Qué es, para qué sirve y qué obtendrás
Una imagen lógica AD1 es un contenedor forense que guarda una colección seleccionada de archivos y metadatos (estructura de carpetas, atributos, timestamps y hashes) en lugar de una copia sector a sector del soporte. Si necesitas exportar sólo carpetas o ficheros relevantes —por ejemplo, para compartir evidencia filtrada, agilizar triage o evitar almacenar espacio inactivo— este formato te permite crear una imagen reproducible y verificable con FTK Imager. En esta guía práctica verás requisitos, preparación, el paso a paso en la interfaz gráfica, las opciones clave (fragmentación, compresión, metadatos), cómo verificar los hashes generados y cómo montar/validar la .AD1 resultante.
Introducción: cuándo usar una imagen lógica (.AD1) vs una física (E01/RAW)
Usa una imagen lógica AD1 cuando quieras conservar sólo archivos y metadatos específicos (filtrado por carpeta, extensión, propietario o patrón) y no necesites recuperar datos en áreas no asignadas o investigar estructuras de bajo nivel (MBR, sectores, slack space). Para análisis forense completo, preservación de evidencias borradas o análisis de sistema de archivos y particiones completas, prefiere una imagen física (E01 o RAW).
Qué es AD1: resumen técnico y limitaciones
AD1 (a menudo denominado «imagen lógica» o «custom content image») almacena un árbol lógico de carpetas y archivos con metadatos y el contenido comprimido en chunks. No copia sectores sin asignar ni garantiza preservación de datos borrados o metadatos residuales del disco físico. Limita la visibilidad a lo que se exportó explícitamente; por tanto, no sustituye a una adquisición física cuando la integridad de todo el soporte es necesaria.
Requisitos y compatibilidad
- FTK Imager: comprueba la versión instalada y anótala en la documentación del caso (las versiones modernas de FTK Imager siguen soportando AD1, pero existen diferencias de versión del formato AD1 que afectan la interoperabilidad entre versiones antiguas y nuevas).
- Sistema operativo: FTK Imager es habitual en Windows; asegúrate de tener permisos de administrador si vas a acceder a volúmenes o montar imágenes.
- Permisos: acceso de lectura a la evidencia; si trabajas en un equipo en vivo, evita modificaciones (ver más abajo).
Nota sobre versiones AD1
AD1 puede tener variantes de versión internas. Imágenes creadas por versiones más recientes del software pueden usar estructuras no reconocidas por versiones antiguas de FTK Imager u otras herramientas; por eso anotar la versión exacta del programa es obligatorio en registros forenses.
Preparación antes de crear la imagen
- Cadena de custodia: registra quién, cuándo y desde qué dispositivo se exportan los archivos.
- Write-blocker: para adquisiciones físicas siempre usa write-blocker; para exportar archivos lógicos desde un sistema vivo, minimiza cambios y documenta la actividad.
- Espacio destino: verifica espacio suficiente en el volumen de salida. FTK Imager pedirá nuevas ubicaciones si se agota la primera.
- Backup / Entorno controlado: si es posible, trabaja desde una imagen previamente tomada o desde una máquina forense para evitar alterar la evidencia original.
Crear imagen lógica AD1 con FTK Imager — paso a paso (GUI)
- Abrir FTK Imager y comprobar versión (Help > About). Anota versión en el registro del caso.
- Añadir evidencia: desde la ventana principal, usa «File > Add Evidence Item» y selecciona el volumen, imagen o carpeta de origen según proceda.
- Navegar en el panel de evidencia hasta las carpetas o archivos que quieras incluir. Puedes seleccionar niveles enteros de árbol o ficheros concretos.
- Exportar: con el/los elemento(s) seleccionados, clic derecho y elegir «Export Logical Image (AD1)» o usar «File > Export AD1 Logical Image» / «Create Custom Content Image» (según versión). Esto abre el diálogo de creación de imagen.
- En el diálogo «Create Image» o «Create Custom Content Image»: añade la(s) carpeta(s) de destino (botón Add) y define nombre de archivo (sin extensión). Configura las opciones (fragment size, compress, verificación — ver sección siguiente).
- Iniciar creación: pulsa «Create». FTK Imager procesará los ficheros y escribirá la(s) .ad1 (y ficheros asociados si la imagen se fragmenta).
- Al finalizar, FTK Imager mostrará los hashes calculados (MD5 y SHA1) y un log de la operación. Guarda ese registro con el resto de la documentación del caso.
Explicación de las opciones importantes en el diálogo Create Image
- Image Destination / Add: selecciona la carpeta de salida. Si la ubicación se queda sin espacio, FTK Imager puede pedir una ubicación alternativa.
- Image Filename: nombre para la .AD1 (no incluyas extensión; FTK Imager la añade).
- Image Fragment Size (MB): determina si la imagen se divide en trozos. Poner 0 suele significar «no fragmentar» para formatos físicos; para AD1 define el tamaño máximo de fragmento. Fragmenta si vas a archivar en soportes con límites de tamaño.
- Compression: AD1 usa compresión interna por chunks. Ajustar compresión reduce tamaño pero aumenta CPU y tiempo de creación. Si la cadena de custodia lo permite, la compresión suele ser aceptable; documenta el nivel usado.
