ACE Study Guide Aug 2013 ESP

GUÍA DE ESTUDIO PARA ACE
*Nota* Todas las preguntas del examen son de opción múltiple.
Esta Guía de Estudio cubre todo el material que corresponde al examen.
1. FTK Imager soporta el cifrado de archivos de imagen forenses. ¿Cuáles
son los dos métodos que se puede usar para el cifrado?
​- Contraseña
​- Certificado (*.pfx, *.p12, *.pem)
2. ¿Cuando se crea una Lista de Valores Hash de Archivos enImager, qué información se incluye en el
archivo?
​- Hash MD5
​- Hash SHA1
​- Nombres de los archivos (Incluyendo la ruta)
3. ¿Cuál es el panel de Imager que muestra información específica a los sistemas de archivo como
HFS+, NTFS y Ext2?
​- Panel Properties (Propiedades)
4. ¿Qué tipo de evidencia se puede agregar en FTK Imager?
​- Unidad física
​- Unidad lógica
​- Archivo de imagen
​- Contenido deuna carpeta
5. Nombre tres características de la función Image Mounting (Montaje de imagen) en Imager y en
FTK.
- Navegar sistemas de archivos en Windows Explorer (Ext2, HFS+, etc) que
normalmente no se reconocen.
- Correr un software antivirus en imágenes montadas.
- Hacer “escritura virtual” en la imagen montada usando un archivo en caché.
- Correr software de terceros en la imagen montada.
-Navegar la estructura de directorio sin hacer cambios usando la opción de montaje
“Read-Only” (Sólo lectura).
6. ¿Qué tipo de formatos de archivo de imagen permite crear Imager?
​- RAW(DD) - *.001
​- SMART - *.S01
​- EnCase - *.E01
​- Advanced Forensic Format - *.AFF
​- AD Custom Content (Imagen lógica) - *.AD1
7. Nombre cuatro características de las Imágenes Custom Content.
​- Extensión de archivo*.AD1
​- Sólo archivos lógicos – sin el slack del archivo
​- Puede incluir subdirectorios recursivos
​- Puede incluir el espacio no asignado
8. ¿Qué herramientas forenses de AccessData tienen la funcionalidad de Intérprete de Valores
Hexadecimales (Hex Value Interpreter)?
​- FTK Imager
​- FTK

​- FTK
-​ Registry Viewer
9. Nombre tres funciones del Informe Sinóptico del Visor del Registro(Registry Viewer Summary
Report)
​- Puede mostrar valores específicos en una clave del registro.
​- La función de Comodín (Wildcard) permite crear plantillas del registro.
​- Se pueden documentar múltiples áreas de un archivo del registro.
10. Nombre dos funciones de un Área Común del Visor del Registro (Registry Viewer Common
Area)?
​- Ofrece accesos directos o marcadores para las claves del registro quese visitan con frecuencia
​- Se pueden agregar claves adicionales para personalizarlo
11. Nombre tres de los campos que se muestran para la cuenta del usuario de Windows en el panel
Propiedades (Properties) del Visor del Registro (Registry Viewer) cuando se visualiza el archivo SAM.
​- Identificador único SID
​- Hora del último registro en el sistema (Logon)
​- Nombre del usuario
​- Conteo deregistros en el sistema (Logon Count)
​- Último cambio de contraseña
​- Requiere contraseña
12. ¿Qué tipos de búsquedas se pueden realizar en el Visor del Registro (Registry Viewer)?
​- Búsqueda estándar (Standard Search) – siguiente instancia de un término de búsqueda
​- Búsqueda avanzada (Advanced Search) – todas las instancias de un término de búsqueda
​- Búsqueda de una clave con la fecha de laúltima escritura:
​i. para un rango de fechas
​ii. durante y después de una fecha dada
​iii. durante y antes de una fecha dada
13. ¿Cómo se crea el Golden Dictionary en PRTK?
​- Se autogenera a partir de contraseñas satisfactoriamente recuperadas en la computadora local.
14. Nombre los cuatro tipos de ataques indicados en el menú PRTK Help > Recovery Modules (Ayuda
de PRTK > Módulos derecuperación)?
​- Diccionario
​- Descrifrado
​- Keyspace
​- Resetear
15. Nombre las cuatro principales secciones de un Perfil de ataque de PRTK (PRTK Attack Profile).
​- Diccionarios
​- Reglas (niveles)
​- Idiomas
​- Grupos de caracteres
16. ¿Cuál de los 5 archivos del registro (SAM, SYSTEM, SECURITY, SOFTWARE, NTUSER.DAT)
puede atacar PRTK para buscar posible información cifrada o contraseñas?
​- SAM,...