EnCase

¿Qué es EnCase?

EnCase es una suite de software forense comercial desarrollada originalmente por Guidance Software, ahora propiedad de OpenText. Lanzado en 1998, EnCase se convirtió en el estándar de facto para investigaciones forenses digitales en fuerzas de seguridad, agencias gubernamentales y grandes corporaciones de todo el mundo.

EnCase popularizó el formato E01, su variante del Expert Witness Format, que hoy es el formato de imagen forense más extendido. Conviene la precisión, porque en un dictamen se comprueba: el EWF original no es de EnCase. La especificación que documenta el proyecto libewf atribuye el formato original a ASRDATA, para la aplicación SMART de Andrew Rosen, y explica que los formatos de EnCase «se deducen de la especificación original». Lo que EnCase creó fue E01. La herramienta ofrece capacidades completas de adquisición, análisis y generación de informes, todo en un entorno integrado.

Aunque su modelo de licencia anual lo hace inaccesible para muchos profesionales independientes, EnCase sigue siendo la referencia en entornos corporativos y gubernamentales donde el presupuesto no es la principal restricción.

Productos de la familia

Los nombres comerciales cambiaron con la absorción por OpenText y los antiguos ya no resuelven. Importa para un dictamen: citar «EnCase eDiscovery» en 2026 es citar un producto que no existe con ese nombre, y la contraparte lo comprueba en un clic. Comprobadas hoy las cuatro rutas:

Lo que sigue describe qué hace cada uno, que es lo que no ha cambiado.

OpenText Forensic (antes EnCase Forensic)

La versión principal para investigaciones forenses:

• Adquisición de imágenes en formato E01
• Análisis completo de sistemas de archivos
• Recuperación de archivos eliminados
• Análisis de artefactos de sistema
• Generación de informes

OpenText Endpoint Investigator (antes EnCase Endpoint Investigator)

Para investigaciones corporativas a gran escala:

• Adquisición remota de endpoints
• Triaje rápido en múltiples máquinas
• Integración con SIEM
• Respuesta a incidentes

OpenText Information Assurance (antes EnCase eDiscovery)

Para procesos de descubrimiento electrónico:

• Búsqueda y recopilación de datos
• Revisión y análisis de documentos
• Cumplimiento normativo (GDPR, etc.)

OpenText Mobile Investigator

Para dispositivos móviles:

• Extracción de datos de smartphones
• Análisis de aplicaciones
• Decodificación de comunicaciones

Características principales

Adquisición forense

EnCase puede adquirir datos de múltiples fuentes:

Análisis de sistemas de archivos

Soporte completo para:

• NTFS (incluyendo atributos avanzados, ADS)
• FAT12/16/32, exFAT
• HFS+, APFS
• Ext2/3/4
• XFS, Btrfs
• ReFS

EnScript: Lenguaje de scripting

EnCase incluye EnScript, un lenguaje de programación propio para automatización:

// Ejemplo EnScript: Buscar archivos ejecutables
forall (EntryClass entry in Case())
{
    if (entry.Extension() == "exe")
    {
        Console.WriteLine("Encontrado: " + entry.FullPath());
        entry.SetTag("Ejecutables");
    }
}

EnScript permite:

• Automatizar análisis repetitivos
• Crear módulos personalizados
• Procesar grandes volúmenes de datos
• Integrar con sistemas externos

Análisis de artefactos Windows

EnCase incluye parsers para artefactos de Windows:

• Registro de Windows (SAM, SYSTEM, SOFTWARE, NTUSER)
• Prefetch files
• Jump Lists
• Shellbags
• USN Journal
• Event Logs
• Archivos LNK

Timeline

Generación de líneas temporales correlacionando:

• Timestamps del sistema de archivos
• Actividad de registro
• Logs de eventos
• Historial de navegación
• Metadatos de documentos

Reporting

EnCase genera informes profesionales:

• Plantillas personalizables
• Exportación a múltiples formatos
• Bookmarks y anotaciones
• Cadena de evidencia documentada

Comparativa con alternativas

EnCase vs Autopsy

EnCase vs FTK

Cuándo usar EnCase

Justifica el coste cuando:

1. Investigaciones corporativas a gran escala

   • Múltiples endpoints
   • Adquisición remota necesaria
   • Integración con infraestructura existente

2. Requisitos de soporte comercial

   • SLA de respuesta garantizado
   • Formación certificada necesaria
   • Compliance que exige herramienta comercial

3. Automatización compleja con EnScript

   • Flujos de trabajo personalizados
   • Parsing de formatos propietarios
   • Integración con sistemas de ticketing

4. Procesos de eDiscovery

   • Grandes volúmenes de datos
   • Requisitos legales específicos
   • Workflow colaborativo

Alternativas gratuitas suficientes cuando:

1. Perito individual o pequeño despacho
2. Casos estándar de análisis forense
3. Presupuesto limitado
4. Sin necesidad de soporte comercial
5. Formación autodidacta posible

Certificaciones EnCase

EnCE (EnCase Certified Examiner)

Certificación oficial que acredita competencia en EnCase:

Valor de la certificación

• Reconocida internacionalmente
• Valorada en ofertas de empleo forense
• Demuestra competencia técnica
• Puede ser cuestionada en juicio (¿formación solo en EnCase?)

