Qué es y para qué sirve: Este artículo explica de forma práctica qué captura FTK Imager según la fuente que elijas —disco físico, unidad lógica o imagen forense— y te ayudará a decidir qué opción usar según tu objetivo (recuperar archivos borrados, preservar cabeceras de cifrado, ahorrar tiempo/espacio, etc.). En las siguientes secciones verás, con ejemplos y pasos rápidos, las diferencias clave y comprobaciones recomendadas para garantizar la integridad de la evidencia.
FTK Imager diferencias: resumen rápido (qué elegir según objetivo)
- Análisis forense completo / recuperación de borrados / cifrado full‑disk: elegir Physical Drive y crear imagen sector‑a‑sector (E01 o RAW/DD).
- Copias selectivas de archivos, análisis rápido o entrega de evidencia lógica: elegir Logical Drive / Image File (AD1) para imagen a nivel de fichero.
- Captura en vivo/rápida de carpetas concretas: usar Contents of a Folder o exportación de archivos; no útil para recuperar borrados ni metadatos del disco.
Breve descripción de FTK Imager y sus opciones de fuente
FTK Imager es una herramienta de adquisición y visualización de evidencia usada en entornos forenses y de incident response. Desde el menú principal puedes usar Add Evidence Item o Create Disk Image para seleccionar la fuente: Physical Drive, Logical Drive/Partition, Image File (para crear desde FTK y guardar) o Contents of a Folder. La elección determina el nivel de detalle y los datos capturados.
Definición y alcance: Disco físico (Physical Drive)
Al seleccionar Physical Drive FTK Imager realiza una adquisición a nivel de dispositivo/sector. Captura:
- Todos los sectores del dispositivo (incluido el espacio no asignado).
- Particiones y tablas de particiones (MBR o GPT) y sus metadatos.
- Datos borrados y slack space (si no han sido sobrescritos).
- Cabeceras de cifrado y firmas de volumen (por ejemplo, metros para BitLocker), útiles para intentos de descifrado offline.
Ventajas: posibilidad de recuperación forense completa. Inconvenientes: ocupa más espacio, más tiempo de adquisición y requiere cuidado con controladores (p. ej. NVMe) y bloqueadores de escritura.
Definición y alcance: Unidad lógica (Logical Drive / Partition)
Una adquisición lógica copia el contenido del sistema de ficheros visible dentro de una partición o unidad lógica. Captura:
- Archivos y carpetas accesibles por el sistema de ficheros.
- Metadatos a nivel de fichero (timestamps, atributos NTFS/EXT, etc.).
No captura: MBR/GPT completo, espacio no asignado, datos borrados ni slack space. Por eso no es adecuada cuando necesitas reconstruir borrados o analizar estructuras de disco.
Definición y alcance: Imagen forense / Image File (E01, AD1, DD/RAW)
Cuando creas una imagen con FTK Imager puedes elegir distintos formatos:
- E01 (EnCase): formato forense con metadatos, soporte de compresión, segmentación y posibilidad de añadir comentarios; incluye sumas/hash integradas en el contenedor.
- AD1: formato nativo de FTK/AccessData pensado para imagen lógica/file‑level; almacena archivos y manifiesto de metadatos sin necesariamente contener sectores sin asignar.
- RAW / DD: imagen sector‑a‑sector sin contenedor; sin compresión ni metadata incrustada fuera del propio fichero image.dd.
Elección práctica: E01 para imágenes físicas cuando quieras metadatos y compresión; RAW/DD cuando necesites compatibilidad máxima con otras herramientas; AD1 cuando el objetivo es sólo el contenido lógico y rapidez/espacio son prioritarios.
Qué datos captura cada opción (comparativa rápida)
- MBR/GPT: solo Physical Drive o imagen sector‑a‑sector (E01/DD) lo preservan.
- Particiones y contenido: Logical captura el sistema de ficheros; Physical captura todo y permite montar particiones después.
- Espacio no asignado y archivos borrados: solo Physical / sector‑a‑sector.
- Metadatos de imagen (comentarios, hashes, segmentación): E01 y AD1 pueden almacenarlos; RAW/DD no.
Implicaciones prácticas: cifrado, contenedores y tipos de disco
BitLocker y cifrados a nivel de bloque: para preservar cabeceras y poder intentar descifrado forense es necesario hacer imagen del disco físico completo (o, como mínimo, del encabezado del volumen). Una imagen lógica no suele incluir esa información. En entornos LVM/RAID y contenedores (LVM, mdadm, hardware RAID), la adquisición física de cada dispositivo físico y la preservación del orden y metadatos del RAID son críticas para reconstruir volúmenes correctamente. Para APFS (macOS) y dispositivos NVMe conviene comprobar compatibilidades de controladores y usar la versión portátil o actual de FTK Imager; si trabajas en vivo, emplea bloqueador de escritura o procedimientos que eviten modificar el sistema objetivo.
Formatos y resultados (E01 vs AD1 vs RAW/DD): compresión, metadatos y segmentación
E01: acepta compresión y cifrado (según la configuración), incluye campos para comentarios, metadatos y hashes (MD5, SHA1, SHA256). También permite segmentación del archivo de imagen en múltiples ficheros para almacenamiento en volúmenes limitados. AD1: optimizado para imágenes lógicas; suele producir ficheros más pequeños porque no incluye espacio no asignado. RAW/DD: sin transformación, interoperable y predecible; ideal si otra herramienta externa deberá procesarlo y no quieres perder un sector exacto.
