El realizar una recolección forense desde un sistema en funcionamientos no es un procedimiento rudimentario. A continuación un ejemplo sobre un escenario donde debe aplicarse. Al encontrarse con una computadora funcionando en la escena de un incidente, se necesita inicialmente responder dos preguntas. Primero; ¿La potencial evidencia a ser recuperada merece el esfuerzo y tiempo?. En algunos casos la respuestas puede ser “no”. En casos los cuales involucran Malware o software malicioso, la memoria RAM es de vital importancia.

Hasta hace relativamente un corto lapso de tiempo, el desconectar el enchufe o cortar el fluido eléctrico de una computadora o dispositivo, era la única opción real en la mayoría de escenarios forenses. Por contraste, el capturar la memoria principal de una computadora en funcionamiento, es decir la memoria RAM, no era una opción realista. Simplemente las soluciones existentes en años anteriores, no eran prácticas para ser utilizadas en un escenario relacionado a un incidente.

En el lado positivo de la adquisición forense en vivo, desconectar o interrumpir el fluido electrónico de una computadora, laptop, servidor u otro, elimina la necesidad de interactuar con la máquina en funcionamiento. Interactuar con una computadora en funcionamiento, de cualquier manera causa cambios hacia el sistema. Cualquier cambio en una pieza de evidencia es inadecuado, y puede causar problemas mayores desde el punto de vista legal.

El resultado final de realizar el proceso para la creación de una imagen forense desde un dispositivo de almacenamiento sospechoso, generalmente es un archivo conteniendo una copia exacta del dispositivo de origen. Este archivo puede tener diferentes formatos. Siendo la extensión del archivo, la manera más viables de indicar su formato. Algunos de los formatos de imágenes forenses más comunes son:

• EnCase (Extensión .E01)
• DD (Extensión .001 o .dd)
• AccessData Custom Content Image (Extensión .AD1)

El proceso para crear una imagen forense desde un dispositivo de almacenamiento como un disco duro, debería ser un proceso bastante sencillo, al menos en teoría. Típicamente se creará la imagen forense desde un dispositivo de almacenamiento hacia otro. El dispositivo de almacenamiento original es conocido como el dispositivo de origen, y el dispositivo donde se creará la imagen forense, se denomina el dispositivo destino. La unidad de destino debe ser tan grade (sino más grande), comparado con el dispositivo origen.

Como ya se debe conocer sobre el ámbito forense, la evidencia digital es extremadamente volátil por naturaleza. Y como tal, nunca se debe realizar un examen o análisis sobre la evidencia original, a menos se esté en circunstancia muy exigentes donde no haya otra opción disponible. Estas circunstancias peculiares, podrían incluir situaciones en las cuales un niño ha sido raptado. Algunas veces no existen herramientas o técnicas para poder resolver este problema.

Existen muchas maneras de realizar el reconocimiento de una aplicación web, para encontrar todos los recursos relacionados. Quizás la guía más común es, “entender completamente como se comporta una aplicación”, y de esta manera estar en la mejor posición posible para la fase de explotación. El reconocimiento de una aplicación web incluye actividades como:

Las fases de reconocimiento y escaneo para la aplicación web, proporcionan información detallada sobre los recursos (páginas, archivos, directorios, enlaces, imágenes, etc.), los cuales constituyen la aplicación web. Existen partes muy importantes de información las cuales pueden ser utilizadas durante la posterior explotación de la aplicación web.

A continuación se presenta un proceso ligero para utilizar algunos comandos de Metasploit Framework, los cuales son muy útiles para la fase de explotación.

La explotación es el momento donde toda la información recopilada, los escaneo de puertos, y los escaneos de vulnerabilidades incrementan su valor, pudiendo ser factible ganar acceso no autorizado o ejecutar comandos remotos en la máquina objetivo. Uno de los objetivos de la explotación en red, es ganar derechos con nivel administrativo sobre la máquina objetivo (el servidor web en este ámbito), y ejecutar consecuentemente código.