ANALISIS FORENSE DIGITAL
Análisis forense también conocido
como, cómputo forense, informática forense, computación forense, digital o
examinación forense digital es la aplicación de técnicas científicas y
analíticas especializadas a infraestructura tecnológica que permiten IDENTIFICAR, PRESERVAR, ANALIZAR Y
PRESENTAR datos que sean válidos dentro de un proceso legal.
Dichas técnicas incluyen reconstruir el bien informático, examinar datos
residuales, autenticar datos y explicar las características técnicas del uso
aplicado a los datos y bienes informáticos.
Esta disciplina hace uso no solo de tecnología de punta para poder mantener
la integridad de los datos y del procesamiento de los mismos; sino que también
requiere de una especialización y conocimientos avanzados en materia de
informática y sistemas para poder detectar dentro de cualquier dispositivo
electrónico lo que ha sucedido. El conocimiento del informático forense abarca
el conocimiento no solamente del software si no también de hardware, redes,
seguridad, hacking, cracking, recuperación de información.
El análisis forense en informática ayuda a detectar pistas sobre ataques
informáticos, robo de información, conversaciones o pistas de emails, chats todo
esto relacionado con los diferentes delitos cibernéticos u informáticos.
La importancia de éstos y el poder
mantener su integridad se basa en que la evidencia digital o electrónica es
sumamente frágil. El simple hecho de darle doble clic a un archivo modificaría
la última fecha de acceso del mismo.
Adicionalmente, un examinador
forense digital, dentro del proceso del cómputo forense puede llegar a
recuperar información que haya sido borrada desde el sistema operativo.
Es muy importante mencionar que la
informática forense o cómputo forense no tiene parte preventiva, es decir, la
informática forense no se encarga de prevenir delitos, para ello que encarga la
seguridad informática, es importante tener claro el marco de actuación entre la
informática forense, la seguridad informática y la auditoría informática es
decir su función es total mente diferente.
¿Porque decimos que el análisis forense informático se enfoca a los
diferentes delitos cibernéticos u informáticos? en publicaciones anteriores se
dio el concepto de delito cibernético pero para los que no estén familiarizados
Delito cibernético es todo aquel que se cometa por medio de las diferentes Tic
(tecnologías de información y comunicación) puede ser por medio de una
computadora, tablas electrónicas, equipos en telefonía celular, internet etc.
DISPOSITIVOS A
ANALIZAR
La
infraestructura informática que puede ser analizada puede ser toda aquella que
tenga una Memoria (informática), por lo que se pueden analizar los siguientes
dispositivos:
Disco duro de una Computadora o Servidor
Documentación referida del caso.
Logs de seguridad.Información de Firewals
IP, redes
Credenciales de autentificación
Trazo de paquetes de red.
Teléfono Móvil o Celular, parte de la telefonía celular.
Agendas Electrónicas (PDA)
Dispositivos de GPS.
Impresora
Memoria USB
Un ejemplo de lo
anterior puede ser el delito de homicidio si en el lugar de los hechos u
hallazgo se encuentra un teléfono celular el investigador forense debe
identificar,preservar, analizar y presentar la información contenida claro todo esto con un oficio de intervencion del Agente del Ministerio Publico esto para tener un antecedente y fundamento juridico y con esto evitar caer en una responsabilidad legal, una vez analizada y presentada el analisis de la informacion esta puede
resultar muy útil para el esclarecimiento de este delito
La pregunta seria
¿en que forma puede ayudar el análisis forense de un teléfono celular? Pues de la
siguiente forma:
Registro de llamadas (entrantes,
salientes, perdidas).Agenda telefónica.
Información de las diferentes aplicaciones si el teléfono tiene el sistema android ejemplo de aplicaciones whatsapp, zello, viber entre otras.
Imágenes, videos archivos de audio etc.
Recuperación de información borrada o eliminada de la tarjeta Sim (chip)
PASOS DEL CÓMPUTO
FORENSE
El proceso de análisis forense a una
computadora se describe a continuación:
Es muy importante conocer los antecedentes,
situación actual y el proceso que se quiere seguir para poder tomar la mejor
decisión con respecto a las búsquedas y la estrategia de investigación. Incluye
muchas veces la identificación del bien informático, su uso dentro de la red,
el inicio de la cadena de custodia (proceso que verifica la integridad y manejo
adecuado de la evidencia), la revisión del entorno legal que protege el bien y
del apoyo para la toma de decisión con respecto al siguiente paso una vez
revisados los resultados.
