Cómo adquirir un disco externo con FTK Imager sin modificar la evidencia

Qué es y qué obtendrá usted: Esta guía explica, paso a paso y con buenas prácticas forenses, cómo adquirir un disco externo con FTK Imager como destino de imagen sin modificar la evidencia original. Aprenderá qué preparar en la estación Windows, cómo evitar escrituras accidentales (automount), cómo configurar FTK Imager para crear una imagen E01 o RAW, verificarla con hashes y registrar la cadena de custodia.

📘 Tabla de Contenidos

disco externo con FTK Imager — resumen rápido

En pocas palabras: conecte el origen a través de un write‑blocker hardware, desactive el automount de Windows antes de conectar la evidencia, use FTK Imager para crear la imagen (E01 preferible por metadatos y compresión) y active la verificación por MD5/SHA1. Si necesita SHA256 calcúlelo aparte. Los pasos detallados siguen a continuación.

Advertencias legales y éticas

Antes de cualquier manipulación, asegúrese de tener autorización legal para realizar la adquisición. Toda operación sobre soportes forenses puede afectar la cadena de custodia: documente cada acción, hora, operador y la justificación técnica. Si alguna instrucción es destructiva (por ejemplo, formatear un disco destino), se avisará expresamente.

Intención de la guía y cuándo usarla

Este procedimiento se aplica a adquisiciones «offline» (disco apagado o extraído) donde se puede conectar físicamente el soporte fuente a una estación de imagen. No sustituye procedimientos de adquisición en vivo (live acquisition) necesarios para sistemas cifrados o con datos volátiles.

Requisitos previos (hardware y software)

Estación Windows dedicada, con cuenta de administrador y SAI (UPS) para alimentación estable.
FTK Imager instalado o versión portable en USB (use la versión estable más reciente disponible antes de la adquisición). Instrucciones de instalación.
Write‑blocker hardware certificado (USB/SATA/IDE/NVMe según el origen) — obligatorio si la situación lo permite.
Disco externo destino con espacio suficiente, preferiblemente formateado en NTFS; unidad de repuesto para overflow.
Herramientas para documentar: cámara para fotos del etiquetado, formulario de cadena de custodia, bolígrafo, y un cuaderno de laboratorio.

Checklist rápido antes de empezar

Confirmar autorización legal y número de caso.
Comprobar que el equipo de adquisición tiene FTK Imager actualizado y privilegios admin.
Tener el write‑blocker hardware y comprobar su número de serie/modelo.
Preparar el disco externo destino: espacio disponible, formato (NTFS recomendado), y unidad de overflow si procede.
Desactivar servicios no necesarios (antivirus, indexing) y desconectar unidades no usadas.

Preparar la estación Windows: desactivar automount

Antes de conectar la evidencia, desactive el montaje automático de volúmenes en Windows para evitar que el sistema asigne letras o escriba metadatos. Desde un símbolo de sistema con privilegios de administrador puede usar DiskPart:

diskpart
DISKPART> automount disable
DISKPART> exit

Otra opción es usar mountvol para desactivar el montaje automático a nivel de volúmenes: mountvol /N. Estas acciones evitan que Windows monte automáticamente nuevos volúmenes cuando conecte el disco fuente. Asegúrese de documentar la acción y revertirla tras la adquisición si procede. (learn.microsoft.com

Hardware recomendado

Write‑blocker hardware (p. ej. bridges USB‑SATA/IDE que incorporen bloqueo a nivel de controlador). Anote modelo y número de serie.
Cables y adaptadores adecuados, etiquetados y en buen estado.
Disco externo destino con alto rendimiento y capacidad superior al tamaño del origen; tener una segunda unidad como overflow o copia espejo.

FTK Imager recomienda el uso de write‑blocker hardware para asegurar que el sistema no escriba en el origen. El software puede ayudar en emergencia, pero no sustituye la seguridad de un device bloqueador hardware. (d1kpmuwb7gvu1i.cloudfront.net

Preparación del disco externo destino

Recomendaciones:

Evitar FAT32 si la imagen puede superar 4 GB. NTFS es la opción recomendada en estaciones Windows forenses por compatibilidad y manejo de archivos grandes.
No formatear ni tocar el disco original; el formateo sólo aplica al destino si es necesario — advertencia: el formateo borra datos. Documente y fotografíe el disco destino antes de formatear.
Si la unidad destino se puede llenar, prepare una ruta de overflow secundaria; FTK Imager permite añadir una ubicación de overflow para continuar la imagen en otra unidad. (tecnosender.com