- Metadata / Include attributes: asegúrate de que se incluyan timestamps, atributos y ACLs relevantes. FTK Imager añade metadatos por defecto en el contenedor AD1; comprobar la casilla correspondiente si existe en tu versión.
- Verification / Calculate hashes: activa el cálculo de hashes al terminar. FTK Imager mostrará valores de MD5 y SHA1. Guarda esos valores en el registro del caso.
Verificación y hashes
Tras crear la .AD1, FTK Imager muestra los hashes calculados. Registra siempre MD5 y SHA1 que el programa entregue — son la prueba de integridad del contenedor AD1. Si tu procedimiento exige un hash adicional (por ejemplo SHA256), genera ese hash con una herramienta independiente sobre el fichero .ad1 y añádelo a la documentación. Conserva el log de creación y toma captura de pantalla del diálogo final si tu política lo exige.
Montar y comprobar la .AD1 resultante
- En FTK Imager, usa la función de montaje de imágenes (File > Image Mounting o File > Add Evidence Item y selecciona el fichero .AD1) para verificar que el contenido exportado está completo y accesible.
- Comprueba un muestreo de archivos: abre, compara tamaños, timestamps y hashes de archivos clave con los originales (si proceden) o con el listado que generaste antes de exportar.
- Documenta cualquier discrepancia: si faltan ficheros o hay errores de lectura, anota la causa y repite la exportación si es necesario.
Ten en cuenta que la interoperabilidad de AD1 no es tan universal como E01/RAW: no todas las herramientas forenses soportan AD1 nativamente. Si necesitas máxima compatibilidad, considera exportar también a un formato físico alternativo.
Limitaciones, versiones AD1 y cuándo preferir E01/RAW
- AD1 no captura espacio no asignado ni contenidos borrados.
- Versiones antiguas de herramientas pueden no leer AD1 creadas por versiones recientes; anota la versión de FTK Imager usada.
- Si necesitas preservación completa (metadatos a nivel sector, recuperación de borrados, análisis forense profundo), crea una imagen física E01 o RAW además de —o en lugar de— la AD1.
Errores comunes y soluciones rápidas
- Archivo en uso / bloqueo: FTK Imager reporta si un archivo está bloqueado. Solución: cerrar la aplicación que lo usa, trabajar desde una imagen previa o usar un método que permita copia en caliente controlada.
- Espacio insuficiente: FTK Imager pedirá ubicación alternativa. Solución: libera espacio, cambia a un volumen con más capacidad o fragmenta la salida si es apropiado.
- Incompatibilidad de versión: si otra herramienta no monta la AD1, intenta abrirla en la misma versión de FTK Imager usada para crearla o exporta el contenido a un formato alternativo.
Checklist final y buenas prácticas forenses
- Anotar versión de FTK Imager y fecha/hora de la exportación.
- Registrar ruta de origen exacta y criterios de selección de archivos.
- Guardar logs y hashes (MD5/SHA1) junto a la .AD1.
- Comprobar montaje y muestreo de archivos dentro de la .AD1.
- Si procede, obtener una imagen física completa (E01/RAW) para preservación integral.
Puedes consultar guías relacionadas en nuestro sitio sobre cómo crear una imagen forense completa con FTK Imager, cómo montar imágenes y cómo verificar hashes: Cómo Crear una Imagen Forense con FTK Imager en Windows, Cómo Montar una Imagen Forense con FTK Imager en Windows y Cómo verificar imagen forense con FTK Imager usando hashes.
Conclusión y pasos siguientes
La imagen lógica AD1 creada con FTK Imager es útil para exportar y preservar colecciones seleccionadas de archivos con sus metadatos y hashes verificables. No reemplaza una captura física cuando se requiera evidencia completa; documenta versión del software, parámetros usados y hashes (MD5/SHA1) y monta la imagen resultante para comprobarla. Si necesitas distribuir sólo evidencia relevante o reducir tamaño para revisión, AD1 es una opción válida; si más tarde se necesita una imagen física, re‑imagina (re‑adquiere) desde el soporte original o desde una imagen física previa.
Preguntas frecuentes
¿Puedo convertir una AD1 a E01? No existe una conversión pérdida‑cero estándar para recuperar sectores no asignados a partir de una AD1; para tener E01 debes crear una imagen física desde el dispositivo original o desde una imagen física previa.
¿Qué hashes guarda FTK Imager al crear una AD1? Registra MD5 y SHA1 en el diálogo final; si necesitas SHA256, genéralo con una herramienta adicional sobre el fichero .ad1.
¿Es la creación de AD1 destructiva? No: la exportación a AD1 no debería modificar los archivos de origen si se hace en modo lectura; aun así, cuando trabajes en un sistema en vivo documenta cualquier operación que pueda afectar la evidencia y, si es crítico, crea primero una imagen física con write-blocker.
Si quieres, puedo generar una checklist imprimible adaptada a tu procedimiento interno o un ejemplo concreto paso a paso con capturas de pantalla de la versión de FTK Imager que tengas instalada —indícame la versión y lo preparo.