Preservación
Este paso incluye la revisión y generación de
las imágenes forenses de la evidencia para poder realizar el análisis. Dicha
duplicación se realiza utilizando tecnología de punta para poder mantener la
integridad de la evidencia y la cadena de custodia que se requiere. Al realizar
una imagen forense, nos referimos al proceso que se requiere para generar una
copia “bit-a-bit” de todo el disco, el cual permitirá recuperar en el siguiente
paso, toda la información contenida y borrada del disco duro. Para evitar la
contaminación del disco duro, normalmente se ocupan bloqueadores de escritura
de hardware, los cuales evitan el contacto de lectura con el disco, lo que
provocaría una alteración no deseada en los medios.
Proceso de aplicar técnicas científicas y
analíticas a los medios duplicados por medio del proceso forense para poder
encontrar pruebas de ciertas conductas. Se pueden realizar búsquedas de cadenas
de caracteres, acciones específicas del o de los usuarios de la máquina como
son el uso de dispositivos de USB (marca, modelo), búsqueda de archivos
específicos, recuperación e identificación de correos electrónicos,
recuperación de los últimos sitios visitados, recuperación del caché del
navegador de Internet, etc.
Presentación
Es el recopilar toda la información que se
obtuvo a partir del análisis para realizar el reporte y la presentación a los
abogados, la generación (si es el caso) de una pericial y de su correcta
interpretación sin hacer uso de tecnicismos.
HERRAMIENTAS DE CÓMPUTO FORENSE
Sleuth Kit (Forensics Kit)Py-Flag (Forensics Browser)
Autopsy (Forensics Browser for Sleuth Kit)
dcfldd (DD Imaging Tool command line tool and also works with AIR)
foremost (Data Carver command line tool)
Air (Forensics Imaging GUI)
md5deep (MD5 Hashing Program)
netcat (Command Line)
cryptcat (Command Line)
NTFS-Tools
Hetman software (Recuperador de datos borrados por los ciberdelncuentes)
qtparted (GUI Partitioning Tool)
regviewer (Windows Registry)
Viewer
X-Ways WinTrace
X-Ways WinHex
X-Ways Forensics
R-Studio Emergency (Bootable Recovery media Maker)
R-Studio Network Edtion
R-Studio RS Agent
Net resident
Faces
Encase
Snort
Helix
HERRAMIENTAS PARA
EL ANÁLISIS DE DISCOS DUROS
AccessData Forensic ToolKit (FTK)Guidance Software EnCase
HERRAMIENTAS PARA
EL ANÁLISIS DE CORREOS ELECTRÓNICOS
ParabenHERRAMIENTAS PARA EL ANÁLISIS DE REDES
E-Detective - Decision Computer Group
SilentRunner - Accessdata
HERRAMIENTAS PARA EL ANÁLISIS DE USB
USBDeview
Definiciones
Cadena de Custodia: la identidad de personas
que manejan la evidencia en el tiempo del suceso y la última revisión del caso.
Es responsabilidad de la persona que maneja la evidencia asegurar que los
artículos son registrados y contabilizados durante el tiempo en el cual están
en su poder, y que son protegidos, llevando un registro de los nombres de las
personas que manejaron la evidencia o artículos con el lapso de tiempo y fechas
de entrega y recepción.
Imagen Forense: Llamada también
"Espejo" (en inglés "Mirror"), la cual es una copia bit a
bit de un medio electrónico de almacenamiento. En la imagen quedan grabados los
espacios que ocupan los archivos y las áreas borradas incluyendo particiones ocultas.
Análisis de Archivo: Examina cada archivo digital
descubierto y crea una base de datos de información relacionada al archivo
(metadatos, etc..), consistente entre otras cosas en la firma del archivo o
hash (indica la integridad del archivo), autor, tamaño, nombre y ruta, así como
su creación, último acceso y fecha de modificación.
NOTA: en la brevedad subire mas publicaciones por falta de tiempo no me es posible postear con regularidad, cualquier duda, consulta, pregunta o aportacion dejen su comentario.
