Yo ya tu sabe

“Es un tipo de evidencia física, menos tangible que otras formas de evidencia (DNA, huellas digitales, componentes de computadoras).
“Cualquier información, que sujeta a una intervención humana u otra semejante, ha sido extraída de un medio informático".
“La evidencia digital es frágil, y una copia de un documento almacenado en un archivo es idéntica al original”.
Debe tenerse en cuenta quelos datos digitales adquiridos de copias no se deben alterar de los originales del disco, porque esto invalidaría la evidencia; por esto los investigadores deben revisar con frecuencia que sus copias sean exactas a las del disco del sospechoso, para esto se utilizan varias tecnologías, como por ejemplo checksums o hash MD5.

La IOCE (International Organization On Computer Evidence)define lossiguientes cinco puntos como los principios para el manejo y recolección de evidencia computacional:
1. Sobre recolectar evidencia digital, las acciones tomadas no deben alterar por ningún motivo esta evidencia.
2. Cuando es necesario que una persona tenga acceso a evidencia digital original, esa persona debe ser un profesional forense.
3. Toda la actividad referente a la recolección, elacceso, almacenamiento o a la transferencia de la evidencia digital, debe ser documentada completamente, preservada y disponible para la revisión.
4. Un individuo es responsable de todas las acciones tomadas con respecto a la evidencia digital mientras que ésta esté en su posesión.
5. Cualquier agencia que sea responsable de recolectar, tener acceso, almacenar o transferir evidencia digital esresponsable de cumplir con estos principios.


Caracteristicas:
Puede ser duplicada de manera exacta y copiada tal como si fuese el original.
Con herramientas adecuadas es relativamente fácil identificar si la evidencia ha sido alterada, comparada con la original.
Aún si es borrada, es posible, en la mayoría de los casos, recuperar la información.
Cuando los criminales o sospechosos tratande destruir la evidencia, existen copias que permanecen en otros sitios del sistema.


La evidencia digital puede ser clasificada en 3 categorías:
Registros generados por computador: Estos registros son generados como efecto de la programación de un computador. Los registros generados por computador son inalterables por una persona. Estos registros son llamados registros de eventos deseguridad (logs) y sirven como prueba tras demostrar el correcto y adecuado funcionamiento del sistema o computador que generó el registro.
Registros no generados sino simplemente almacenados por o en computadores: son aquellos generados por una persona, y que son almacenados en el computador, por ejemplo, un documento realizado con un procesador de palabras. En estos registros es importante logrardemostrar la identidad del generador, y probar hechos o afirmaciones contenidas en la evidencia misma. Para lo anterior se debe demostrar sucesos que muestren que las afirmaciones humanas contenidas en la evidencia son reales.
Registros híbridos que incluyen tanto registros generados por computador como almacenados en los mismos: Los registros híbridos son aquellos que combinan afirmaciones humanas ylogs. Para que estos registros sirvan como prueba deben cumplir los dos requisitos anteriores.



Información Residual.- La informacion es almacenada sobre una computadora cuando el documento es eliminado se le denomina informacion residual.
Cuando un archivo es eliminado, el equipo etiqueta el espacio del archivo en lugar de limpiar el archivo de memoria. El archivo puede ser recuperado amenos que el espacio en disco sea reutilizado
Metadatos.- Los metadatos mantienen un registro acerca de un documento en particular. El registro incluye el formato del archivo y ¿Cómo?, ¿Cuándo? y ¿Quien? lo creo, guardo o modifico.




Identificar la evidencia:
Los equipos que pueden contener evidencia, reconociendo la frágil naturaleza de los datos digitales para así identificar la...