Guymager: La clave para una adquisición forense sin errores (integrada en CAINE)
En el universo de la ciberseguridad y la informática forense, hay una máxima que nunca se debe olvidar:
“La evidencia digital solo vale tanto como su integridad.”
Y es precisamente ahí donde entra en juego Guymager, una joya del software libre forense que, aunque no siempre recibe el reconocimiento que merece, es una de las herramientas más confiables y transparentes para realizar adquisiciones de evidencia digital.
Desarrollado como una alternativa ligera, precisa y open source, Guymager se integra de forma nativa en la distribución forense CAINE (Computer Aided INvestigative Environment). Este combo convierte cualquier equipo en un laboratorio forense portátil, listo para capturar discos, USBs o imágenes de sistemas comprometidos sin alterar ni un solo bit del contenido original.
🧠 ¿Por qué Guymager?
En la práctica forense, no basta con copiar datos: hay que hacerlo sin modificar el medio original, verificando la integridad, y documentando cada paso.
Guymager cumple con todos esos requisitos y los lleva un paso más allá con una interfaz intuitiva, rendimiento óptimo y generación automática de reportes.
Entre sus principales características destacan:
- 💡 Interfaz gráfica sencilla y clara, ideal para quienes dan sus primeros pasos en adquisición forense.
- 📂 Compatibilidad multiplataforma y multiformato: soporta imágenes RAW (dd), E01 y AFF.
- 🧾 Creación automática de metadatos, que incluyen información del caso, fecha, hash y detalles técnicos del dispositivo.
- 🔑 Verificación de integridad múltiple, con cálculo simultáneo de MD5, SHA-1 y SHA-256.
Y todo esto bajo un entorno Linux Live, que garantiza que el sistema operativo no escriba ni altere los discos analizados.
🧩 Prueba de Concepto (PoC): Adquisición Forense con Guymager
Veamos ahora una prueba real de adquisición forense, paso a paso, utilizando Guymager dentro de CAINE.
🧱 Paso 1: Montaje del dispositivo en modo “solo lectura”
El primer principio forense: nunca escribir sobre el dispositivo original.
Por eso, al conectar el medio (en este caso, una memoria USB), lo montamos como READ-ONLY, garantizando que ningún dato sea modificado accidentalmente.
📂 Paso 2: Exploración del contenido original
Antes de clonar, siempre se realiza una rápida inspección del contenido, sin alterarlo.
Aquí se listan las carpetas visibles en la unidad montada en /media/sdc1/.
⚙️ Paso 3: Detección del dispositivo desde Guymager
Al abrir Guymager, automáticamente detecta los dispositivos conectados y muestra información clave: tamaño, sectores, estado y tipo de sistema de archivos.
Nuestro objetivo es el dispositivo /dev/sdc1, una memoria de 15,7 GB, actualmente en estado “Idle”.
💾 Paso 4: Iniciar el proceso de adquisición
Con el dispositivo seleccionado, hacemos clic derecho y elegimos la opción “Acquire image”.
Aquí empieza la magia: Guymager comienza el proceso de creación de una copia bit a bit del dispositivo.
🔧 Paso 5: Configuración de parámetros forenses
En la ventana de configuración definimos todo lo necesario para garantizar la trazabilidad:
- Formato: Linux dd (imagen RAW, sin compresión)
- Destino:
/home/caine/Desktop/Adquisiciones/ - Nombre de evidencia:
Evidence-01 - Cálculo de hashes: MD5, SHA-1 y SHA-256 activados
- Verificación post-adquisición: activada para garantizar coincidencia de hashes
Este nivel de detalle asegura que cualquier experto o tribunal pueda validar la integridad de la copia.
🔍 Paso 6: Consultar información técnica del dispositivo
Guymager permite acceder a la información interna del medio mediante la opción “Info”, ideal para conocer detalles como número de serie, sectores defectuosos, soporte SMART o CID.
📜 Paso 7: Revisión del reporte y verificación de integridad
Al finalizar, Guymager genera un reporte completo con todos los comandos ejecutados, resultados de verificación y cálculos hash.
Esto constituye la evidencia documental de que la adquisición fue realizada correctamente y sin modificaciones.
🧰 Guymager y su integración con CAINE
CAINE no solo incluye Guymager: es un ecosistema forense completo.
Desde el arranque en modo live, el sistema impide escribir en los discos locales, asegurando la neutralidad del entorno.
Además, cuenta con herramientas complementarias como:
- 🔎 Autopsy y Sleuth Kit para análisis de archivos y sistemas de archivos.
- 🧬 GHex para inspección hexadecimal avanzada.
- 📊 Air (Automated Image & Restore) para gestión automatizada de imágenes.
Todo integrado en una misma interfaz y bajo un entorno Debian estable, optimizado para análisis forense.
⚠️ Aplicaciones en respuesta a incidentes (CSIRT)
En operaciones de respuesta a incidentes, los CSIRT necesitan herramientas rápidas y confiables para capturar evidencia sin riesgo de contaminación.
Guymager permite realizar adquisiciones de discos comprometidos, USBs o servidores afectados, garantizando una cadena de custodia sólida.
Su facilidad de uso lo convierte en una opción ideal para:
- Análisis de malware en entornos controlados.
- Preservación de evidencia tras un ataque.
- Obtención de copias forenses antes de formateos o restauraciones.
🎯 Conclusión
Guymager demuestra que no hace falta un software comercial para realizar adquisiciones forenses de calidad profesional.
Su integración en CAINE lo convierte en una herramienta accesible, confiable y auditada, ideal para investigadores, analistas de seguridad y peritos digitales.
En un mundo donde los datos pueden ser manipulados en segundos, tener herramientas que garanticen la veracidad y trazabilidad de la evidencia digital no es una opción, es una obligación.
Así que, si aún no lo has probado, Guymager + CAINE deberían estar en tu kit forense.
