INFORMATICA FORENSE

Análisis de Incidentes
Preparación de Herramientas y estación de
trabajo.
 Objetivos
• Investigar un delito digital.
• Pasos previos a la investigación.
• Metodología de investigación.
• Preparación estación de trabajo.
• Orden Judicial / Orden Civil.
• Evaluar y asegurar la escena.
• Colectar la evidencia.
 Objetivos
• Asegurar la evidencia.
• Adquisición de datos.
• Análisis de los datos.
• Valorar la evidencia de acuerdo al caso.
• Informe del caso
• Testimonio
 Investigación
1. Determinar si es un Incidente común o
Delito Informático.
2. Búsqueda de Pistas.
3. Valorar posibles evidencias
4. Búsqueda y dimensionamiento de la
Evidencia
5. Secuestro de Evidencia / Denuncia
 Investigación /Tareas Previas
• Contar con una Estación / Laboratorio Forense.
• Reunir al equipo de trabajo
• Buscar apoyo legal
• Revisar políticas internas / marco Legal
• Notificar al Personal Clave del Incidente
• Valorar los riesgos
• Valorar las herramientas forenses según el tipo
de incidente.
• Definir la Metodología de investigación.
 Tareas Previas
• Estación de trabajo.
• Sincronización de Reloj.
• Herramientas de duplicación.
• Herramientas de verificación de Integridad.
• Herramientas de para extraer metadata.
• Herramientas de extracción de archivos borrados.
• Herramientas de análisis de espacio libre.
 Tareas Previas/Equipo de
Trabajo
• Equipo de trabajo.
• Solvencia Penal.
• Sin conflicto de intereses.
• Discreto y Confiable.
• Compacto.
• Especialistas en la tecnología a analizar.
• Objetivos claros y asignados.
 Equipo de Trabajo
• Abogado
• Fotógrafo
• Analista de datos
• Documentador
 Marco legal
Leyes Primarias
Marco Secundario
Políticas Internas
Evidencia asociados al marco legal
Definición de puntos de peritaje
Asesoría Legal
 Marco legal
Constitución de la Republica
Código Civil
Código Penal
Delito Informático
Protección al Consumidor
Lavado de Dinero
Terrorismo
 Incidentes
Notificar a las autoridades.
Empresarial
Fiscalía
Administración de Incidentes.
Documentación
Fuente del Incidente
Severidad
Evaluación de daños
 Herramientas Forenses
FRED, Forensic Recovery of Evidence Device.
Sistemas Operativos, Parches.
Bloqueadores de medios
Sanitizadores, media en Blanco
Cables
Equipos de prueba.
 Proceso de Investigación
• Orden Judicial / Corporativa.
• Evaluación de la Escena/Incidente. (Cadena de
Custodia)
• Recolectar la Evidencia.
• Asegurar la Evidencia.(Duplicados)
• Análisis del Incidente (Puntos de Peritaje)
• Obtener Datos
• Analizar Datos (Puntos de Peritaje)
• Reporte Forense
 Proceso de Investigación
• Orden Judicial / Corporativa.
• Validez de Juicio
• Autorización.
• Competencias en el proceso de investigación.
• Riesgo de destruir evidencia.
 Proceso de Investigación
• Evaluación de la Escena/Incidente.
• Fotografías
• Evaluación de Evidencia.
• Física
• Volátil
• Etiquetado de evidencia.
• Inicia Cadena de custodia.
• Fecha y Hora
• Lugar del incidente
• Personas presentes en el incidente
• Identificar testigos potenciales
 Proceso de Investigación
• Evaluación de la Escena/Incidente.
• Investigador Primario.
• Primero en llegar a la escena
• Debe conocer las leyes
• Debe preservar la mayor cantidad de evidencia posible
 Proceso de Investigación
• Recolectar la Evidencia.
• Evidencia Física.
• Computadoras
• Memorias
• Impresores
• Cables
• Almacenamiento Masivo
• Documentos físicos
• Basura
• Dispositivos Digitales
• CCTV
 Proceso de Investigación
• Recolectar la Evidencia.
• Evidencia Volátil.
• Datos de memoria.
• Procesos
• Archivos Temporales
• Cache.
• Historial de navegación.
• Dispositivos Conectados al Equipo.
• Encendidos y apagados del equipo.
• Logs.
 Proceso de Investigación
• Recolectar la Evidencia.
• Media
• Tape Backup
• CD
• Memorias USB /SD/FLASH
• Discos portables, Telefonos, MP3, Discos removidos
 Proceso de Investigación
• Recolectar la Evidencia.
• Etiquetado de Evidencia.
• Marca
• Modelo
• Serie
• Color
• Características únicas.
• Usuario propietario del dispositivo.
• Contraseñas
 Proceso de Investigación
• Asegurar la Evidencia.(Duplicados)
• Se deberán crear copias de todos los medios.
• Se deberá almacenar en lugar seguro.
• Bitácora de acceso a la evidencia.
• Circuito Cerrado.
• Ambiente controlado.
 Obtener Datos
• Crear la Cadena de Custodia.
• Obtener Hash de integridad de la evidencia.
• Crear duplicados /Nunca Usar Originales.
• Análisis de los medios.
• Palabras Claves.
• Correos electrónicos.
• Archivos de documentos.
• Archivos de media, fotos, audio, video,etc.
• Conversaciones electrónicas.
 Obtener Datos
• Crear duplicados /Nunca Usar Originales.
• Software / Hardware
• Bloqueadores de Medios.
• Sanitizadores / Medios Nuevos
• Copia bit a bit
• Verificar la integridad de las copias
• HASH
 Obtener Datos
• Archivos Borrados.
• Se deberá usar una herramienta forense
• Validar slackspace
• Validar la metadata
 Análisis de Datos
• Orientado a los puntos de Pericia.
• Análisis de metadata
• Creador
• Fechas creado / modificado /eliminado
• Línea de tiempo