Iiijca Alonso Reydes

CmputoForense& Metodologaparaobtenerypreservarla EvidenciaDigital
AlonsoEduardoCaballeroQuezada QualysguardCertifiedSpecialist/SSPCNSA Consultorde: HansGrosshttp://www.hansgross.com.pe

NPROShttp://www.npros.com.pe InfoSECPerhttp://www.infosec.pe
Pginaweb:http://www.ReYDeS.com email:ReYDeS@gmail.com Trujillo,22deAgostodel2009

CmputoForense&CadenadeCustodiadelaEvidenciaDigitalHANSGROSS
PrimeraParte
CmputoForense
AlonsoEduardoCaballeroQuezadawww.ReYDeS.com
QuesCmputoForense?
Sedefinecmputoforensecomolacienciayartedeaplicarlascienciasde computadorasparaapoyarunprocesolegal. Porquunarteyunaciencia? Lamayoradelacienciaesatribuidaalosforensesdecomputadoras,la mayorpartedelosinvestigadoresposeenunolfatoparalainvestigaciny habilidadespararesolverrompecabezas,esaqudondeelarteentraen accin. Cualessonsusobjetivos? Losprincipalesobjetivosson;recolectar,preservar,filtrar,ypresentar artefactosdesistemasdecomputadorasconpotencialvalorprobatorio.
Investigacindelaescenadelcrimen
Lainvestigacindelaescenadelcrimenesunprocesoformaldondelos investigadoresforenses,ademsdedocumentaryrecolectarlaevidencia fsica,utilizanconocimientoscientficosytcnicasforensesparaidentificar evidenciaygenerarayudaqueconduzcaaresolveruncrimen. Cualessonlasresponsabilidadesdelpersonalquerespondeaunaescena decrimen? *Observaryestablecerlosparmetrosdelaescenadelcrimen *Iniciarmedidasdesalvaguarda *Proporcionarcuidadosdeemergencia *Asegurarfsicamentelaescena *Asegurarfsicamentecualquierevidencia *Liberarlaescena *Finalizarladocumentacin.
FasesdelCmputoForense
Recoleccin:Fasedondelosartefactosconsideradosevidenciadevalorson identificadosyrecolectados. Preservacin:Estafaseseenfocaenpreservarlosartefactosoriginalesde formaconfiable,completa,exacta,yquepuedaserverificada. Filtrado:Tambinseconocecomolafasedeanlisisdelcmputoforense. Enestafaseelinvestigadorintentafiltrardatosloscualesnocontienen artefactoalgunodevalorcomoevidenciayfiltrarartefactosdepotencialvalor comoevidencia Presentacin:Lafasefinaldelcmputoforenseesdondelospotenciales artefactosdevalorcomoevidenciasonpresentadosenunavariedadde maneras.Reportes,documentacindeapoyo,declaraciones,testimonios.
ComputoForenseformalizadodesdeelinicio
Algunasveceslanecesidaddeunmetodologadecmputoforense formalizadonoestclaraparaelinvestigadoraliniciarunainvestigacin. Laparticipacinenvariasorganizacionesprofesionalesesunabuenamanera paramantenerseinformadodeldesarrolloyavancesenlasmejorasdelas metodologasforensesaceptadasyquesonutilizadasencmputoforense. Existendosorganizacionesprofesionaleslideresorientadasalaeducaciny losavancesdelaprofesindecmputoforense. IACIS(InternationalAssociationofComputerInvestigativeSpecialists)y HTCIA(HighTechCriminalInvestigativeAssociation) *SANS(SystemsAdministrationandNetworkSecurity)
QuienesrealizanCmputoForense?
Enlaactualidadloscrmenesrelacionadosacomputadorassehan expandido.Existenalgunostiposdecrmenesrelacionadoscon computadoras:Elprimertipodondeunacomputadoraapoyaenuncrimen,el segundotipoesdondelacomputadoraeselobjetivodeuncrimen,yeltercer tipoesdondelacomputadoraalmacenainformacinincidentalauncrimen. Existeunavariedaddeprofesionalesinmersosencmputoforense: *Proveedoresdeservicioslegalesparacasoscivilesocriminales. *PersonaldeSeguridadenTICorporativaparacasoscivilesocriminales. *InvestigadoresdeRRHHcorporativosparainvestigacionesenellugarde trabajo. *Investigadoresprivadosparavariostiposdeinvestigaciones. *Consultoresexternosdeseguridaddecomputadorasenrespuestade incidentes.
SegundaParte
EvidenciadeComputadora
Incautacindelaevidenciadecomputadora
