Contenido

• Recopilación de datos
• Análisis forense de correos electrónicos
• Análisis de las actividades del buzón de Gmail

Resumen : En este blog, hemos examinado los buzones de correo de Gmail para la investigación forense de correo electrónico. Desde la recopilación de datos en Google Takeout y otros clientes de correo electrónico hasta el análisis forense de correos electrónicos, hemos discutido dichos conceptos en gran detalle. Después de esto, discutimos el análisis de las actividades del buzón de Gmail.

PRUEBE 60 DÍAS GRATIS

Recopilar y examinar datos de correo electrónico, desde un servicio de correo electrónico basado en la nube como Gmail, para la investigación forense de correo electrónico puede ser complicado. Esto se debe a que no existe una forma directa de exportar datos de correo electrónico desde Gmail. Además, las técnicas forenses involucradas en el examen del buzón de Gmail van más allá del alcance del buzón y cubren fuentes adicionales como los dispositivos utilizados, las aplicaciones móviles a las que se accede (si se utilizan dispositivos Android), etc. En esta publicación, discutimos algunas técnicas para recopilar y examinar los buzones de correo de Gmail que pueden ayudarlo en la investigación forense del correo electrónico.

Recopilación de datos

El primer paso en la investigación forense del correo electrónico es la recopilación de datos relevantes para el análisis. Hay dos formas principales de recopilar datos de correo electrónico desde una cuenta de Gmail:

• Comida para llevar de Google: Puede usar Google Takeout para descargar un archivo sin conexión de la cuenta de Gmail.
• Clientes de correo electrónico: Puede utilizar clientes de correo electrónico como Microsoft Outlook o Mozilla Thunderbird para utilizar la sincronización POP3/IMAP y descargar correos electrónicos desde una cuenta de Gmail en su sistema.

1. Comida para llevar de Google

Google Takeout, un servicio proporcionado por Google, le permite hacer una copia de seguridad de todos los datos de su cuenta de Google. También puede crear una copia de seguridad de Google Mail que incluya todos los mensajes y archivos adjuntos en la cuenta. Esta copia de seguridad se genera en MBOX formato de archivo.

Para usar Google Takeout para exportar datos de correo electrónico, siga los pasos indicados:

1. Inicie sesión con las credenciales de su cuenta de Gmail.

2. Seleccione la casilla de verificación de Correo [See Figure 1 ].

Nota: haciendo clic Todos los datos de correo incluidos El botón abre más opciones para seleccionar/deseleccionar ciertas carpetas en la base de datos de correo electrónico.

3. Haga clic en Próximo paso botón en la parte inferior.

4. Exporte los datos en un archivo comprimido .zip o .tgz (ambos archivos contienen el archivo MBOX).

2. Cliente de correo electrónico

Puede utilizar clientes de correo electrónico, como Microsoft Outlook, Opera Mail, Mozilla Thunderbird, etc. para descargar correos electrónicos de Gmail.

Gmail admite los protocolos IMAP y POP3 para sincronizar correos electrónicos en un cliente de correo electrónico.

Entendamos la diferencia entre los protocolos IMAP y POP3, cuando se utiliza un cliente de correo electrónico. Estamos tomando Microsoft Outlook como example.

1. IMAP (Protocolo de acceso a mensajes de Internet)

En una cuenta IMAP, los correos electrónicos se almacenan en un servidor local o en la nube. Por lo tanto, puede acceder a su cuenta de correo electrónico en varios dispositivos y leer los mensajes en esos dispositivos. Los cambios realizados en el buzón también se sincronizan en todos los dispositivos en tiempo real.

Outlook con cuenta IMAP utiliza tabla de almacenamiento sin conexión o .OST archivo para almacenar una copia sincronizada de los datos del buzón en el sistema local. La ubicación del archivo OST en su sistema es:

%AppData%LocalMicrosoftOutlook

2. POP3 (Publicar Office Protocolo versión 3)

En una cuenta POP3, los correos electrónicos se descargan y almacenan localmente en su sistema. Significa que solo se puede acceder a los correos electrónicos en un solo dispositivo. A diferencia de las cuentas IMAP, no existe ninguna disposición para sincronizar y acceder a correos electrónicos en múltiples dispositivos.

Outlook con cuenta POP utiliza tabla de almacenamiento personal o .PST archivo para almacenar los datos del buzón. La ubicación de este archivo en su sistema es:

%UserRoot%DocumentosOutlook archivos

Análisis forense de correos electrónicos

Una vez que recopila el archivo de datos de correo electrónico (ya sea directamente o con un cliente de correo electrónico), puede cargarlo en un software forense de correo electrónico para un análisis más detallado.

Puede comenzar a recopilar los correos electrónicos relevantes realizando búsquedas en el buzón, en función de palabras clave, nombres de personas sospechosas y fechas y horas de eventos.

Buscando un confiable, rápido y potente software forense de correo electrónico ? Intentar Análisis forense de correo electrónico estelar ! Admite más de 25 formatos de archivo de correo electrónico como EDB, hora del Pacífico , BSO , MBOX , DBX, NSF y OLM. ¡También ofrece recuperación de correo electrónico eliminado, herramientas de administración de casos y muchas funciones de búsqueda avanzada! Descargar hoy.

Nota: No utilice clientes de correo electrónico como Outlook para realizar búsquedas. Use solo software forense de correo electrónico eDiscovery de nivel empresarial. Lea nuestra publicación de blog Limitaciones del uso de la Búsqueda instantánea Outlook para investigaciones de correo electrónico.

Después de recopilar correos electrónicos relevantes, puede inspeccionarlos de cerca estudiando sus campos de encabezado.

Análisis de encabezado de correo electrónico

El encabezado del correo electrónico contiene detalles importantes del mensaje que puede estudiar para recopilar pruebas y sacar conclusiones. Estos detalles incluyen el nombre y la dirección IP del remitente, los detalles del ISP, el ID del mensaje, las marcas de tiempo de los diferentes servidores que retransmitieron el mensaje, etc. [See  Figure 2 ]

Para obtener más información sobre los encabezados de correo electrónico, lea Análisis de encabezados de correo electrónico y su aplicación en Análisis forense de correo electrónico.

Análisis de las actividades del buzón de Gmail

Además del buzón de Gmail, puede concentrarse en otras fuentes para recopilar información adicional. Por ejemplo, Google realiza un seguimiento y registra todas sus actividades en línea cuando utiliza un producto de Google, como la Búsqueda de Google, Gmail, Google Drive o el sistema operativo Android. Puede revisar las actividades y los detalles asociados, como la hora, el dispositivo utilizado, la ubicación, etc., utilizando un servicio de Google llamado Mi actividad [See  Figure 3 ]. Puedes iniciar sesión en Mi actividad utilizando la misma cuenta de Gmail para revisar las actividades asociadas.

Figura 3: Página de mi actividad de Google

Examinar las actividades de la cuenta en Google Mi actividad puede proporcionar detalles adicionales sobre el usuario, como el historial de consultas de búsqueda, inicios de sesión recientes y detalles de las sesiones y dispositivos utilizados. Puede correlacionar esta información con los datos del correo electrónico para crear una línea de tiempo de eventos relacionados con el caso.

Conclusión

A partir de las técnicas compartidas anteriormente, puede recopilar y examinar los datos del buzón de Gmail. Idealmente, también debe consultar otros datos recopilados por Google, como datos de aplicaciones de Google y datos de dispositivos para correlacionarlos con los eventos que están documentados en el caso. Esto puede ayudarlo a reconstruir los eventos que llevaron a la investigación y conectar los puntos para una resolución precisa y rápida.