Flujo paso a paso en FTK Imager

Conecte el write‑blocker al equipo de adquisición y al dispositivo fuente. Compruebe señalización del write‑blocker y registre modelo/SN en la cadena de custodia.
Abra FTK Imager como administrador. Si no lo tiene instalado, utilice la versión portable desde USB. Guía FTK Imager portable.
En FTK Imager: File → Create Disk Image → seleccione el tipo de fuente (Physical Drive para disco entero) y pulse Next.
Rellenar Evidence Item Information: Case Number, Evidence Number, Examiner, Unique Description (incluya modelo/SN del write‑blocker y disco).
Image Destination: pulse Add → elija E01 (EnCase) o Raw (dd). E01 añade metadatos y permite compresión; RAW es simple y más compatible si prefiere no comprimir.
Configurar Image Fragment Size si necesita dividir la imagen en partes (ej. 4096 MB para compatibilidad con DVD/particiones antiguas). Si existe riesgo de llenar la unidad, use Add Overflow Location para definir un segundo destino. (tecnosender.com
Marcar «Verify images after they are created» para que FTK Imager calcule MD5 y SHA1 al completar la imagen.
Inicie el proceso y registre el inicio: hora (incluya zona horaria), operador y hostname del equipo.
Al finalizar, guarde el Image Summary y exporte el log de FTK Imager. Fotografía la pantalla de resumen con hashes visibles. (d1kpmuwb7gvu1i.cloudfront.net

Notas sobre opciones importantes

Formato E01: permite compresión y metadatos (nombre del caso, notas). Útil si desea ahorrar espacio y conservar metadata de adquisición.
Compresión: mayor compresión reduce tamaño pero incrementa CPU y tiempo. No olvide validar la imagen tras la compresión.
AD1/AD encryption: AD (AccessData) ofrece cifrado; no lo use salvo que tenga un requisito institucional y gestione las claves. Para evidencias cifradas conviene documentar y, si es necesario, realizar adquisición en vivo con las credenciales o claves apropiadas.
RAW: recomendado cuando quiere máxima compatibilidad con otras herramientas o para imágenes sector‑por‑sector sin metadatos adicionales.

Verificación y hashes

FTK Imager calcula automáticamente MD5 y SHA1 durante la adquisición y en la verificación posterior; muéstrelos en el Image Summary y anótelos en la documentación. Si necesita SHA256 (no siempre está disponible en todas las builds), calcúlelo con una utilidad externa (por ejemplo, certutil -hashfile imagen.E01 SHA256 en Windows). Compare siempre el hash del origen (si FTK Imager lo ha calculado) con el hash de la imagen generada para confirmar identidad. (d1kpmuwb7gvu1i.cloudfront.net

Registro y cadena de custodia

Documente al menos: fecha y hora (con zona horaria), número de caso, operador, hostname y versión de FTK Imager, modelo y número de serie del write‑blocker, modelo y SN del disco fuente y del disco destino, hashes (MD5, SHA1 y SHA256 si se calculó), nombre y ruta de la imagen, y cualquier incidencia. Guarde también el log exportado de FTK Imager junto a la imagen.

Qué hacer si no hay write‑blocker hardware

Si no dispone de write‑blocker hardware, puede usar las opciones de software que ofrece FTK Imager o configuraciones del sistema para minimizar escrituras; sin embargo, estas soluciones son consideradas menos fiables y deben usarse solo si se documenta y valida previamente su comportamiento en un laboratorio. Siempre documente la razón por la que no se utilizó hardware y los pasos de validación realizados. (legalcyberacademy.com

Problemas comunes y soluciones rápidas

Falta de espacio en destino: detenga el proceso, añada una ubicación de overflow (Add Overflow Location) o use una unidad mayor; no intente forzar formateos del origen. (tecnosender.com
Permisos insuficientes: ejecute FTK Imager como administrador y verifique que el write‑blocker esté activo.
Disco encriptado: si el disco está cifrado por hardware o software, no podrá montarse en modo bloqueado; considere adquisición en vivo o solicitar claves para descifrado, documentando todo.
Fallos de verificación (hash mismatch): no reutilice la imagen. Investigue errores de hardware (cables, puertos), repita la adquisición desde el origen con un write‑blocker comprobado y compare logs.

Checklist final y recomendaciones de almacenamiento

Comprobar que los hashes coinciden (origen vs imagen).
Guardar imagen, log y resumen de FTK Imager en medios de almacenamiento independientes y etiquetados.
Archivar la documentación física y digital (foto del sellado, cadena de custodia) y mantener acceso controlado.
Si la imagen será analizada por terceros, entregue copia verificada y conserve el original offline y protegido.

Recursos internos

Para pasos detallados del proceso de creación y verificación con FTK Imager consulte nuestras guías complementarias: Cómo Crear una Imagen Forense con FTK Imager en Windows, Cómo Instalar FTK Imager en Windows y Cómo verificar imagen forense con FTK Imager usando hashes.

Preguntas frecuentes (breve)

¿Puedo usar exFAT como destino? Sí, pero NTFS es preferible en estaciones Windows forenses por fiabilidad con archivos grandes y permisos.
¿Es obligatorio el write‑blocker hardware? Es la práctica recomendada y la que ofrece mayor defensa legal; el software es un último recurso documentado. (d1kpmuwb7gvu1i.cloudfront.net
¿Qué formato elegir: E01 o RAW? E01 para metadatos y compresión; RAW (dd) para máxima compatibilidad y simplicidad.

Si desea, puedo prepararle una lista imprimible (checklist) en PDF con los pasos y campos obligatorios para la cadena de custodia adaptada al entorno de su organización.