Autopsy

Autopsy es una plataforma de análisis forense digital de código abierto, creada como interfaz gráfica para el conjunto de herramientas de línea de comandos The Sleuth Kit (TSK). La desarrolló Brian Carrier (Basis Technology, hoy bajo Sleuth Kit Labs) y es una de las herramientas forenses más usadas por fuerzas de seguridad, investigadores corporativos y equipos de respuesta a incidentes, por una razón de peso: ofrece funcionalidades de nivel profesional sin coste de licencia, frente a suites comerciales que cuestan miles de dólares.

Su objetivo es hacer accesible la investigación digital: en lugar de dominar comandos, trabajas desde una interfaz que simplifica tareas complejas como recuperar archivos borrados, analizar el registro de Windows o reconstruir la cronología de actividad de un equipo. Analiza imágenes de disco en formatos forenses estándar y sistemas de archivos como NTFS, FAT, exFAT, Ext2/3/4, HFS+ y APFS, cubriendo evidencias de equipos Windows, macOS y Linux.

Qué ofrece Autopsy

• Análisis de sistemas de archivos y recuperación de borrados: examina metadatos, recupera datos eliminados que no se han sobrescrito y filtra archivos conocidos con bases de datos de hash para descartar lo irrelevante.
• Línea de tiempo (Timeline): extrae marcas de tiempo y eventos y los presenta en una cronología interactiva, clave para reconstruir qué pasó y cuándo.
• Módulos de ingesta (Ingest Modules): extraen automáticamente actividad de navegadores (historial, cookies, descargas de Chrome, Firefox y Edge), datos del registro de Windows (usuarios, programas recientes, USB conectados), correos (PST, EML, MBOX) y software instalado.
• Búsqueda por palabras clave: motor basado en Apache Solr para consultar todo el contenido indexado, con filtros por tipo, tamaño o puntuación de sospecha.
• Trabajo en equipo: casos multiusuario y un repositorio central que reutiliza artefactos ya vistos para no reanalizarlos, con documentación de la cadena de custodia.
• Informes: exporta en HTML, Excel, PDF o CSV, con resumen del caso, artefactos, etiquetas y anotaciones, listos para un informe pericial.
• Extensible: puedes crear módulos propios en Java o Python o usar los de la comunidad.

Cómo funciona una investigación con Autopsy

1. Crear un caso: en New Case, pon un nombre y una carpeta de trabajo; Autopsy organiza ahí toda la evidencia y los resultados.
2. Añadir la fuente de datos: una imagen de disco (E01, RAW, AFF…), un disco físico conectado o una carpeta de archivos lógicos.
3. Elegir los módulos de ingesta: Recent Activity, Keyword Search, identificación por tipo de archivo, Hash Lookup, extractor de archivos incrustados, etc.
4. Analizar: pulsa Finish y deja que procese (de minutos a horas según el tamaño). Puedes ir navegando mientras.
5. Revisar resultados: árbol de archivos (con los borrados marcados), vista de resultados por tipo de artefacto, línea de tiempo y aciertos de palabras clave.
6. Etiquetar y documentar: marca elementos de interés con Tag y añade comentarios.
7. Generar el informe: en File → Generate Report, elige formato y secciones.

Un detalle importante de método forense: Autopsy trabaja sobre imágenes o copias de la evidencia (no sobre el sistema en marcha) y, al apoyarse en TSK para el acceso de bajo nivel, no altera la prueba. Si el disco está dañado o no arranca, primero se crea su imagen con una herramienta de volcado (FTK Imager, dd o dc3dd) y luego se carga esa imagen en Autopsy.

Descarga e información

• Página oficial: sleuthkit.org/autopsy — releases en GitHub para la versión exacta.
• Desarrollador: Brian Carrier / Basis Technology, hoy bajo Sleuth Kit Labs.
• Versión: rama 4.22 (desarrollo muy activo; comprueba la última en GitHub).
• Sistemas: Windows 10/11 (64 bits), macOS (incluido Apple Silicon) y Linux (Ubuntu/Debian, Fedora…). El instalador de Windows incluye el Java que necesita.
• Requisitos: recomendable 8 GB de RAM y espacio de sobra para los casos y los índices de Solr.
• Licencia: código abierto, gratuita. Interfaz en inglés (con traducción al español aportada por la comunidad en versiones recientes).

Autopsy frente a las suites comerciales

Frente a suites como FTK (Forensic Toolkit) o EnCase, que cuestan miles de dólares y se dirigen a grandes corporaciones y agencias, Autopsy cubre la mayoría de las tareas de análisis forense sin coste de licencia. Esto lo hace ideal para agencias pequeñas, equipos de respuesta a incidentes con presupuesto ajustado, universidades y profesionales independientes, que además pueden instalarlo en todas las estaciones que necesiten sin pagar por puesto.

Alrededor del proyecto existe un ecosistema comercial opcional (formación oficial de pago y soporte por suscripción), pero el software en sí es libre. También hay distribuciones de seguridad como Kali Linux o Parrot Security OS que ya incluyen Autopsy y The Sleuth Kit listos para usar.

A tener en cuenta

• Requiere criterio forense: la interfaz es gráfica, pero hay que entender los conceptos para interpretar bien los resultados y no sacar conclusiones erróneas.
• No es análisis de memoria viva: está pensado para imágenes de disco y copias forenses, no para examinar un sistema en ejecución.
• Forense móvil limitado: procesa copias de iTunes y algunos artefactos (módulos tipo iLEAPP/aLEAPP), pero para analizar a fondo smartphones hacen falta herramientas específicas.
• Rendimiento en casos enormes: con imágenes de varios terabytes puede ir lento si el hardware se queda corto.
• Sin soporte comercial formal por defecto: al ser código abierto, no hay SLA garantizado salvo que contrates servicios de terceros.

Alternativas

• FTK (Forensic Toolkit) y EnCase: suites comerciales con soporte dedicado, orientadas a entornos empresariales y gubernamentales, de precio elevado.
• Xplico: alternativa de código abierto centrada en el análisis de tráfico de red (reconstruye contenido a partir de capturas PCAP).
• Kali Linux / Parrot Security OS: distribuciones que ya traen Autopsy y decenas de herramientas forenses preconfiguradas.

Preguntas frecuentes

¿Autopsy es gratis?

Sí, es completamente gratuito y de código abierto, sin versiones de pago ni funciones bloqueadas. Aparte existen servicios opcionales de formación y soporte, pero el programa en sí es libre.

¿Funciona en Windows, macOS y Linux?

Sí, es multiplataforma: Windows 10/11 (64 bits), macOS (incluido Apple Silicon) y las principales distribuciones de Linux. En Linux y macOS hay scripts que facilitan la instalación.

¿Qué diferencia a Autopsy de The Sleuth Kit?

The Sleuth Kit (TSK) es el conjunto de herramientas de línea de comandos; Autopsy es la interfaz gráfica construida sobre él, que añade gestión de casos, búsquedas e informes. Por debajo usan las mismas bibliotecas forenses.

¿Puedo usarlo para recuperar archivos de un disco que no arranca?

Sí, pero sobre una imagen del disco. Primero creas la imagen forense con FTK Imager, dd o dc3dd y luego la cargas en Autopsy. También puede analizar un disco físico conectado si el sistema operativo accede a él.

¿Admite discos cifrados con BitLocker?

Las versiones recientes añadieron soporte para BitLocker y para imágenes VHDX, además de mejoras en la extracción de artefactos de navegadores. Consulta las notas de la versión en GitHub para ver qué incorpora la build que descargues.