Computación Forense

PhD. Ing. Enrique Santiago

Master Seguridad Informática
Master ingeniería telemática.
Especialista en Sistemas de Telecomunicaciones
Especialista en Redes de Computadoras
Certified Ethical Hacker –ECCOUNCIL
Certified Hacker Forensic Investigator
 Agenda
• Introducción a la Computación Forense.
• Proceso de Investigación Forense.
• Evidencia Digital.
• Procedimiento de Primera Respuesta.
• Algoritmos de Hash.
• Adquisición y Duplicación de Datos.
• Laboratorio Forense.
• Análisis Forense.
COMPUTACIÓN FORENSE
INTRODUCCIÓN
 Computación Forense
• Combinación de la Ley y las Ciencias Computacionales.
• Es definido como la practica de:
– Obtener
– Y Examinar datos

• Extraídos de:
– Sistemas Computacionales
– Redes de nodos
– Dispositivos Wireless
– Teléfonos Móviles, etc.

• Incluye unas técnicas de extracción que permiten que la

evidencia pueda ser aceptada en los estrados judiciales.
• Con el fin de identificar la verdad sobre un suceso.
 Computación Forense
La computación Forense, incluye los procesos de:
– Capturar
– Procesar
– Investigar
los datos obtenidos de un sistema computacional .

Rama de la informática que sirve de apoyo a otras

disciplinas o actividades, como las labores de
criminalística.
 Historia Computación Forense
• 1932: 1er Laboratorio Forense de FBI.

• 1984: C.A.R.T (Computer Analysis Response Team) para proveer

soporte en la búsqueda de evidencia computacional.

• 1993: 1era Conferencia Internacional de Evidencia Computacional.

• 1995: Formación del IOCE.(International Organization Computer

Evidence).

• 2000: 1er Laboratorio Computo Forense del FBI.

 Computación Forense
• Esta rama investigativa tomo importancia real a partir de
1984 cuando el FBI y otras agencias de Estados Unidos
comenzaron a desarrollar programas para examinar evidencia
computacional.

• 11 de septiembre, día decisivo para la seguridad informática y

la computación forense en USA.
 Computación Forense
los investigadores forenses de la informática:
• Descubren.
• Analizan.
• Recopilan evidencias digitales.
 Informática Forense
Componentes del Análisis Forense:

• Identificación de la evidencia
• Preservación de la evidencia.
• Análisis de la evidencia
• Presentación de la Evidencia ante tribunales

Existen otros como:

• La esterilidad de los medios informáticos de trabajo

• La verificación de las copias en medios informáticos, las
cuales deben ser idénticas al original.
Metodología de Análisis Forense
 Computación Forense
La computación forense se divide en:

• Informática Forense

• Network Forensics
 Computación Forense
• Informática Forense
 Computación Forense
• Network Forensics
PROCESO DE INVESTIGACIÓN FORENSE
 Personal que interviene en una
investigación forense
• Abogados
• Fotógrafos
• Unidad de respuesta a incidentes
• Analizadores de Incidentes
• Examinador de evidencias/Analista Forense
• Administrador de evidencias
• Testigos Expertos / peritos
EVIDENCIA DIGITAL
 Evidencia Digital
• Se considera como cualquier dato ó información
con valor probatorio que este almacenada,
transportada o transmitida de forma digital.

• La evidencia digital puede ser encontrada en:

– Historial de navegación en internet, cookies.
– Archivos de texto, Documentos electrónicos
– Grabaciones de audio y video
– Archivos de fotografías e imágenes.
– Emails, logs, etc.
 Evidencia Digital
• Características de Evidencia digital:
– Intangible.
– Puede ser alterada no intencionalmente.
– Es volátil.
– Se encuentra en estado entrópico.
– Es circunstancial
– Expira con el tiempo.

• Desafíos de la Evidencia digital:

– Inalterabilidad
– Control e identificación de cambios
– Trazabilidad
– Su manejo requiere mucho cuidado y expertise.
 Evidencia Digital
• Fragilidad de la evidencia digital:
– Si un proceso escribe sobre esta, puede
eliminarla.
– Durante el proceso de recolección de evidencias
podría sobre escribirse la misma.
– Si la computadora se apaga se pierde la
información volátil.
– Puede ser modificada de forma remota.
– Puede ser eliminada por una tarea programada.
 Evidencia Digital
• Rol de la Evidencia Digital:
– Establecer un enlace creíble entre el atacante, la
victima y la escena del crimen.
– Por Ejemplo:
• Asociar la fecha, hora y dirección IP con un evento
registrado en un log.

– Principio de intercambio de locard’s.

 Evidencia Digital
• Admisibilidad en la corte:
– La admisibilidad de esta depende de la legislación
y de que la evidencia sea:
• Clara y entendible por los jueces y el jurado.
• Que este relacionada con los hechos que se investigan.
• Que sea creíble y verificable por cualquier perito.
• Que no genere duda.
• Que sea autentica y pueda demostrarse.