Antiforense del índice de Windows Search y sus límites
Cómo se deshabilita, reconstruye, compacta o borra el índice de Windows Search, qué rastro deja cada acción y cómo razonar ante un índice ausente o vacío.
En resumen. Cualquiera con derechos de administrador puede neutralizar fácilmente el índice de Windows Search: deshabilitar el servicio WSearch, reconstruir el índice, compactarlo o borrar C:\ProgramData\Microsoft\Search\Data. También es fácil esquivarlo simplemente trabajando fuera de las ubicaciones indexadas. Nada de esto es limpio. Los cambios en el servicio quedan en el registro de eventos Sistema y en el registro de Windows. Un índice reconstruido tiene gather times reveladores y un archivo de base joven. Los archivos de base borrados dejan rastros en el USN y la MFT. Antes de concluir nada a partir de un registro ausente, comprueba el alcance de la indexación y la antigüedad del propio índice. Una ausencia en el índice es, por sí sola, una evidencia débil.
Este también es un artículo sobre límites. La mayoría de los huecos del índice no son ataques: vienen de la configuración, del mantenimiento y del propio comportamiento del indexador. El trabajo consiste en distinguir ambos casos.
Qué puede hacer un atacante (o un administrador)
| Acción | Cómo | Efecto en el índice |
|---|---|---|
| Quedarse fuera del alcance | Trabajar en C:\ProgramData, C:\Windows\Temp, una carpeta nueva en la raíz o una unidad no indexada | No se indexa nada. No es manipulación, solo evasión. |
| Excluir una ubicación | Opciones de indización → Modificar, o Configuración → «Agregar una carpeta excluida» | Los elementos de esa ubicación se eliminan del índice con el tiempo |
| Pausar o deshabilitar el servicio | sc config wsearch start= disabled + net stop wsearch, o Servicios | Índice congelado en ese momento |
| Reconstruir | Opciones de indización → Opciones avanzadas → Reconstruir | La base antigua se sustituye por una nueva creada desde cero |
| Compactar | esentutl /d sobre Windows.edb (servicio detenido) | Se recupera el espacio libre: desaparecen los restos recuperables por carving de registros borrados |
| Borrar los datos | Detener el servicio, borrar C:\ProgramData\Microsoft\Search\Data\… | Índice perdido; Windows crea uno vacío al iniciarse el servicio |
| Cambiar la configuración por tipo de archivo | Opciones de indización → Opciones avanzadas → Tipos de archivo: «Indizar solo propiedades» | Sin fragmentos de contenido para esa extensión |
Todas estas acciones aparecen en la guía de solución de problemas de Microsoft como pasos legítimos de ajuste o reparación, incluidos los comandos de compactación esentutl /d y el borrado del contenido de C:\ProgramData\Microsoft\Search\Data. Esto importa para tu informe: la misma acción puede ser mantenimiento o encubrimiento, y la intención tiene que salir del contexto.
Qué deja cada acción
Servicio deshabilitado o detenido
- Registro de Windows:
HKLM\SYSTEM\CurrentControlSet\Services\WSearch\Start. Un valor de 4 significa deshabilitado. La guía de Microsoft espera Automático (inicio retrasado) en un cliente normal. Léelo con un analizador del registro. - Registro de eventos Sistema: el Administrador de control de servicios registra los cambios de estado y de tipo de inicio de los servicios. Busca el servicio Windows Search en los registros de eventos en torno a la ventana del incidente.
- Rastros de ejecución de
sc.exe,net.exeoservices.msc: Prefetch, Amcache. - El propio índice: el gather time más reciente de la base marca cuándo se detuvo realmente la indexación. Si precede al incidente en horas o días en una máquina que se estaba usando, pregúntate por qué.
Índice reconstruido
- Base joven: la fecha de creación de
Windows.edb/Windows.dben la MFT es reciente, muy posterior a la instalación del sistema y a los perfiles de usuario. - Gather times comprimidos: casi todos los elementos tienen un gather time dentro de una ventana corta tras la reconstrucción, incluidos archivos antiguos. En un índice que ha envejecido con normalidad, los gather times se reparten a lo largo de meses.
