.
DEPARTAMENTOS DE SEGURIDAD DE LA INFORMACIÓN, RESPUESTA A INCIDENTES Y INFORMÁTICA FORENSE.
.
Recolección de la evidencia:
.
- Identificar la posible evidencia, aislarla restringiendo el acceso y egreso de personas y equipos informáticos.
- Mantener el estado de los equipos (on/off), relevar la red y sus dispositivos y desconectar la red, identificar y adquirir la evidencia considerada de importancia y volátil.
- Comprobar la existencia de redes inalámbricas, relevarlas y desconectarlas, documentar fecha y hora de cada proceso antes de apagarlo, identificar cada dispositivo y documentar software y hardware.
- Identificar los datos y como están almacenados, adquirirlos y documentar cada proceso realizado.
- Mediante la obtención de imágenes forenses en el lugar de los hechos, se podrá al momento del análisis acceder a los datos lógicamente accesibles, a los datos eliminados, a los datos en ambient data y datos estenográficos.
- Embalar y empaquetar identificando y describiendo cada dispositivo inequívocamente, dejando constancia de fecha y hora de incautación, tener en cuenta la preservación ante electricidad estática y condiciones ambientales adversas.
- Analizar los datos identificando el sistema operativo, carpetas comunes de evidencias en carpetas personales, archivos temporales, bitácoras, historiales, redes cableadas e inalámbricas, dispositivos móviles y tarjetas de memoria.
.
.
Metodología de Preservación de la Evidencia Digital
.
Toda evidencia digital es y debe ser convincente ante un tribunal de justicia o en donde haya alguna disputa. Para asegurarla, es importante la homogeneidad del protocolo de admisibilidad de la prueba, además de una continua aproximación de lo que podría tratarse de un prueba encuadrándola en un marco de trabajo.
El proceso de instrucción cuando el delito o evento se haya consumado consta de las siguientes etapas:
.
- Identificación de la Evidencia Digital
- Preservación de la Evidencia Digital
- Análisis de la Evidencia Digital
- Presentación de la Evidencia Digital
.
En el proceso de investigación dada la complejidad de los procedimientos procesales a lo que se encuentran revistando en fuerzas policiales deben incluir una etapa previa, ya que en etapa de investigación de la comisión del delito o hecho se debe asegurar la potencial evidencia, resultando de ello etapas previas:
.
- Asegurar la escena del presunto delito
- Identificación de la Evidencia Digital
- Preservación de la Evidencia Digital
- Análisis y Resguardo de la Evidencia Digital
- Presentación y generación de Informe Técnico o Informe Pericial
.
Para cada una de estas etapas se debe documentar minuciosamente cada una de las evidencias recolectadas y se debe mantener la cadena de custodia de la evidencia.
Las etapas de asegurar la escena, identificar la evidencia y preservarla correctamente, deben ser realizadas en la escena del “crimen”, es por tanto, que se deja constancia en las actas y se documenta la obtención de la evidencia digital, en caso de encontrar equipos en funcionamiento, se debe preservar la evidencia mediante la obtención de la memoria RAM y los procesos que se encuentran corriendo del sistema operativo, todo ello dejando constancia de las labores gestionadas ante los testigos de acta, además de ello de ser posible generar una imagen forense del/los disco/s rígido/s en la escena del crimen, para que la cadena de custodia permita reservar el ordenador y analizar directamente la imagen con software forense.
Es importante tener en cuenta que todo lo que no sea adquirido como evidencia en el lugar no podrá obtenerse posteriormente debido a la volatilidad de cierto tipo de evidencia digital.
Las últimas etapas de análisis, resguardo y generación del informe técnico, deberán realizarse en el laboratorio, teniendo en cuenta las condiciones de preservación y el equipo idóneo a utilizar.
Toda evidencia o posible prueba relevada por el idóneo en la materia deberá ser adecuadamente etiquetada y documentada, registrándose y documentándose en detalle en las actas realizadas por el personal interventor.
Al momento de realizar la generación de la etapa de presentación e informe técnico se debe presentar lo documentado como cadena de custodia y asimismo tener en cuenta que debe ser reproducible proporcionando los mismos resultados siempre y el licenciamiento del software utilizado para tal fin.
.
En la Escena del crimen se deben desarrollar las siguientes labores:
.
- Identificar la posible evidencia digital, aislarla estableciendo un perímetro.
- Restringir el acceso y egreso de personas y equipos informáticos.
- Mantener el estado de los equipos (apagado, encendido, hibernación, realizando impresiones)
- Desconectar de la Red, luego de realizar todo tipo de relevamiento de equipos conectados.
- Identificar y obtener todo tipo de evidencias volátiles.
- Comprobar, relevar y desconectar las conexiones inalámbricas y conexiones remotas.
- Documentar fecha y hora del sistema antes de apagarlo.