Yaseaquesuprofesinseaelaplicarlaleyoenlaindustriaprivada,las guasjurdicas,afectarnsusderechosenloqueserefierealaincautacin delaevidenciadecomputadora. Dependiendodelpas,larecoleccindelaevidenciaestarnormalmente limitadaycontroladaporlaconstitucinolegislacin.Estalimitacinsigue siendoverdaderatambinparalarecoleccindeevidenciadecomputadora. Puedenexistirdostiposderegistros: Justificado:Elinvestigadorobtieneautorizacinexplicitadelasautoridades pertinentes,proporcionndoleunaautorizacinparaincautarevidencia especfica. Sinorden:Elinvestigadortieneautorizacinimplcitadecausaprobableono parallevaracabounabsqueda.
Retosdelaevidenciadecomputadora
Lamayoradelosretosrelacionadasconlaevidenciadecomputadoragiran entornoalaautenticidadconpreguntascomo: Fueronlosdatosalterados? CadenadeCustodia,documentacinyverificacinconhashcriptogrficos Fueconfiableelprogramaquegenerlosformulariosydatos? Estoesfcildejustificarconlaampliaaceptacinenlaindustriadelos programasutilizados,revisindepartes,ypruebasindividuales. Cualfuelaidentidaddelautor? Laidentidaddelautoresalgunasvecescontrarrestadaconpruebas circunstanciales,comousodepalabrassospechosasendocumentos tipeados,otranscripcionesdeconversacionesenlnea.
Fuerzasdelaevidenciadinmica
Elprincipiodeintercambiodelocardesunasimplemaneradedescribirdos objetosquetieneninteraccinyelcambioresultante.Esteeselconceptoque puedeserextendidoparadescribirelconceptodeladinmicadela evidencia. Ladinmicadelaevidenciaesunamaneradecomprenderydescribirlas fuerzasquepuedenactuarsobrelaevidencia,ycomoelprincipiodelocard explica,laaccinsinlugaradudaresultarenalgnefectoocambiosobrela evidencia,esfundamentalparaelinvestigadorforensetenerconcienciasonre ladinmicadelaevidenciaentodomomento. Ladinmicadelaevidenciapuedeserdivididaenfuerzashumanasy naturalesquepuedenestardirectamenteinvolucradasoincidentalmenteaun crimenoinvestigacin.
FuerzasHumanas
Aligualqueenlossereshumanos,lasfuerzasqueactansobrelaevidencia digitalvienenentodaslasformasytamaospudiendoafectarlaenuna variedaddemaneras.Comosepuedesospechar,elinvestigadorforensepor simismoestincluidoenlafuerzahumanasobreladinmicadelaevidencia. Ejemplosdehumanosquepuedenactuarsobrelaevidenciadigital: *Personaldeemergencia *Investigadoresforenses *Personaldeaplicacindelaley *Lavictima *Elsospechoso *Lostransentes
FuerzasHumanasCont.
*Personaldeemergencia Losprimerosenresponderaunaemergenciapuedenfcilmenteafectarla escenadeuncrimendemuchasmanerasconsusacciones.Ellosse concentranensalvarvidasypuedenexhibirdiferentesnivelesde conocimientorelacionadasalarecoleccindeevidenciaocontaminacin. Laprimeraformaenquepuedeserafectadalaevidenciadecomputadoraes moverlaevidenciaparaacomodarequiposalvavidas.Estetipodeaccin afectanormalmentealasdisciplinasforensesrelacionadascomola recoleccindehuellas,peropuedenafectardirectamentealaevidencia digitalsiunsistemaesapagado,conlaperdidadelosdatosmsvoltilesen lamemoriadelsistema,ylamodificacinoborradodearchivos.
FuerzasHumanasCont.
*Investigadoresforenses Losinvestigadoresforensessonlasfuerzasquepuedenafectarenmayor medidaalaevidenciadigital.Considerandoqueseenfocanenla computadoraomediodigital. Caractersticasdelapagadodeunacomputadora: *Desenchufar:Losdatosvoltilessonborrados,sinosonrecolectados antesdeapagar.ElSistemadearchivospuedeserdaado,sepuedeperder elfuturoaccesoalosdiscos(discosconencriptacin),etc. *Apagarcorrectamente:Espaciodememoriavirtualeneldiscosepierde, puedenserlanzadosprocesosdestructivosdeevidenciaduranteelapagado, elsistemadearchivosesprobablequequedeintactodespusdel apagado,etc.
FuerzasHumanasCont.
