Análisis forense en sistemas informáticos

1. Análisis forense en sistemas informáticos Luis Villalta Márquez

2. - Funcionalidad y fases de un análisis forense Análisis forense en sistemas informáticos

3. Análisis forense en sistemas informáticos • Es la investigación y análisis detallado y minucioso de cualquier dispositivo electrónico (ordenadores, teléfonos, agendas PDA, servidores corporativos, etc..) para la obtención de pruebas admisibles judicialmente o de información relevante para negociaciones internas. • El objetivo del análisis es la identificación de indicios y certificación de hechos realizados a través de los mismos. En situaciones de conflicto, este servicio da respuesta al qué, quién, cuándo, dónde y cómo se ha cometido un determinado fraude, ilícito o delito. • Debido a la arquitectura de los sistemas operativos actuales, donde el rendimiento prevalece sobre la seguridad de la información, un experto informático forense puede recuperar archivos o fragmentos que previamente el usuario había borrado o modificado. El aumento exponencial del tamaño de las unidades de almacenamiento permite a los expertos forenses recuperar ficheros borrados o manipulados con meses e incluso años de antigüedad.

4. Fases de un Análisis Forense • Identificación: Describe el método por el cual el investigador es notificadosobre un posible incidente. • Preservación: Mecanismos utilizados para el correcto mantenimiento deevidencia. Importante para acciones legales posteriores. • Colección: Involucra técnicas y métodos específicos utilizados en larecolección de evidencia. • Examinación: Trata las herramientas y técnicas utilizadas para examinar los datos recolectados y extraer evidencia a partir de ellos. • Análisis: Refiere a los elementos involucrados en el análisis de la evidenciarecolectada. • Presentación Herramientas y técnicas utilizadas para presentar lasconclusiones del investigador ante una corte u organismo.

5. - Respuesta a incidentes Análisis forense en sistemas informáticos

6. Respuestas a Incidentes • El proceso de identificar, preservar, analizar y presentar las evidencias digitales de una manera que sea aceptable legalmente en cualquier vista judicial o administrativa. Es decir recupera datos utilizando las reglas de evidencia. • Implica obtener y analizar información digital para conseguir evidencias en casos administrativos, civiles o criminales. • Implica examinar y analizar científicamente datos de medios de almacenamiento de computadores para que dichos datos puedan utilizarse como evidencias digitales en los juzgados.

7. Respuestas a Incidentes • Aplicación de método científico para medios de almacenamiento digital para establecer información basada en los hechos para revisión judicial. • Implica preservar, identificar, extraer, documentar e interpretar medios de almacenamiento de computador en busca de evidencias y/o análisis de la causa raíz. Se utilizan diversos métodos como: • Descubrir datos en un sistema de computación. • Recuperar información de ficheros borrados, cifrados o dañados. • Monitorizar la actividad habida. • Detectar violaciones de la política corporativa. La información recogidapermite el arresto, la persecución, el despido del empleado y laprevención de actividad ¡legal futura. Una evidencia digital escualquier información que puede estar o no sujeta a intervenciónhumana que puede extraerse de un computador, debe estar enformato leíble por las personas y capaz de ser interpretado por unapersona con experiencia en el tema.

8. - Análisis de evidencias digitales Análisis forense en sistemas informáticos

9. Análisis de evidencias digitales La Evidencia Digital, es todo aquel elemento que pueda almacenar información de forma física o lógica que pueda ayudar a esclarecer un caso. Pueden formar parte: • Discos rígidos • Archivos temporales • Espacios no asignados en el disco • Diskettes, Cd-rom, Dvd, Zip, etc. • Pendrives • Cámaras digitales • Backups • Conexiones de Red • Procesos • Usuarios conectados • Configuraciones de red • Discos

10. Tipos de Evidencias • Testimonio Humano • Evidencias Físicas • Evidencias de Red • Evidencias de Host

11. - Herramientas de análisis forense Análisis forense en sistemas informáticos

12. Herramientas de Análisis Forense Existen una gran cantidad de herramientas para recuperar evidencia. El uso de herramientas sofisticadas se hace necesario debido a: • La gran cantidad de datos que pueden estar almacenados en un computador. • La variedad de formatos de archivos, los cuales pueden variar, aún dentro del contexto de un mismo sistema operativo. • La necesidad de recopilar la información de una manera exacta, y que permita verificar que la copia es exacta. • Limitaciones de tiempo para analizar toda la información. • Facilidad para borrar archivos de computadores. • Mecanismos de encriptación, o de contraseñas.

13. Tipos de Herramientas de Análisis Forense: • Herramientas para el Monitoreo de Redes y Ordenadores. • Herramientas de Marcado de documentos. • Herramientas de Hardware. Ejemplos de Herramientas para realizar análisis forense Herramientas utilizadas en el ámbito de la informática forense para la recuperación de datos borrados o recolección de evidencia digital. • Outport • AIRT (Advanced incident response tool • Foremost • WebJob • HashDig • Md5deep