.
- Documentar las identificaciones de cada dispositivo.
- Documentar tanto hardware como software presente en la escena del “crimen”.
.
Etapa de Identificación:
.
Consta del proceso de identificar los datos relevantes a los hechos investigados en autos y como están almacenados.
Existen los datos volátiles que deberán ser adquiridos in situ rápidamente y correctamente documentados.
Como por ejemplo: Registros y cache del procesador, memoria RAM, tablas de ruteo, cache ARP, procesos, estadísticas del kernel y sus módulos, archivos temporales, estado de la red, archivos en uso, constancias de modificación, acceso y creación de los archivos en uso.
Las mismas deben ser resguardadas en un medio de almacenamiento externo y resguardado con su correspondiente constancia en actas y documentación de la cadena de custodia.
A nivel de no-volátiles, recabar información de todo dispositivo que permita el resguardo de información o de configuraciones que sean considerados de importancia para la investigación de los hechos.
Además del hardware y software, es necesario tener en cuenta, que en ciertos casos es recomendable resguardar manuales de hardware y software, documentación de los sistemas (trashing) llaves electrónicas.
.
Etapa de preservación:
.
Obtención y resguardo de los datos volátiles y no volátiles, embalaje y empaque único identificable, dejando constancia de:
Identificación del objeto, ubicación, breve descripción, día y hora de la incautación.
Teniendo en cuenta la preservación de los mismos de la electricidad estática, condiciones ambientales adversas y dejar constancia en lo documentado del hecho.
.
Etapa de Análisis:
.
El perito ad-hoc que realiza el análisis deberá tener en cuenta:
Datos lógicamente accesibles, datos eliminados, datos en “ambient data” (non-allocated space, ficheros de paginado, espacio entre sectores, entre particiones, etc.), datos estenográficos,
Analizar los datos específicos según sea necesario en el informe técnico, del sistema operativo, localización común de evidencias (carpetas personales de usuarios del sistema, correo electrónico en
caso de autorizarse o solicitarse, archivos temporales de los navegadores web, cookies, favoritos, historiales, bitácoras (logs), archivos de texto, planillas de cálculo, ficheros gráficos, etc.).
Analizar las redes, redes cableadas e inalámbricas, dispositivos móviles, tarjetas de memoria, etc).
.
.
Etapa de generación de Reporte e Informe Técnico:
.
Basándose en lo documentado en etapas anteriores y la correcta cadena de custodia se sustentara la validez de la evidencia digital y la generación del informe técnico irrefutable, dejando constancia de el marco de la causa, a solicitud de quien se realiza, la evidencia digital aportada, la descripción detallada de las operaciones técnicas realizadas y las conclusiones que se obtengan del análisis de la información como idóneo en la materia, sin calificar o valorar de modo alguno la evidencia, manteniendo así la objetividad del perito.
Es decisivo que el perito presente la evidencia y las operaciones realizadas en un formato sencillo de entender, acompañado de explicaciones que eviten la jerga o terminología técnica.
Las operaciones realizadas deben ser sencillas de manera tal que puedan ser reproducidas de una manera lógica teniendo en cuenta que la sustentación de la evidencia está supeditada a la cadena de custodia y a las operaciones realizadas.
.
Programas Asociados a las distintas tareas forenses:
.
Adquisición de memoria RAM
.
- Memdump
- Win32dd
- MoonSols Windows Memory Toolkit
- Ramdump
- Winen
- Mandd
.
Adquisición de Imágenes Forenses
.
- Helix
- EnCase
- DD
- Scalpel
- AccessData
- ASR
- DIBS
- FTK Imager by AccessData
- Ghost
- iLook
- Paraben
- ProDiscovery
- X-Ways Forensics
- X-Ways Replica
.
Herramientas de Análisis Forense
.
- Blackthorn GPS Forensics
- HBGary Responder Professional – Windows Physical Memory Forensic Platform
- BringBack by Tech Assist, Inc.
- EMail Detective – Forensic Software Tool by Hot Pepper Technology, Inc
- EnCase by Guidance Software
- fbi by Nuix Pty Ltd
- Forensic Toolkit (FTK) by AccessData
- ILook Investigator by Elliot Spencer and U.S. Dept of Treasury, Internal Revenue Service – Criminal Investigation (IRS)
- Mercury Indexer by MicroForensics, Inc.
- OnLineDFS by Cyber Security Technologies
- P2 Power Pack by Paraben
- Safeback by NTI and Armor Forensics
- X-Ways Forensics by X-Ways AG
- Prodiscover by Techpathways
.
.
.
.
Pablo Gabriel Fidalgo
Manager of the Information Security Department at CIMASIX S.A.
pablo.fidalgo@cimasix.com
Tel. 054 11-4372-2379
Buenos Aires, Argentina