Limitaciones de EnCase

Coste

Es el principal obstáculo para un profesional independiente, y hay que decir cómo se sabe: ni OpenText ni Exterro publican precio de lista, y las cuentas que Guidance Software presentó a la SEC antes de ser adquirida tampoco contienen ningún precio unitario. Cualquier cifra concreta que circule sale de presupuestos particulares, no de una tarifa comprobable.

Lo que sí se sostiene, y es lo que un despacho necesita saber antes de pedir presupuesto:

• La licencia es anual y renovable, no una compra a perpetuidad.
• La formación oficial se factura aparte de la licencia.
• No hay versión de prueba completa disponible públicamente.
• El precio se negocia por volumen y tipo de organización, así que dos compradores distintos no pagan lo mismo.

Curva de aprendizaje

• Interfaz compleja
• EnScript requiere conocimientos de programación
• Formación formal casi necesaria
• Documentación extensa pero densa

Dependencia del fabricante

• Formato propietario para casos
• Sin acceso al código fuente
• Actualizaciones según política del fabricante
• Riesgo si OpenText discontinúa el producto

Requisitos de hardware

EnCase requiere hardware potente:

• RAM: 16 GB mínimo, 32+ recomendado
• CPU: Multi-core moderno
• Disco: SSD para casos, espacio considerable

Flujo de trabajo típico con EnCase

EnCase en procedimientos judiciales españoles

EnCase es aceptado en tribunales españoles, pero no tiene ventaja legal sobre otras herramientas:

• El peso probatorio depende de la metodología, no del software
• Autopsy tiene la misma validez
• Lo importante es la cadena de custodia
• El perito informático debe poder defender su trabajo

La mención de «EnCase» en un informe puede transmitir profesionalidad a un tribunal, pero no es requisito ni garantía de éxito. Lo que sí se impugna con frecuencia es lo contrario: que el perito informático no pueda explicar qué hizo exactamente la herramienta —con qué versión, qué parámetros y qué comprobación de integridad—, y eso ocurre igual con software de cinco mil euros que con software gratuito.

Relación con otros conceptos

• Formato E01: la variante de EnCase del Expert Witness Format —cuya especificación original es de ASRDATA, para SMART—. Sigue siendo propietaria, pero la biblioteca libre libewf la implementó por ingeniería inversa, y por eso la leen hoy casi todas las herramientas
• Autopsy: Alternativa open source comparable
• FTK Imager: herramienta gratuita, originalmente de AccessData y hoy de Exterro, que la adquirió en diciembre de 2020 — la fecha del comunicado de la propia Exterro
• Imagen forense: EnCase crea y analiza imágenes forenses
• Sleuth Kit: Framework open source en que se basa Autopsy

Referencias y fuentes

1. OpenText — OpenText Forensic (EnCase). Ficha vigente del producto; opentext.com/products/encase-forensic redirige aquí. La ruta de encase-ediscovery devuelve 404 y su sucesor es Information Assurance.
2. SEC EDGAR — Guidance Software, Inc. — Form 8-K, 14 de septiembre de 2017. «OpenText completed its acquisition of the Company». Acredita el cambio de propiedad, con fecha.
3. Exterro / PR Newswire — Exterro Acquires AccessData, 3 de diciembre de 2020. La fecha del comunicado de la operación.
4. Proyecto libewf — Expert Witness Compression Format (EWF). La especificación original la aporta ASRDATA para SMART; los formatos de EnCase «se deducen de la especificación original». EnCase creó E01, no el EWF.
5. The Sleuth Kit / Autopsy — sleuthkit.org y autopsy.com. Alternativa libre con la que se compara en este artículo.
6. Jefatura del Estado — Ley 1/2000, de Enjuiciamiento Civil, art. 348. El tribunal valora los dictámenes por sana crítica: ninguna norma prefiere una herramienta forense sobre otra.

Conclusión

EnCase es el software forense comercial de referencia, con más de 25 años de desarrollo y adopción global. Su potencia en scripting y en despliegue corporativo explica su presencia en entornos con presupuesto para ello. Si compensa o no es una cuenta que cada despacho hace con su propio volumen de casos: ningún tribunal español prefiere una herramienta sobre otra, y eso está dicho ya en la comparativa de más arriba.

Sin embargo, para el perito informático independiente o pequeño despacho, alternativas gratuitas como Autopsy cubren la mayoría de necesidades sin el coste de licencia. La elección debe basarse en necesidades reales, no en prestigio percibido.

Última actualización: Agosto 2026 Categoría: Herramientas Código: HER-015