Hispanopedia WikiLa superposición de configuración de dispositivo ( DCO ) es un área oculta en muchas de las unidades de disco duro (HDD) actuales . Por lo general, cuando la información se almacena en la DCO o en el área protegida del host (HPA), no es accesible para el BIOS (o UEFI ), el sistema operativo o el usuario. Sin embargo, se pueden utilizar ciertas herramientas para modificar la HPA o la DCO. El sistema utiliza el comando IDENTIFY_DEVICE para determinar las características admitidas de un disco duro determinado, pero la DCO puede informar a este comando que las características admitidas no existen o que la unidad es más pequeña de lo que es en realidad. Para determinar el tamaño y las características reales de un disco, se utiliza el comando DEVICE_CONFIGURATION_IDENTIFY, y la salida de este comando se puede comparar con la salida de IDENTIFY_DEVICE para ver si hay una DCO presente en un disco duro determinado. La mayoría de las herramientas principales eliminarán la DCO para crear una imagen completa de un disco duro, utilizando el comando DEVICE_CONFIGURATION_RESET. Esto altera permanentemente el disco, a diferencia del área protegida del host (HPA), que se puede eliminar temporalmente para un ciclo de energía. [1]
Usos
La superposición de configuración de dispositivos (DCO), que se introdujo por primera vez en el estándar ATA-6, "permite a los proveedores de sistemas comprar discos duros de distintos fabricantes con tamaños potencialmente diferentes y luego configurar todos los discos duros para que tengan la misma cantidad de sectores. Un ejemplo de esto sería usar DCO para hacer que un disco duro de 80 gigabytes aparezca como un disco duro de 60 gigabytes tanto para el sistema operativo como para el BIOS... Dado el potencial de colocar datos en estas áreas ocultas, este es un área de preocupación para los investigadores forenses informáticos . Un problema adicional para los investigadores forenses es la creación de imágenes del disco duro que tiene el HPA y/o el DCO. Si bien algunos proveedores afirman que sus herramientas pueden detectar y crear imágenes del HPA correctamente, no dicen nada sobre el manejo del DCO o indican que esto está más allá de las capacidades de su herramienta". [2]
Herramientas de software de DCO
Herramientas de detección
HDAT2 es un programa de software gratuito para MS-DOS . Se puede utilizar para crear o eliminar un área protegida del host (HPA) (mediante el comando SET MAX) y para crear o eliminar un área oculta del DCO (mediante el comando DCO MODIFY). También puede realizar otras funciones en el DCO.
La utilidad gratuita ATATool de Data Synergy se puede utilizar para detectar un DCO desde un entorno Windows . Las versiones recientes permiten crear, eliminar o congelar un DCO. [3]
Herramientas de creación de imágenes de software
EnCase de Guidance Software viene con una herramienta basada en Linux que crea imágenes de discos duros llamada LinEn. LinEn 6.01 fue validada por el Instituto Nacional de Justicia (NIJ) en octubre de 2008, y descubrieron que "la herramienta no elimina las áreas protegidas del host (HPA) ni los DCO. Sin embargo, el entorno de prueba de Linux eliminó automáticamente la HPA en el disco de prueba, lo que permitió que la herramienta creara imágenes de sectores ocultos por una HPA. La herramienta no adquirió sectores ocultos por un DCO". [4]
El Instituto Nacional de Justicia (NIJ) validó el FTK Imager 2.5.3.14 de AccessData en junio de 2008. Sus hallazgos indicaron que "si se realiza una adquisición física de una unidad con sectores ocultos en un área protegida del host o en una superposición de configuración del dispositivo, la herramienta no elimina ni un HPA ni un DCO. La herramienta no adquirió sectores ocultos por un HPA". [5]
Herramientas de creación de imágenes de hardware
Se ha descubierto que una variedad de herramientas de imágenes de hardware detectan y eliminan con éxito los DCO. El NIJ prueba rutinariamente las herramientas forenses digitales y estas publicaciones se pueden encontrar en www.ojp.gov o en NIST en https://www.nist.gov/itl/ssd/software-quality-group/computer-forensics-tool-testing-program-cftt
En Windows, puede utilizar la herramienta como ATATool para crear un DCO.
Establezca DCO en 100 GB en el disco duro 1:
ATATOOL /SETDCO:100GB \\.\Unidad física1
Eliminar DCO de 100 GB en el disco duro 1:
ATATOOL/RESTOREDCO:100 GB \\.\Unidad física1
Advertencia: estos comandos pueden provocar la pérdida de datos o algo peor si ejecutas este comando que contiene datos. Asegúrate de comprobar que se trata de la unidad correcta y formatea la unidad antes de crear un DCO. Utiliza ATATool bajo tu propio riesgo. [6]
Véase también
- Área protegida del anfitrión (APH)
- Registro de arranque maestro (MBR)
- Tabla de particiones GUID (GPT)
Referencias
- ^ Brian Carrier (2005). Análisis forense de sistemas de archivos . Addison Wesley. pág. 38. ISBN 0321268172.
- ^ Mark K. Rogers; Mayank R. Gupta; Michael D. Hoeschele (septiembre de 2006). "Áreas ocultas del disco: HPA y DCO" (PDF) .
- ^ Data Synergy UK (julio de 2015). "ATATool: utilidad HPA/DCO de Data Synergy para Windows".
- ^ Instituto Nacional de Justicia (octubre de 2008). "Resultados de pruebas del NIJ para la herramienta de adquisición de datos digitales: EnCase LinEn 6.01" (PDF) . pág. 5.
- ^ Instituto Nacional de Justicia (junio de 2008). "Resultados de pruebas del NIJ para la herramienta de adquisición de datos digitales: FTK Imager 2.5.3.14" (PDF) . pág. 6.
- ^ "Software de gestión de energía para PC PowerMAN de Data Synergy" . Consultado el 3 de febrero de 2017 .