Pasos rápidos y consideraciones en FTK Imager (flujos para cada caso)
Flujo A — Imagen física completa (E01 o RAW) — uso forense
- Preparar: disponer de bloqueador de escritura hardware, almacenamiento de destino con suficiente espacio y registrar cadena de custodia.
- Abrir FTK Imager → Add Evidence Item → seleccionar Physical Drive.
- Elegir Create Image, seleccionar E01 o Raw/DD, activar verificación por hash (MD5 + SHA1 o SHA256 según política) y configurar segmentación si es necesario.
- Iniciar adquisición y anotar hashes iniciales y finales; conservar logs y etiquetas.
- Verificar: comparar hashes indicados por FTK Imager con los calculados sobre el fichero final (MD5/SHA1/SHA256).
Verificación correcta = hashes coincidentes y log de imagen completo sin errores.
Flujo B — Imagen lógica (AD1) — copia selectiva / entrega
- Abrir FTK Imager → Add Evidence Item → seleccionar Logical Drive o usar Create Disk Image y elegir AD1.
- Seleccionar archivos/carpetas a incluir; activar creación de manifiesto y hashes por fichero si interesa auditoría a nivel de fichero.
- Finalizar y verificar hashes; documentar exclusiones (espacio no asignado, MBR/GPT).
Útil para entregar conjuntos de archivos a una parte interesada cuando no se necesita analizar borrados o particiones.
Verificación, hashes y firma de evidencia
Siempre activa verificación mediante al menos un hash fuerte. Políticas habituales: MD5 (por compatibilidad histórica) + SHA‑1 y/o SHA‑256 para integridad moderna. Para imágenes E01 el contenedor puede almacenar los hashes; igualmente exporta y guarda los hashes en un fichero separado y en el registro de cadena de custodia. Comprueba que el hash calculado al final coincide con el hash almacenado al tiempo de la captura.
Errores y malentendidos frecuentes
- Esperar que una imagen lógica incluya archivos borrados: falso. Para recuperar borrados necesitas imagen sector‑a‑sector.
- Olvidar el encabezado de cifrado: si el objetivo está cifrado (BitLocker, FileVault), una imagen lógica puede dejar fuera la información necesaria para descifrado; captura física.
- No usar bloqueador de escritura o montar la imagen en modo RW: puede corromper la evidencia. Siempre montar como solo‑lectura para análisis.
- No comprobar compatibilidad con NVMe/APFS/RAID: puede impedir acceso a ciertos dispositivos; confirmar controladores o usar adquisición en máquina forense con soporte adecuado.
Recomendaciones finales y checklist antes de adquirir
- Decidir objetivo: ¿necesitas archivos visibles o recuperación forense completa?
- Disponibilidad de espacio de almacenamiento igual o superior al tamaño del disco cuando optes por imagen física.
- Presencia de bloqueador de escritura hardware y medios limpios para almacenamiento.
- Seleccionar formato: E01 para metadatos y compresión; RAW/DD para compatibilidad; AD1 para imagen lógica.
- Activar verificación hash (MD5 + SHA‑1 o SHA‑256) y registrar logs de FTK Imager.
- Si el sistema está cifrado, priorizar imagen física y documentar el estado del cifrado (si está montado, si se dispone de claves).
Puedes consultar guías prácticas relacionadas dentro de TecnoSender para procedimientos paso a paso sobre imágenes lógicas (AD1) y creación de imágenes físicas con FTK Imager: Cómo crear una imagen lógica (AD1) con FTK Imager, Cómo Crear una Imagen Forense con FTK Imager en Windows y FTK Imager: diferencias entre imagen E01 y formato RAW.
Preguntas frecuentes (FAQ)
1. ¿Puedo recuperar archivos borrados si hago una imagen lógica?
No. La imagen lógica copia solo archivos existentes en el sistema de ficheros; los archivos borrados y el espacio no asignado solo se conservan con una imagen sector‑a‑sector (Physical Drive).
2. ¿Qué formato debo elegir si quiero que otra herramienta también analice la imagen?
RAW/DD es el más interoperable. E01 es ampliamente soportado pero contiene metadatos y compresión que algunas herramientas más básicas no gestionan tan directamente.
3. ¿Necesito un bloqueador de escritura siempre?
Sí, para adquisiciones de discos físicos fuera del sistema vivo es obligatorio usar un bloqueador de escritura hardware para evitar modificaciones accidentales de la evidencia. En adquisiciones en vivo documenta cualquier cambio y evita operaciones de escritura.
4. ¿AD1 incluye hashes por fichero?
Sí, AD1 puede incorporar metadatos y manifiestos por fichero; asegúrate de activar la verificación/hash durante la creación si tu política lo requiere.
5. ¿Qué hago si la verificación de hash falla?
Interrumpir el proceso, anotar errores, verificar conectividad y estado del destino, repetir imagen en la medida de lo posible usando otro destino o método y documentar la discrepancia en la cadena de custodia.
Conclusión: elegir entre disco físico, unidad lógica o imagen forense en FTK Imager depende del objetivo: análisis forense completo y cifrado → Physical + E01/RDD; copia selectiva/entrega → Logical/AD1. Siempre documenta, usa verificación por hash y emplea bloqueadores de escritura o procedimientos que garanticen la integridad de la evidencia.