2007 Tesis Herramienta De Apoyo Para El Analisis Forense De Computadoras

UNIVERSIDAD DE JAÉN

Ingeniería en Informática

Escuela Politécnica Superior de Jaén

Escuela Politécnica Superior de Jaén

1

Proyecto Fin de Carrera

HERRAMIENTA DE APOYO
PARA EL ANÁLISIS FORENSE
DE COMPUTADORAS

Alumno: José Arquillo Cruz
Tutor:

Prof. D. Manuel José Lucena López

Dpto:

Informática

Septiembre, 2007

2

Herramienta de apoyo para el análisis forense de computadoras

D.Manuel José Lucena López, del Departamento de Informática de la Universidad de
Jaén,

INFORMA

Que la memoria titulada “Herramienta de apoyo para el análisis forense de
computadoras” ha sido realizada por Dª. José Arquillo Cruz bajo mi dirección y se
presenta como memoria del Proyecto Fin de Carrera relizado para optar al grado de
Ingeniera en Informática.

Jaén, 14 de septiembre de 2006

VºBº

Fdo: Manuel José Lucena López

José Arquillo Cruz

3

4

Herramienta de apoyo para el análisis forense de computadoras

INDICE DE CONTENIDOS
Agradecimientos ______________________________________________________ 9
PARTEI: INVESTIGACIÓN ___________________________________________ 10
1 INTRODUCCIÓN ______________________________________________________ 11
1.1Contexto___________________________________________________________________11
1.2 Un poco de historia __________________________________________________________12
1.3 Objetivo y Metodología _______________________________________________________15
1.4 Motivación del alumno _______________________________________________________16

2 APLICANDO LA CIENCIA FORENSE A LAS COMPUTADORAS ____________ 17
2.1 Modelo de Casey (2000)______________________________________________________17
2.2 Modelo publicado por el U.S. Dep. of Justice (2001) ________________________________18
2.3 Modelo de Lee (2001) ________________________________________________________18
2.5 Modelo de Reith, Carr y Gunsch (2002) __________________________________________20
2.6 Modelo integrado de Brian Carrier y Eugene Spafford (2003)_________________________21
2.7 Modelo mejorado propuesto por Venansius Baryamureeba y Florence Tushabe (2004)______23
2.8 Modelo extendido de Séamus Ó Ciardhuáin (2004) _________________________________25

3 MODELO DE CASEY (2004) _____________________________________________ 30
3.1 Autorización y Preparación ____________________________________________________33
3.2 Documentación_____________________________________________________________35
3.3 Identificación _______________________________________________________________37
3.3.1 Identificación de Hardware ________________________________________________37
3.3.2 Identificación del software _________________________________________________58
3.4 Adquisición ________________________________________________________________61
3.4.1 Adquisición delhardware__________________________________________________61
3.4.2 Adquisición del software __________________________________________________62
3.5 Examen y Análisis ___________________________________________________________67
3.5.1 Filtrado/Reducción de los datos para análisis __________________________________67
3.5.2 Búsqueda y recopilación de información______________________________________67
3.5.4 Técnicas de extracción de información _______________________________________77
3.5.5 Reconstrucción_________________________________________________________104
3.5.6 Publicación de conclusiones_______________________________________________109

4. ASPECTOS LEGALES ________________________________________________ 113
4.1 Legislación internacional_____________________________________________________114
4.2 Legislación nacional (España) ______________________________________________116

5 HERRAMIENTAS _____________________________________________________ 119
5.1 Evolución de las Herramientas de Investigación ___________________________________120
5.2 ANÁLISIS DE DISCOS _____________________________________________________122
5.2.1 LINReS, de NII Consulting Pvt....