Informatica Forense

Informática Forense

Hernán Herrera - Sebastián Gómez

Jornadas de Seguridad Informática Noviembre 2009

Contenidos
Definición de informática forense Organización interna del LaboratorioSoftware forense Hardware forense El paradigma de la virtualización aplicado a la informática forense

Definición de informática forense
“Es el proceso de identificar, preservar, analizar y
presentarevidencia digital, de manera que esta sea legalmente aceptable”

Identificar

Preservar

Analizar

Presentar

Identificación de la evidencia digital
En una investigación que involucrainformación en formato digital, se debe: Identificar las fuentes potenciales de evidencia digital Determinar qué elementos se pueden secuestrar y cuáles no Si se trata de un escenario complejo:
Tomarfotografías del entorno investigado Documentar las diferentes configuraciones de los equipos, topologías de red y conexiones a Internet

Preservación de la evidencia digital
Al trabajar conevidencia digital deben extremarse los recaudos a fin de evitar la contaminación de la prueba, considerando su fragilidad y volatilidad Mantenimiento de la Cadena de Custodia
Registro de todas la operacionesque se realizan sobre la evidencia digital Resguardo de los elementos secuestrados utilizando etiquetas de seguridad

Preservación de los elementos secuestrados de las altas temperaturas, camposmagnéticos y golpes
Los elementos de prueba originales deben ser conservados hasta la finalización del proceso judicial

Obtención de imágenes forenses de los elementos secuestrados
Por cuestionesde tiempo y otros aspectos técnicos, esta tarea se realiza una vez que ha sido secuestrado el elemento probatorio original En caso de que la creación de una imagen forense no sea posible, el acceso alos dispositivos originales se realiza mediante mecanismos de protección contra escritura

Autenticación de la evidencia original
Generación de valores hash –MD5 o SHA-1- a partir de los datos...