Informatica Forence

Informatica Forence

1. Identificacion

   • En esta etapa son necesarias realizar las siguientes preguntas:¿Qué información se necesita? ¿Cómo  aprovechar la información presentada?  ¿En qué   orden ubico la información?  ¿Acciones necesarias a seguir para el análisis forense? 
   • Levantamiento de la informacion
     • Descripción del Delito Informático • Fecha del incidente • Duración del incidente • Detalles  del incidente   Información General• Área• Nombre  de la dependencia• Responsable del sistema afectado• Nombres y Apellidos• Cargo• E-mailInformación Sobre El Equipo Afectado• Dirección IP• Nombre del equipo• Marca y modelo• Capacidad de la RAM• Capacidad del disco duro• Modelo del procesador• Sistema  operativo (nombre y versión)• Función del equipo• Tipo de  información procesada por el equipo• Toda la  información del incidente, la evidencia digital, copias o imágenes de la escena del crimen.  
     • Asegurar la Evidencia
       • Se deben  contar  con todos los recursos que  aseguren  el proceso de la investigación,  de acuerdo a esto el personal debe ser idóneo y debe contar con las herramientas necesarias, ademas todo el personal debe conocer al detalle los protocolos y  metodologia exigida para este tipo de investigación.   
     • Levantamiento de información inicial
       •    Consiste en la identificación de la evidencia presentada    en nuestra escena  y es la misma que sustentara todo el proceso  investigativo  la evidencia se clasificara  según: • Tipo de dispositivo,  dependiedo del  sistema o componente  del  sistema donde se encuentre la en operación:  - Sistemas informáticos - Redes - Redes Inalámbricas - Dispositivos móviles - Sistemas embebidos - Otros dispositivos • Modo de almacenamiento A las evidencias también se las clasifica según el medio de  almacenamiento.   Como pueden ser: Volátiles:  son todas las  que  teminan una vez termina la operación  del sistema o equipo donde este,   ejemplo: Apagar el equipo, archivos cerrado sin gravar, horario del  sistema y desfase de horario, contenido de la memoria, procesos en  ejecución, programas en ejecución, usuarios  conectados, configuración de  red,  conexiones activas, puertos abiertos, etc. - No volátiles: medios físicos de almacenamiento como memorias flash,  CD,   discos duros.   

2. Validacion y Preservacion

   •    Esta fase corresponde       documentar  y etiquetar todas las evidencias  recolectadas,  se requiere  conservar y aseguarar de forma segura     todas  las evidencias del crimen   
   • Copiar la evidencia
     •    Esta fase corresponde   documentar  y etiquetar todas las evidencias recolectadas,  se requiere  conservar y aseguarar de forma segura  todas  las evidencias del crimen. Copia de la evidencia, lo primero que se debe realizar es realizar mas  de una imagen de la evidencia a fin de no realizar pruebas sobre la evidencia  original. Como segunda medida se debe aplicar funciones de seguridad hash  (MD5  O SHA1)  a    fin de garantizar la integridad   de la evidencia.  Toda esta  informacion debe incluirse en cada copia de las imágenes generadas deben incluir  los siguientes datos:  fecha y hora de creación de la  copia, nombre cada copia,  a fin que que no se confunda con el dispositivo  que contiene la informacion original.    
   • Cadena de Custodia
     •    Es un procedimiento que   establece las responsabilidades y controles de cada una de los intervinientes  que manejen la evidencia. Para esto se elabora un documento que permita el registro de los datos  personales Se debe preparar un documento en el que se registren los datos personales de todos los individuos que intervengan la copia de la evidencia.  El documento debe contener la siguiente  información:  - Dónde, cuándo y quién examinó la evidencia, incluyendo su nombre, su  argo, un número de identificación, fechas y  horas, etc.  - Quién estuvo custodiando la evidencia, durante cuanto tiempo y dónde  se almacenó. - Cuando se cambie la custodia de la evidencia también se deberá  documentar cuándo y como se produjo la  transferencia y quién la  transportó.   

