Mastering Python Forensics

Tratado avanzado sobre informática forense y respuesta a incidentes (DFIR) mediante programación en Python, con soporte multiplataforma para sistemas Windows, distribuciones Linux, entornos de virtualización y plataformas móviles. Está pensado para investigadores forenses digitales, analistas de centros de operaciones de seguridad (SOC) y profesionales de ciberseguridad con nivel avanzado que ya programan con soltura en Python y poseen un entendimiento profundo del funcionamiento interno de los sistemas operativos, estructuras de bajo nivel y memoria volátil.

El temario comienza dominando la interacción a bajo nivel con la memoria y las librerías dinámicas del sistema mediante el módulo nativo Ctypes, implementando uniones y estructuras compatibles con C. Explica algoritmos forenses esenciales como el cálculo de hashes criptográficos (MD5, SHA-256) y hashes difusos (fuzzy hashing con SSDEEP), integrando consultas automáticas a servicios de inteligencia de amenazas como VirusTotal y Mobile-Sandbox. En el plano de sistemas y redes, enseña a procesar registros del sistema operativo, marcas temporales (MAC times), volcados de tráfico PCAP con Scapy y correlación de eventos NetFlow. Destaca además por abordar el análisis forense en hipervisores (imágenes de máquinas virtuales), extracción de artefactos en dispositivos móviles (Android rooteado e iOS con jailbreak) y análisis de memoria RAM con Volatility Framework y reglas YARA para la detección de malware.

A lo largo de sus capítulos se desarrollan herramientas de investigación forense especializadas, tales como analizadores de memoria, procesadores de artefactos móviles en bases de datos SQLite y scripts de triaje automatizado de binarios sospechosos. Su mayor aporte es la rigurosidad con la que aborda la extracción de evidencias sin depender de suites comerciales cerradas, cubriendo nichos poco habituales como el análisis forense de máquinas virtuales; por otro lado, presupone un dominio previo notable de la arquitectura C y de conceptos estrictos de cadena de custodia, prescindiendo de explicaciones introductorias. Resulta indispensable contar con un laboratorio de pruebas con hipervisores y volcados de memoria para seguir el contenido.