*Personaldeaplicacindelaley Todoelpersonaldeaplicacindelaleytieneunconocimientobsicodel procesamientodelaescenadelcrimen,peromuchascarenciasde entendimientotcnicodecomoseinteraccionaconlaevidenciadigitalde computadora. Paraapoyaralpersonaldeaplicacindelaleyquenotieneunconocimiento diariodelarecoleccindeevidenciadigitalsecreunlibrodenominado handbookElectronicCrimeSceneInvestigationAGuideforFirst Responders.Estilparalasprimeraspersonasenintervenirunaescenade crimen,ascomoparaelinvestigadordecmputoforense. Enfocndoseenelpersonaldeaplicacindelaleycomolosprimerosen responder,losfactoresdeladinmicadelaevidenciapuedenserdivididosen lasreasdepreservacin,identificacinyrecoleccin.
FuerzasHumanasCont.
*Lavictima Lainteraccindelavictimaconlaevidenciadigitalesennaturaleza normalmentedefensivaoreactiva.Porejemploenentornocorporativo,un administradordesistemasolosmiembrosdelequipoderespuestade incidentespuedenreaccionarauneventodehackingenunodesus sistemas.Enestecasoeladministradordelsistemaoequipoderespuestade incidentestienedosobjetivossimples:confirmarsussospechasyrestaurarla integridaddelossistemasafectados.Estospasostomadosparalograrestos dosobjetivostienenmuchosefectosdestructivossobrelaevidenciadigital debidoalniveldeconocimientodelavictimadelsistema. Cuandoseconfirmaunincidenteeladministradortienedosopciones, restaurarlosserviciosopreservarlaevidencia.
FuerzasHumanasCont.
*Elsospechoso Losefectosdelsospechososobrelaevidenciadigitalusualmenterondansu deseodeeliminar,ocultar,orestringirelaccesoapotencialevidencia.Su deseorecaeunavezmasendesconectarlaPCvs.unadecuadoapagado. Lasituacindealertarecaesobrevariaspreguntas: Debeserconectadalaconexindered? Debeserconectadoelcabledepoder? Quhaysobreelaccesoalosarchivosencriptados? Debeserelsistemaadecuadamenteapagado? Quhaysobrelosscriptsdestructivossielsistemanoesapagadodecierta manera?
Elconocimientoyexperienciadelasituacinpuedeayudaraganarlapelea
FuerzasHumanasCont.
*Lostransentes Lostransentessondelaspocasfuerzashumanasenladinmicadela evidenciasobreelcualelinvestigadorforensetienemscontrol.Los transentespuedeninteractuarconlaevidenciadigitalenvariasdelas mismasformasenlasqueotrasfuerzashumanasactan.Porlotantoun transentenodebeestarencontactoconlascomputadorasdelavictimao sospechoso,puespuedetenerunefectosobreellas. Enelcasodecabinaspblicasolibreras,muchostransentespuedentener contactoconlaevidenciadelsistema.Otrosejemplossonlostelfonos celularesencontradosenlaescenadeuncrimen.
FuerzasNaturales
Lasfuerzasnaturalesmscomunesquepuedenafectarladinmicadela evidenciason:fuego,aguayotroseventosrelacionadosalclima.Sin embargoestasfuerzassonindisputables.Eltiemposolopuedeseruna fuerzaqueafectalaevidenciadigital. Unadelasprimerasfuerzasnaturalesenladinmicadelaevidenciaesque uninvestigadorforensepuedeserafectadoporunaDescargaElectroesttica (ESD).UNESDocurrecuandoelrangodehumedadcaeentreunporcentaje idealde40%a60%.Cuandolahumedadsuperael60%,loscomponentes elctricospuedensufrircorrosinsobreperiodosdetiempoprolongado.
FuerzasNaturalesCont.
Sedebedeentenderquelosmediosmagnticossonbsicamentede almacenamientotemporal.Estoesdeayudaparaplanificarposiblesfallasdel sistema.Ademslosdispositivosmecnicosdealmacenamientotienenun tiempoderetencindedatosesperado.Losvaloresmostradosa continuacinestnbasadosenlasespecificacionesdelproveedoraplicados encondicionesoptimasdeunentornodeoperacin.
FuerzasdelEquipo
Lasfuerzasdelequipoforenseespecializadoqueseutilizaencmputo forensepuedeserunadelasmsperjudicialesparalaevidenciadigital, debidoaqueaccionessubyacentessonobservadasraravezdirectamente. EncmputoforenseelequipoespecializadoyaseaHardwareoSoftware debesercreadoespecialmenteparaapoyarelprocesodecmputoforense. Algunosejemplosdehardwarecreadoespecialmenteparaelprocesode cmputoforenseincluyehardwarebloqueadordeescrituradediscosy dispositivosderplicadediscos.