3. Analisis de la Evidencia

   •    El objetivo de esta fase consiste en  reconstruir  con los datos  disponibles una línea  temporal del ataque,  determinando los  posibles eventos  que tuvieron lugar  desde el inicio del ataque hasta el momento del suceso del ataque.  El resultado de esta fase es identificar como  se produjo el ataque,  responsable de la  ejecucion de la acción,  objetivo del  ataque, daños causados.  Este analsisis se realiza sobre las maquinas y sistemas operativos donde se instalaron las  copias de las imágenes a examinar.   
   • Preparacion del Analisis
     • Se deben considerar los siguientes puntos:    Acondicionar  con las herramientas tecnológicas el entorno  de trabajo   Intervenir las  las imágenes de la copias de la evidencia,  en este sentido es neceario dejar claro que  imágenes a recrear   son   las del sistema investigado Se recomienda disponer  mas de una estación  de trabajo,    para montar las copias de las imágenes.    Instalar un sistema operativo que actuará de anfitrión y que servirá para  realizar el  estudio de las evidencias. En este mismo computador y sobre un  segundo disco duro, instalar las imágenes manteniendo la estructura de  particiones y del sistema de archivos tal y como estaban en el equipo  atacado.En otro equipo instalar un sistema operativo configurado exactamente igual  que el equipo atacado, además mantener nuevamente la misma estructura  de particiones y ficheros en sus discos  duros. La idea es utilizar este  segundo ordenador como “conejillo de Indias” y realizar sobre él pruebas y  verificaciones conforme se vayan surgiendo  hipótesis sobre el ataque. 
   • Reconstrucion del ataque
     • Ya  recreadas las imagnes del  sistema intervenido  en un  computador  independiente con sistema anfitrión,  se procede   a realizar las siguientes actividades: • Crear una línea temporal de eventos, para  ello se deben recopilar  los siguientes  archivos: - Marcas de tiempo MACD (fecha y hora) - Permisos de acceso. - Si fue borrado o no. - Tamaño en bytes y tipo de fichero. - Usuarios y grupos a quien pertenece. La generalidad es realizar las siguientes búsquedas: - Archivos del sistema modificados    tras la instalación del sistema operativo. - Econtrar  la ubicación de los  archivos ocultos, ademas saber que tipos son - identificar   archivos eliminados  o fragmentos,   pueden ser archivos de log  de registros borrados   
   • Determinacion del ataque
     •    Ya identificada los eventos sucedidos en las etapas anteriores,  se debe identificar cual fue la    vulenerabilidad que permito la entrada al sistema, ademas de es necesario saber  que herramientas o medios utilizo para penetrar la seguridad del  sistema.  Para llegar a este punto el investigador utiliza una metodologia de análisis a los archivos, registros, claves de  acceso, cuentas de su usuarios  y  privilegios.    
   • Perfil e identificacion del atacante
     • Lograr  la identificación del atacante   es  muy  importante,  para lo cual se deben revisar todas las evidencias  volátiles que se hallan obtenido,  ademas  de revisar  las conexiones y puertos abiertos  y que direcciones  IP  solicitaron servicios.   Si  se  requiere para  investigaciones o acciones legales o  investigaciones internas,  se deberá:  1.   Intentar  identificar averiguar la dirección IP del atacante, para lo cual se verificar  con detalle los record  de conexiones de  red y   procesos y servicios  disponibles que se encontraban disponibles a  la  escucha.   También es necesario identificar en los  archivos temporales y borrados.    2.   Antes  de identificar las IP posible  comprometida, es necesario identificar que una  de las estrategias de los atacantes es la falsificación de IP con técnicas  spoofing14. También infectan equipos tipo malware, tipo zombis, sin que los propietarios conozcan  que van hacer utilizados para realizar un ataque.   De acuerdo a lo anterior es necesario  verificar y validar la IP antes de generar un juicio. 3.     Otra  forma es utilizar procedimientos Ethical Hacking, nmap,   de esta manera se podría identificar al   atacante,   de esta manera  podría revisar si el  atacante dejo alguna puerto o puerta trasera  que permita identificar el atacante. Perfil del atacante El atacante puede estar clasificado en los siguientes tipos:  Hackers,  SciptKiddies y Profesionales     
   • Documentacion y prestancion de pruebas
     • Es de  gran relevancia documentar todas las actividades que ser realicen,  paso a paso,   el documento debe contener fecha y   hora descubrimiento de los incidentes hasta que finaliza todo el análisis  forence,  lo anterior con el animo de  reducir el margen de error al gestionar la incidencia. Es  necesario contar con formularios para el registro de incidentes,  de esta manera se tiene informando todo el tiempo a los administradores de los equipos, ademas de servir para la genearcion de los informes técnicos y ejecutivos.   
   • Evalucion del impacto causado
     • En  esta etapa se evalua el impacto del daño  causado, identificando que equipos o  informacion sufrieron daños. Del impacto se puede concluir que existen ataques  pasivos,  los cuales no sufre daños ni la  informacion ni la operación funcional del sistema,  solo   conducen a que el atacante tomo informacion pero no hizo daño o alteración.  En el ataque activo, si se ve comprometida la integridad de la informacion o también puede darce el caso que la  disponibilidad del sistema se vea afectada por el ataque a la infraestructura  de seguridad como router, firewall lo que hace que los sistemas queden  vulenerabales o  la paralisis de la ejecucion del sistema.   

4. Informe

   • Tecnico
     •    Documento  que contiene la exposición al detalle de   la etapa del  análisis realizado a  la evidencia investigada,  el  informe  expone la  metodología, técnicas y hallazgos  implementadas  por el grupo  investigador  forense.   
   • Ejecutivo
     •    Detalla a manera de resumen el análisis realizando   un planteamiento no técnico,  en  un lenguaje que una personal con grado académico medio, pueda entender,  de esta manera narra los hechos mas importantes  ocurridos en el sistema estudiado.  Este documento esta dirigido  a un tipo de publico no técnico.   

5. Delitos Informaticos

6. Ley 529 de 1999