Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Objetivos

En esta sesin aprender a:

Identificar los principios bsicos para usar procedimientos forenses en Linux Explicar cmo se busca evidencia en un sistema Linux Explicar el proceso de investigacin en un sistema operativo Linux

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 1 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Fundamentos esenciales de los procedimientos forenses en Linux

Linux
Es un poderoso Sistema operativo (SO) de cdigo abierto. Cuenta con muchas herramientas gratuitas usadas en investigaciones forenses de sistemas. Muchos servidores Web operan en la plataforma Linux.

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 2 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Imagen de disco

Trmino utilizado para crear una copia exacta, bit por bit, del contenido de cualquier dispositivo de almacenamiento conectado a un equipo. Constituye un paso esencial antes de cualquier investigacin forense de datos almacenados. Las imgenes de disco estn conectadas al sistema del investigador como dispositivos de almacenamiento secundario. Las imgenes de disco son importantes en un tribunal federal y su integridad debe ser preservada.

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 3 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Montaje

Operacin que sigue a la generacin de imgenes de disco. Es el proceso de conectar un dispositivo de almacenamiento con el software del sistema operativo. Se realiza para analizar las imgenes de disco en la investigacin. Las imgenes de disco de un sistema de archivos no compatible con el sistema operativo no pueden montarse.

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 4 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Montaje (cont.)

Las siguientes utilidades de Linux ayudan a generar y evaluar imgenes de disco:

Herramienta List Open Files (lsof) Utilidad dd Herramienta find Utilidad mount Comando file Utilidad strings

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 5 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Montaje (cont.) Herramienta lsof

Herramienta de diagnstico que muestra informacin sobre los archivos abiertos por los procesos. Se usa para enumerar los archivos que son usados por un proceso especfico mediante la generacin de un ID de proceso (PID). Ayuda a determinar si un archivo es un caballo de Troya mientras se analizan los procesos activos. Sintaxis del comando: lsof
lsof [ -p s] [-I [I] ]

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 6 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Montaje (cont.) Utilidad dd

Se usa para copiar datos de un dispositivo de entrada especfico a un dispositivo de salida especfico. Copia datos de la secuencia de salida, 512 bytes de una sola vez, y escribe ese dato en la secuencia de salida. Se usa para copia de seguridad de datos, sobrescritura de archivos o dispositivos y generacin de imgenes de disco de dispositivos de almacenamiento completos. Sintaxis del comando: dd
dd if =<archivo de entrada> of = <archivo de salida>

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 7 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Montaje (cont.) Herramienta find

la herramienta find busca archivos almacenados en el sistema. Los parmetros en los que se basa la bsqueda incluyen nombre, tamao, fecha, hora, nmero de inodo y permisos de acceso. Sintaxis del comando: find
find<directorio de inicio> -name <nombre de archivo que buscar>

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 8 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Montaje (cont.) Utilidad mount

Se usa en el equipo del investigador para permitirle al sistema operativo acceder al dispositivo de almacenamiento. Sintaxis del comandomount:
mount o<opciones> <dispositivo que montar> <punto de montaje, donde se montar>

Opciones de seguridad que se pueden agregar al argumento o:

ro noexec nodev noatime

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 9 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Montaje (cont.) Comando file

Ayuda a analizar los datos dentro de un archivo y muestra el tipo de archivo. Realiza el anlisis basado en las posiciones de algunos bytes dentro del archivo, que actan como huellas del mismo. Cuando mltiples bytes coinciden, file busca su propia base de datos y encuentra un tipo de archivo para ese archivo. Sintaxis del comando file:
file<nombre de archivo>

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 10 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Montaje (cont.) Utilidad strings

Extrae datos de archivos que no son legibles o comprensibles. Extrae todas las cadenas de texto legibles de un archivo ejecutable. Sintaxis del comando strings:
strings <nombre de archivo>

Cuando se usa con grep, ayuda a encontrar un texto especfico:

strings <nombre de archivo> I grep texto que buscar

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 11 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Recopilacin de evidencias en Linux

