadores de escritura de hardware en el laboratorio. Cuando el objetivo principal es recuperar archivos que fueron borrados hace más de un año del disco duro. Siempre que el dispositivo sea un smartphone, debido a que su memoria interna se borra al apagarse.

¿Qué información crítica se puede extraer específicamente de una tarjeta SIM durante un análisis forense de smartphones?. Identificadores del proveedor de servicio para asociar la línea y, en ocasiones, un número limitado de contactos o mensajes. Las llaves de cifrado de aplicaciones de mensajería instantánea como WhatsApp. El historial de navegación completo de los últimos seis meses del usuario. La copia de seguridad completa de las fotos y videos capturados por la cámara.

¿Cuál es el propósito principal de implementar una cadena de custodia en la informática forense?. Reducir el espacio de almacenamiento necesario para las copias de seguridad. Garantizar la validez legal de las evidencias evitando alteraciones o sustituciones. Aumentar la velocidad del análisis pericial. Facilitar la compresión de los archivos obtenidos durante la adquisición.

¿Cuál es la diferencia principal entre el análisis forense de redes reactivo y el proactivo?. El reactivo investiga tras la detección de un incidente, mientras que el proactivo vigila el tráfico para detectar anomalías antes de que ocurra un daño mayor. El reactivo utiliza herramientas de hardware y el proactivo se basa únicamente en protocolos legales. El reactivo busca archivos borrados y el proactivo analiza metadatos de correos electrónicos. El reactivo se aplica solo en dispositivos móviles y el proactivo en infraestructuras de la nube (Cloud).

¿Cuál es el propósito fundamental de un análisis forense informático según el material de estudio?. Aclarar las acciones realizadas en la escena del delito para brindar un panorama claro al juez. Eliminar permanentemente los registros de acceso para proteger la privacidad de la empresa. Sustituir inmediatamente el hardware afectado para evitar pérdidas económicas. Identificar vulnerabilidades futuras sin analizar los hechos pasados.

En la etapa de preservación, ¿cuál es la función de la técnica denominada "Cadena de Custodia"?. Garantizar que la evidencia recolectada sea la misma desde el hallazgo hasta el juicio. Asignar un oficial de policía físico para custodiar cada ordenador las 24 horas. Acelerar el proceso de borrado de datos temporales. Encriptar todos los discos duros para que nadie pueda leer su contenido.

Si un perito utiliza algoritmos SHA-1 ο MD5 y obtiene códigos distintos al comparar el original con la copia, ¿qué conclusión debe extraer?. La información ha sido alterada o borrada en algún punto del proceso. La copia se realizó correctamente pero en un sistema operativo diferente. El archivo está protegido por una contraseña. Se debe a un error normal de redondeo del procesador.

¿Por qué es crucial evitar el lenguaje excesivamente técnico en la presentación del informe pericial?. Porque los destinatarios finales suelen ser jueces, fiscales o gerentes no especializados. Para reducir el peso digital del archivo del informe final. Porque los estándares internacionales prohíben el uso de tecnicismos. Para evitar que otros peritos descubran las herramientas utilizadas.

¿Cuál es la utilidad principal de realizar simulacros dentro de un plan de respuesta a incidentes?. Identificar fallas o acciones faltantes en el protocolo antes de que ocurra un evento real. Cifrar la base de datos de la empresa de forma automática durante el ejercicio. Entrenar a los usuarios para que puedan realizar sus propios análisis forenses. Justificar la compra de equipos informáticos de última generación anualmente.

En el contexto de la volatilidad de la evidencia, ¿por qué es peligroso apagar o reiniciar un equipo comprometido sin un plan previo?. Porque la información contenida en memorias volátiles como la RAM se perderá definitivamente. Porque el sistema operativo aplicará actualizaciones que borrarán los logs de red. Porque se invalidan automáticamente todas las funciones hash previamente calculadas. Porque el disco duro se desmagnetiza automáticamente al perder corriente súbitamente.

¿Qué distingue al estándar Digital Forensic Process de otros modelos más tradicionales?. Es una plataforma de código abierto que divide el trabajo en siete fases detalladas. Prohíbe la recolección de evidencias que no estén almacenadas en la nube. Se centra exclusivamente en la investigación de escenas de crímenes físicos. No requiere la fase de presentación de conclusiones para ser válido.