FuerzasdelEquipoCont.
Enlamayoradecasoslosinvestigadoresdebenutilizarhardwarede computadoraestndarenlarecoleccinyanlisisdeevidenciadigital.En talescasosdebenserutilizadosequiposespecializadosenconjuncinconun equipoqueproporcioneunentornomenosintrusivo. Debidoalasdiversasmanerasenlascualesunsistemaoperativoyotro softwareactaenlosdiscosdurosysistemasdearchivos,muchas aplicacionesorientadasacmputoforenseseenfocanenrecolectar, interpretar,yvisualizardatosdedisco.Unadelascaractersticas fundamentalesdelsoftwareforenseesmantenerlaintegridaddelaevidencia digital.Elinvestigadordebesiempretenercuidadoconlossiguientespuntos: *Comotrabajalaherramienta? *Silosdatosdelaevidenciaesmodificadaporlasherramientas *Cualherramientasdehardwareosoftwarepuedenserutilizadosparalimitar cambiosalosdatosquesonanalizadosocapturados.
FuerzasdelEquipoCont.
Quesunhash? Unhashcriptogrficoesunalgoritmoutilizadoparaproducirunsecuenciade caracteresdelongitudfija,basadoenunaentradadelongitudvariable. Cualquierentradadadasiempreproducelamismasalida,llamadounhash. Siunbitenlaentradacambia,elhashdesalidacambiardemanera significativaydeunamaneraaleatoria.Ademaslaentradaoriginalnopuede serderivadodesdehash.LoshashsmasutilizadosconMD5ySHA1.Los hashcriptogrficosesencialmenteproporcionaunafirmadeuntamaonico dedatoscomounarchivooundisco.
HerramientasadecuadasyProcedimientos
Losinvestigadoresdebentenerenmentequenoexisteunacertificacinde unacorteparalasherramientasoprocedimientos,solamentedecisiones pasadasoleyespuedenserdeayudaparaguiaralosjueces. Losinvestigadoresdebenrealizarsuspropiasverificacionesparaconocerlas herramientasyprocedimientos.Unadelasprimerascosasenlasquedebe decaerencuentaelinvestigadorencuantoseleccionaunaherramienta,es conocercomolaherramientainteractuaconlaevidenciadigital. Segundo,elinvestigadordebedeterminarsilasherramientasy procedimientosdisponiblesayudanareducirlosefectosdeladinmicadela evidencia.
HerramientasadecuadasyProcedimientosCont.
Lassiguientelistadetemssontilesparaprocesarunaescenadelcrimen engeneralcomotambindecmputoforense. *Sobrededistintostamaos:Paramanejardiskettesoevidenciasuelta. *Cintaapruebademanipulaciones:Paraetiquetarlaevidencia. *Bolsasdeevidenciaapruebademanipulaciones:paramanejardiscos grandes. *Bolsaslibredeesttica:Paramanejardiscosoriginales. *Bolsasgrandesdepapel:Paramanejarevidencia. *Engrapadora:Parasellarlasbolsasdeevidencia. *Cajasdecartn:Paratransportargrandescantidadesdeevidenciay componentesdecomputadora. *Cmaradigital:Paradocumentarlaescena. *Herramientasdereparacindecomputadoras:Paraaccedery desensamblarequiposdecmputo.
HerramientasadecuadasyProcedimientosCont.
*Brazaletededescargaelectroesttica:Parautilizarcuandosemanejan componenteselctricosconcircuitoselectrnicosexpuestosdirectamente. *Cuadernodenotas:Paraanotarunregistronarrativodelasaccionesdel investigador. *Linterna:Parailuminarreasdifcilesdevisualizar. *Lupa:Paravisualizarreasverdaderamentedifcilesdevisualizar. *Papeldedibujo:Paradibujartopologaslgicasdelared. *Reglademedirycinta:Paramostrareltamaodelostemsenlasfotos. *Marcadorespermanentes:Paraetiquetarlaevidencia. *Tizasolpicesdecolores:Paramarcarlaevidenciaenlasfotos. *Guantesdelatexdesechables:Paraelmanejodelaevidencia.
TerceraParte
Helix3Pro
QuesHelix3Pro?