Asimilacin de datos importantes de varios archivos y programas del sistema de destino. Los siguientes archivos de Linux proveen pistas importantes acerca de un delito:
Archivos de contraseas Archivos de registros Archivos ocultos y archivos de historiales

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 12 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Proceso de investigacin

El proceso inicial de investigacin incluye la generacin de imgenes y el montaje del dispositivo de almacenamiento. Las precauciones que deben tomarse mientras se montan las imgenes de disco son:
Debe garantizarse que las imgenes se monten con algunas opciones habilitadas. Durante el montaje, use el comando mount. Luego del montaje, recuerde desmontar las imgenes de disco con el comando umount. Las imgenes de disco deben almacenarse en CD ROM o en dispositivos de cinta especiales.

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 13 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Proceso de investigacin (cont.)

Integridad de datos mediante el programa md5sum

El programa md5sum utiliza el algoritmo md5 para generar el hash de 128 bits de los datos alimentados al programa md5sum. El programa recibe su entrada desde el dispositivo de entrada predeterminado, tal como el teclado. Para mantener la integridad de las imgenes de disco:
Compare los hash md5 de las imgenes de disco con los hash md5 de los datos originales del equipo de destino.

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 14 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Anlisis de sistemas de archivos

Anlisis de sistemas de archivos incluye:

Procedimientos forenses de inodo Anlisis de archivos de SUID y GUID Anlisis de los tiempos de Modificacin, acceso y creacin (MAC) Uso de la bsqueda de cadenas Anlisis del espacio sin asignar y de intercambio Recuperacin de archivos

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 15 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Resumen En esta sesin aprendi:

Linux tiene muchas herramientas gratuitas que permiten la investigacin forense efectiva del equipo. Creacin de imagen es el trmino utilizado para crear una copia exacta, bit a bit, de los contenidos de cualquier dispositivo de almacenamiento conectado a un equipo. El montaje es el proceso de conexin de un dispositivo de almacenamiento al software del sistema operativo. Linux incluye diversas utilidades y herramientas que ayudan a crear y evaluar imgenes de disco. stas son:
La herramienta lsof La utilidad dd La herramienta find La utilidad mount El comando file La utilidad strings

Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 16 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Resumen (cont.)
Los archivos de contraseas almacenan informacin sobre usuarios que tienen cuentas en un sistema informtico. La mayora de las actividades forenses en un sistema Linux rotan alrededor de estos archivos de registro:
Archivos de registro del sistema Archivos de registro de procesos Archivos de registro de actividad del usuario

Adems de los registros, existen otros tipos de archivos que pueden ayudar a un investigador a rastrear un crimen. Estos archivos son:
Archivos y directorios escondidos Archivo de historial

El programa md5sum utiliza el algoritmo md5 para generar el hash de 128 bits de los datos alimentados al programa md5sum. Este programa se usa para mantener la integridad de los datos. Los nmeros de inodo pueden usarse con varios programas para proveer informacin en los archivos a los que se conectan los programas.
Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 17 de 18

Instalacin de Windows XP Professional con instalacin asistida Procedimientos forenses en sistemas Linux

Resumen (cont.)
TCT, desarrollado por Dan Farmer, contiene las herramientas que usan directamente informacin de inodos.
ils icat

En Linux y otras variantes UNIX, las horas y fechas de archivo se almacenan en tres campos diferentes: hora de creacin, hora de ltimo acceso y hora de ltima escritura o modificacin. Los tiempos MAC se usan para detectar cambios en un sistema de destino. MAC_DADDY es una herramienta que se puede usar para el anlisis forense de tiempos MAC. El espacio no asignado y el espacio de intercambio en un equipo contiene informacin valiosa, tales como correo electrnico eliminado, archivos de imagen viejos y hasta datos de msica y video. La recuperacin de archivos es la tcnica de recuperacin de archivos eliminados.
Ver. 1.0

Procedimientos forenses en sistemas Linux/Captulo 3

Diap. 18 de 18