- Historial ausente: los elementos de archivos borrados antes de la reconstrucción han desaparecido, y también el historial web y los elementos de actividad anteriores.
- Las instantáneas de volumen (VSS) pueden conservar la base anterior. Revísalas antes de darte por vencido.
Base compactada
esentutl /d reescribe la base en un archivo nuevo y compacto. Los registros activos sobreviven; las entradas «defunct» y los restos en páginas libres, no. No verás diferencia en un analizador normal, solo en lo que puede recuperar una herramienta de carving. Busca esentutl.exe en los artefactos de ejecución y un Windows.edb cuyas marcas de tiempo en la MFT cambiaron mientras el servicio estaba detenido.
Carpeta de datos borrada
- Diario USN: registros de borrado de
Windows.edb,Windows.db,Windows-gather.db,MSS*.logen…\Search\Data\Applications\Windows. Analiza el$Jcon un analizador del diario USN. - MFT: los nuevos archivos de base tienen fechas de creación del siguiente inicio del servicio.
- Restos recuperables: los clústeres de los archivos antiguos pueden seguir sin asignar. Recuperar por carving una base ESE o SQLite completa del espacio sin asignar es cuestión de suerte, pero las firmas de cabecera (
0x89ABCDEFen el desplazamiento 4 para ESE,SQLite format 3para SQLite) te dan algo que buscar.
Exclusiones y cambios por tipo de archivo
Están en la configuración de Windows Search dentro del subárbol SOFTWARE, y los ámbitos gather de la base reflejan lo que realmente se rastreó. Una exclusión añadida el día del incidente, sobre una carpeta que luego resulta ser una zona de preparación, es un hallazgo en sí misma.
Lo que no es antiforense (aunque lo parezca)
- Contenido cifrado o no disponible. Chivers y Hargreaves señalaron en 2011 que el alcance de la indexación y los atributos de cifrado afectan a lo que se indexa.
- El repliegue del indexador. El indexador se pausa con batería, ante la actividad del usuario o con pocos recursos, según la guía de Microsoft. Un hueco de unas horas en los gather times de un portátil es normal.
- Actualizaciones recientes. Una actualización de características o el paso de
Windows.edbaWindows.dbpuede producir un índice nuevo. Revisa el historial de instalación del sistema antes de llamarlo reconstrucción. - Modo mejorado o clásico. Un archivo fuera de las ubicaciones del modo clásico nunca iba a indexarse.
- Timestomping. Cambiar las marcas de tiempo de un archivo cambia lo que el índice registra en
DateCreated/DateModifieden la siguiente indexación. No cambia el gather time, que es el reloj del propio indexador. Un ejecutable «de 2019» con un gather time de 2026 es una pista, no una contradicción.
Lista de comprobación antes de argumentar a partir de una ausencia
- ¿Estaba
WSearchen marcha durante el periodo de interés? (Registro de Windows, registros de eventos, gather time más reciente.) - ¿Se indexaba la ubicación? (Ámbitos gather, configuración de Opciones de indización, modo clásico o mejorado.)
- ¿Se indexaba el contenido de ese tipo de archivo? (Configuración de Tipos de archivo.)
- ¿Qué antigüedad tiene el índice? (Fecha de creación de la base en la MFT, dispersión de los gather times.)
- ¿Adquiriste el WAL y la base gather (Windows 11) o reprodujiste los registros ESE (Windows 10)? Ver adquisición.
- ¿Hay instantáneas de volumen con un índice anterior?
Solo si las seis tienen respuesta puede «no está en el índice» tener peso, e incluso entonces debería respaldar otras evidencias en lugar de sostenerse sola.
En qué ayuda la herramienta y en qué no
En el Windows Search Index Parser, ordenar por la columna Indexado da los gather times más recientes y más antiguos, la marca «Indexado recientemente» resalta el último día de actividad de indexación, y los avisos y la lista «Archivos no analizados» indican qué archivos acompañantes (WAL, base gather, registros) estaban presentes. Eso cubre rápidamente parte de las preguntas 1 y 4, y la pregunta 5. No lee el registro de Windows, la MFT ni el diario USN, y no recupera por carving registros borrados ni bases completas del espacio libre. Para eso, usa las herramientas hermanas enlazadas más arriba.