Evidencia Digital

Evidencia Digital

1. Consideraciones Iniciales

   • * Verificar si en realidad ha ocurrido un incidente * Verificar si existe la necesidad de realizar el procedimiento de ED * Minimizar la pérdida * Llevar bitácoras de todas las acciones * Analizar datos recolectados * Realizar reporte

2. Verificación y confirmación del incidente

   • Verifica si evento esta siendo reportado
   • Es un Incidente atenta contra la C.I.D de la información
   • 1. Aislamiento de la escena - Restringir el acceso a la zona
     • Procedimiento
       • Toma de fotografía
         • Establecer perímetro
           • No apagar equipo si esta encendido
             • Se debe hacer lo siguiente
               • Sellar puertos usb, firewire, unidad cd y toma fotografía pantalla
                 • Asegurar equipo (si es portátil tratar de mantenerlo encendido)
                   • Si el equipo esta apagado no encender
                     • Llevar elementos necesarios para recolección de información
               • Cadena Custodia
                 • Información mínima
                   • Hoja de ruta
                     • Recibos personales que guarda cada custodio
                 • Libros de registro de entradas y salidas
                   • Rótulos o etiquetas pegados a empaques de evidencia
   • 2. Identificación fuente de información - Datos identificados y evaluados
     • dentificación de posibles fuentes de datos
       • pcs escritorio y portátiles
         • Servidores
           • Almacenamiento en red
     • Adquisición de datos
       • Planificación - fuentes de información se extrae información
         • Adquisición de datos - Uso de herramientas forenses para copiar datos volátiles
           • Verificación de integridad de datos recolectados Información mantiene integridad y no ha sido modificada.
   • 3. Examinación y recolección de información - Técnicas aplicadas a los datos
     • Creación del archivo - Bitácora de hallazgos Creación y aseguramiento de documentos
     • Imagen de datos Utilizar herramientas de extracción de imágenes
     • Creación de una copia de la imagen suministrada No trabajar sobre imagen original
     • Aseguramiento de la imagen original suministrada imagen suministrada no sufra alteraciones
     • Revisión antivirus y verificación de la integridad de la copia de la imagen Asegurar que la imagen no tenga virus
     • Identificación de las particiones Identificar particiones actuales y anteriores
     • Detención de información en los espacios entre particiones Realizar análisis y determinar si es algún tipo de información
     • Identificación del sistema de archivos Por cada partición identificar el sistema de archivo
     • Recuperación de los archivos borrados Recuperar archivos borrados del sistema de archivos
     • Recuperación de información escondida Examinar el slack, campos reservados en el sistema de archivos
     • Identificación de archivos existentes Clasificación de archivos protegidos y no protegidos
     • Identificación de archivos protegidos Descifrar la protección en estos para adicionarlos a archivos analizables
     • Consolidación de archivos potencialmente analizables Consolidación de archivos encontrados en las anteriores fases
     • Determinación del sistema operativo y las aplicaciones instaladas obtener la lista de compendios criptográficos de los archivos típicos del sistema operativo y de las aplicaciones
     • Identificación de información de tráfico de red Verificación de información registrada en dispositivos de red
     • Depuración de archivos buenos conocidos Descartar información relevante
     • Consolidación de archivos sospechosos Resultado del filtado de los archivos buenos conocidos
     • Primera clasificación de archivos División de archivos sospechosos en : Buenos modificados; Malos: Con extensión modificada
     • Segunda clasificación de archivos Toma archivos no considerados de máxima prioridad
   • 4. Análisis de datos - Análisis de información prioritaria
     • Análizar la información que se logró extraer de las diferentes fuentes
       • Análisis de la información prioritaria Descriminación de archivos prioritarios respecto a su relevancia
         • Generación listado archivos comprometidos Conjunto de archivos que forman parte de la evidencia del caso
           • Obtención de la línea de tiempo de la evidencia Reconstrucción de hechos a partir de atributos de tiempo como fecha - Modificación- Acceso- Creación
             • Generación informe final Descripción detallada de los hallazgos del caso
   • 5. Reporte - Resultados de análisis
     • Presentar información y evidencia obtenida en la fase análisis
       • aspectos relevantes
         • Resultados de análisis
         • Descripción del uso de herramientas
         • Audiencia a quien va dirigido el informe
         • Acciones a tomar
         • Conclusión definitiva
         • Recomendaciones