Ingeniero

Info rmát ic a Fo re ns e :

“Re c upe rac ión de la Evide nc ia Dig it al”
Internet Security Auditors
Danie l Fe rnánde z Ble da

Índice
•
•
•
•

¿Qué es la Informática Forense?
¿Qué no es la Informática Forenese?
¿Qué es una Evidencia Digital?
Herramientas de Análisis Forense:
– Hardware
– Software

•
•
•
•
•
•

Problemas actuales en la Informática ForenseRecolección de Datos
Cadena de Custodia antes del Análisis
Ejemplos de Análisis Forense
El ¿Futuro? de la Informática Forense
Referencias

¿Qué es la Informática Forense?
• ¿Qué es?
“La ciencia de la Informática Forense es la ciencia de adquirir,
preservar, obtener y presentar datos que hayan sido procesados
electrónicamente y almacenados en soportes informáticos.”

• ¿Por qué aparece?
“Laciencia de la Informática Forense fue creada para dirigir las
necesidades específicas y articuladas de las fuerzas de la ley para
aprovechar al máximo esta forma nueva de evidencia electrónica”

• ¿Cuál es el reto de la Informática Forense?
“Los soportes informáticos que son examinados y las técnicas
disponibles para el investigador son productos resultado de un
sector determinado por elmercado privado. Además, en contraste
con el análisis forense tradicional, en la I.F. las investigaciones
deben llevarse a cabo en prácticamente cualquier situación o
dispositivos físico, no sólo en un entorno controlado de laboratorio.”

¿Qué no es Informática Forense?
• NO ES el simple hecho de recuperar ficheros
eliminados por error de un equipo.
• NO ES el descubrir porque una máquina se hacontaminado por un virus y su eliminación: eso es
trabajo de un Antivirus.
• NO ESTÁ limitada a aquello que podemos
encontrar en una sola máquina: la información útil
puede estar dispersa en diferentes sistemas.

¿Qué es una Evidencia Digital?
• Información almacenada digitalmente que puede
llegar a ser utilizada como prueba en un proceso
judicial.
• Para que esto sea viable seránecesario seguir
unos procedimientos en su recuperación,
almacenamiento y análisis.
• Es muy importante seguir una cadena de custodia
lo suficientemente robusta y permita asegurar la
inmutabilidad de la evidencia digital.

Herramientas de Análisis Forense (I)
•

Equipos Informáticos: podemos contar con sistemas informáticos
especialmente adaptados (o también podemos crear los nuestros)para facilitar la reproducción de todo tipo de soporte
electromagnético y óptico. Además deben permitir su transporte para
realizar las investigaciones en cualquier lugar.

Herramientas de Análisis Forense (II)
•
•

Software Comercial: En los últimos años han aparecido multitud de
empresas que ofrecen herramientas comerciales de análisis forense.
Software OpenSource: El auge de laInformática Forense ha hecho
que se incremente la cantidad de gente interesada en el tema, y
muchas de ellas han creado herramientas Open Source de potencial
muy elevado accesibles a cualquiera:
TCT (The Coroner’s Toolkit): Suite de herramientas de AF creada por
dos de los padres de la AF: Dan Farmer y Wietse Venema.
TSK / Autopsy (The Sleuth Kit): Herramientas basadas en TCT
Foremost: Recuperaciónde archivos según sus cabeceras y pies.
ODESSA (Open Digital Evidence Search and Seizure Architecture):
suite de herramientas para recuperar información en sistemas Windows
(papelera de reciclaje, históricos de navegación web, etc.)
Y un interminable etcétera....

Problemas actuales en la IF
•
•
•
•
•
•

No existen metodologías estandarizadas para la recuperación de
evidenciasdigitales. Iniciativas como CTOSE van en este camino.
Se recurre a los expertos forenses mucho tiempo después de
producirse los incidentes, con lo que la información que podía ser útil
suele perderse o alterarse parcial o totalmente.
La forma de obtener y almacenar las evidencias digitales está
basada en unas “buenas maneras”.
El Análisis Forense lo llega a realizar personal que no tiene...