EselHelixOriginalreescritodenuevocompletamente. Elentornoarrancableoiniciableesunapersonalizacindeunadistribucin Ubuntuestndar. Elladovivoesttotalmentebasadoencdigopersonalizadodelequipode desarrollodeefense,Inc. Helix3sehaconvertidoenelestndardefactoenRespuestadeIncidentesy CDsdearranqueForenses,yHelix3Proeselsiguientenivelenelestndar.
PorquHelix3Proesdiferente?
ElcdigodeUbuntuhasidocambiadoparapropsitosforenses.Algodel cdigohasidocompiladodesdeceroyesunadistribucindedicada estrictamentearespuestadeincidentesyforense. *Helix3Pronuncausarelespacioswapencontradoenelsistema *ElmontadorautomticodeHelix3Proconfigurarlasunidadesqueexistan, peroforzaralpuntodemontajeaser:ro,noatime,noexec,nodev,noauto, user *Helix3ProvetodoslossistemasdearchivosidentificadosporLinuxtales comoext2,ext3,vfat,ntfs,xfs,reiser,jfsyms. *Helix3Proincorporamuchasherramientasopensourcederespuestade incidentesyforensequepuedenserencontradosenelCD.
*EntornosejecutablesenelladovivoparaWindows,MacyLinux.
ModosdeOperacindeHelix3Pro
ElLadoVivo ParaunarespuestaenvivoencualquierentornorWindows,MacoLinux,solo sedebedeinsertarelCDdeHelix3Proyejecutarlaaplicacinapropiada paraelSO,desdeelflderdelSO.EnsistemasWindowsconejecucin automticahabilitadalainterfazdeusuariodeHelix3Procargar automticamente. Losbinariossonestticos,asesqueseejecutarndesdeelCDsin necesidadalgunadelibrerasoarchivosadicionales.EstohaceunCD perfectamenteconfiableparaunarespuestadeincidentes,yaquenoconfa enlasherramientasoprogramasdelsistema. ElGUIdeHelix3ProoperaenentornosWindows,MacyLinux.Hasido probadoenWindows2000,WindowsXP,Windows2003Server,Vista, Windows2008Server,Windows7RC1,MacOSX10.4+,yUbuntuLinux.
ElLadoVivoCont.
ElLadoArrancable UnodelomsgrandesbeneficiosdeHelix3Proeselentornoarrancableo iniciable.Helix3Proarrancarentodaslasarquitecturasx86,conlacual estnconstruidaslamayoradecomputadorasenelmundo. Helix3ProcomoUbuntu,puedearrancarenunentornoLinux.Estaversin hasidomodificadaparapropsitosforensesycontienelamismainterfaz encontradaenentornosvivos.
ElLadoArrancableCont.
ConclusionesFinales: Sobrelaevidenciadigital
*Cuandosetratadeevidenciadigital,debeaplicarsetodoslos procedimientosyprincipiosforenses. *Traslaincautacindelaevidenciadigital,lasmedidasadoptadasnodeben demodificarlaevidencia. *Cuandoseanecesarioqueunapersonaaccedaalaevidenciadigital,esta personadebehabersidoentrenadaparaestepropsito. *Todaslasactividadesrelacionadas,conlaincautacin,acceso, almacenamientootransferenciadeevidenciadigital,debeestar completamentedocumentada,preservadaydisponibleparasurevisin. *Unindividuoesresponsabledetodaslasaccionestomadasconrespectoa laevidenciadigital,mientrasquelaevidenciadigitalestaensupoder. *Cualquieragencia,lacualesresponsabledeincautar,acceder,almacenaro transferirevidenciadigitalesresponsabledecumplirtodosestosprincipios.
MuchasGracias
AlonsoEduardoCaballeroQuezada QualysguardCertifiedSpecialist/SSPCNSA Consultorde: HansGrosshttp://www.hansgross.com.pe

NPROShttp://www.npros.com.pe InfoSECPerhttp://www.infosec.pe
Pginaweb:http://www.ReYDeS.com email:ReYDeS@gmail.com Trujillo,22deAgostodel2009

Iiijca Alonso Reydes

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Iiijca Alonso Reydes

Cargado por

Copyright:

Formatos disponibles

CmputoForense& Metodologaparaobtenerypreservarla EvidenciaDigital

AlonsoEduardoCaballeroQuezada QualysguardCertifiedSpecialist/SSPCNSA Consultorde: HansGrosshttp://www.hansgross.com.pe

Pginaweb:http://www.ReYDeS.com email:ReYDeS@gmail.com Trujillo,22deAgostodel2009

AlonsoEduardoCaballeroQuezada QualysguardCertifiedSpecialist/SSPCNSA Consultorde: HansGrosshttp://www.hansgross.com.pe

Pginaweb:http://www.ReYDeS.com email:ReYDeS@gmail.com Trujillo,22deAgostodel2009

También podría gustarte