Informática Forense

Jornadas de Seguridad Informática

Noviembre 2009

Hernán Herrera -

Sebastián Gómez

Contenidos

Definición de informática forense

Organización interna del Laboratorio

Software forense

Hardware forense

El paradigma de la virtualización aplicado a la

informática forense

Definición de informática forense

“Es el proceso de identificar, preservar, analizar y

presentar evidencia digital, de manera que esta sea
legalmente aceptable”

Identificar Preservar Analizar Presentar

Identificación de la evidencia digital

En una inv
esti
gación q

ue inv
o
l
ucra información en for

mato digit
a
l, se

debe:

9 Identificar las fuentes potenciales de evidencia digital

9 Determinar qué

elementos se pueden secuestrar y cuáles no

9 Si se trata de un escenario complejo:
Tomar fotografías del entorno investiga
d
o

Documentar las diferentes configuraciones de los equip

os, topologías de red y

conexiones a Internet

Preservación de la evidencia digital

Al trabajar con evidencia digital deb

en extremarse los recaudos a fin de

evitar la contaminación de la prueba, considerando su fragilidad y volatilidad

9 Mantenimiento de la Cadena de Custodia

Registro de todas la operaciones que se realizan sobre la evidencia digital
Resguardo de los elementos secuestrados utilizando etiquetas de segurida
d

9 Preservación de los elementos secuestrados de las altas temperaturas, campos magnéticos y golpes
Los elementos de prueba originales deben ser conservados hasta la finalización del proceso judicial
9 Obtención de imágenes forenses de los elementos secuestrados
Por cuestiones de tiempo y otros aspectos técnico

s, esta tarea se realiza una v

ez que ha sido secuestrado el elemento probato

rio original

En caso de que la creación de u

na imagen forense no sea posible, el acceso a los dispositivos originales se realiza media
nte mecanismos de protección contra escritura

9 Autenticación de la evidencia original

Generación de v

alores hash –MD5

o SHA-1- a partir de l

os datos contenidos en los

diferentes dispositivos secuestrados

Análisis de la evidencia digital

Involucra aquellas tareas orientadas a localizar y extraer evidencia digital relevante para la investigación
Mediante la aplicación de diversas técnicas y herramientas forenses se intenta dar respuesta a los puntos de
pericia solicitados
9 El análisis de datos requiere un trabajo interdisciplinario entre el perito y el operador judicial –juez, fiscalque
lleve la causa
9 Tareas que se llevan a cab

o dependiendo del tipo de investigación

Búsqueda de palabras claves o documentos en todo el espacio de almacenamiento del dispositivo

investigado

D
eterminar si ciertas aplicaciones fueron utilizadas por un determinado
usuario
Determinar qué
tipo de actividad tenía el usuario en la Web, análisis del historial de navegación, análisis de correo electrónico,
etc

Presentación de la evidencia digital

Consiste en la elaboración del dictamen pericial con los resultados

obtenidos en las etapas anteriores

9 La eficacia probatoria de los dictámenes informáticos radica

fundamentalmente en la continuidad en el aseguramiento de la

prueba desde el momento de su secuestro

9 El dictamen debe ser o

bjetivo y preciso, conteniendo suficientes

elementos para repetir el proceso en caso de ser necesario (por
ejemplo en un juicio oral)

Organización interna del Laboratorio

MESA DE ENTRADA ASISTENTE

PERI
T
O

Ingreso del
secuestro Evidencia

Registro d
e
ingr
eso

Inspección gen
eral
Preservació
n de la
evidencia.
Pautas de investigación,
alcance d
e la pericia

R
e
p
orte Intern

o An
álisis y
profundización de l
a

in
v
estigació
n

Elaboración de
dictamen pericial

Reportes
complementarios,
contr
ol de salid
a

Registro d
e
salida Dictamen
Workflow del Laboratorio Pericial Informático

Ingreso del secuestro

Registro de fotografías digitales en el CMS

Verificación de la cadena de custodia

Preservación

Telefonía Celular
Equi
p
os Informáticos

Análisis

Utilización de software forense

Puesto de trabajo forense

Confección de
reporte interno

Registro de casuística en

el CMS

Presentación y envío

Uso de
etiquetas de
seguridad

Registro Evidencia Procesada fotográfico Dictamen

Software forense

Pr
e
vie
w
d
el dispositiv
o

Archivo que
c
o
ntendr
á
la evidencia

Tipo d
e val
or h
a
s
h que
se utilizará para
autenticar l

a evidencia

Tipo de c

ompresión
utilizada

Generación de una i
magen forense para practicar la pericia informática

Generación de una imagen forense para practicar la pericia informática

Tiempo de adquisición

Valor hash del dispositivo

Acceso a la imagen forense

Software forense

Búsqueda de palabras claves

Pas
o
1: Definir la palabra clave

Pas
o
2: Determin
ar las o
pciones de b
ú
s
queda

A
nálisis Hash
S
et

(National
S
oftware R
eference
Library)

A
nálisis de firmas
Software forense

Resultado de la búsqueda

Registro de los resultados

Software forense
Registro de la evidencia digital relevante para la investigación

Hardware Forense

Write
Blocker - U
S
B Write
Blocker
–
Discos Rígido
s

Telefonía Celular -

Kit de adquisición

Toolkit
d
e allanamiento

Hardware Forense

Destructora de CD

Rotuladora

Herramientas p

ara apertura de
equipamiento
Etiquetas de seguridad

Hardware Forense

Servidores Blade

El paradigma de la virtualización

Aplicaciones

Máquina
Virtual Linux

• Autopsy
• AIR

• Vmw
are
Server
• Encase
•F
TK Imager
• Otras herramientas forenses
• Aplicaciones de ofimátic
a

Máquina
Virtual
S.O. ...

• Evide
ncia Digital

Perito Informático

Ventajas Ventajas: Mayor : Mayor disponibilidad disponibilidad de aplicaciones aplicaciones forenses forenses
pa
r
a la

investi investi
gaci
ó
n, facilidades facilidades para la inspecci inspecci
ó
n de evidencia evidencia digital digital

Virtualización de la infraestructura de servicios

Fire
w
all

Servidor anfitrión

Ventajas Ventajas: Optimizaci Optimizaci

ó
n de recursos recursos tecnol

ógicos, reducci reducci

ó
n de espaci
o

físico, simplicidad simplicidad de administraci administraci

ó
n, mejor tolerancia tolerancia a fallos

VMM o Hypervisor

Servidor
Web

Servidor
de
Archivos

LAN LAN
DMZ DMZ

Fire
w
all

Muchas gracias por la atenci Muchas gracias por la atenci

ó
n

Para mayor informaci Para mayor informaci

ón consulte n consulte

www.informaticapericial.com.ar www.informaticapericial.com.ar