La manera en que los forences analizan, es buscando rastros en el SWAP en este caso de linux.
Cuando la memoria RAM se satura una parte de ella es copiada al disco duro en la particion SWAP para liberar memoria fisica a los procesos en ejecucion.
Si alguien analizara la particion SWAP de un disco duro veria partes de la memoria RAM que fueron copiadas alli mientras la PC estaba encendida.
Con suerte puedes encontrar alli informacion de lo que hizo el usuario mientras la pc estaba ensendida, incluso pulsaciones de teclado si es que el buffer de teclado que esta en la ram se llego a copiar al DD, que no creo.
Y como dice Mister12, no creo que se pueda, ya que los kernels solo almacenan el buffer de teclado en RAM, cuando la apagas adios y no creo que esa informacion se copie a la SWAT en ningun momento.
Cuando la memoria RAM se satura una parte de ella es copiada al disco duro en la particion SWAP para liberar memoria fisica a los procesos en ejecucion.
Si alguien analizara la particion SWAP de un disco duro veria partes de la memoria RAM que fueron copiadas alli mientras la PC estaba encendida.
Con suerte puedes encontrar alli informacion de lo que hizo el usuario mientras la pc estaba ensendida, incluso pulsaciones de teclado si es que el buffer de teclado que esta en la ram se llego a copiar al DD, que no creo.
Y como dice Mister12, no creo que se pueda, ya que los kernels solo almacenan el buffer de teclado en RAM, cuando la apagas adios y no creo que esa informacion se copie a la SWAT en ningun momento.