INFORMATICA FORENSE

INFORMATICA FORENSE

1. según la FBI, es la ciencia de adquirir, preservar, obtener y presentar datos que han sido procesados electrónicamente y guardados en un medio computacional

   • 1._ compensación de los daños causados por los criminales o intrusos
     • 2._ persecución y procesamiento judicial de los criminales
       • 3._ creación y aplicación de medidas para prevenir casos similares

2. INVESTIGACION TECNOLOGICA

   • Herramientas como software que automatizan y aceleran el análisis computacional

3. EVIDENCIA DIGITAL

   • PRINCIPIOS
     • 1. Consistencia con todos los sistemas legales. 2. Permitir el uso de un leguaje común. 3. Durabilidad. 4. Capacidad de cruzar límites internacionales. 5. Capacidad de ofrecer confianza en la integridad de la evidencia. 6. Aplicabilidad a toda la evidencia forense.
   • MANEJO Y RECOLECCION
     • 1._las acciones tomadas no deben cambiar por ningún motivo esta evidencia
       • 2._ para tener acceso a evidencia original esa persona debe ser un profesional forense
         • 3._ toda la actividad referente a recolección, el acceso, almacenamiento o la transferencia de la evidencia digital, debe ser documentada completamente, preservada y disponible para revisión
           • 4._ Un individuo es responsable de todas las acciones tomadas con respecto a la evidencia digital mientras que ésta esté en su posesión.
             • 5._ Cualquier agencia que sea responsable de recolectar, tener acceso, almacenar o transferir evidencia digital es responsable de cumplir con estos principios.

4. ANALISIS DE DISCOS

   • 1._ FILE SLACK: El file slack, potencialmente contiene octetos de datos aleatoriamente seleccionados de la memoria del computador. Esto sucede porque DOS/Windows escribe normalmente en bloques de 512 bytes llamados sectores.
   • 2._SWAP DE WINDOWS: archivo especial como un "cuaderno de apuntes" para escribir datos cuando se necesita memoria de acceso aleatorio adicional. En Windows 95/98/ME/XP, a estos archivos se les conoce como Archivos Swap de Windows. En Windows NT/2000 se conocen como directorios de página de Windows pero tiene esencialmente las mismas características que los de Win9x.
   • 3._ UNALLOCATEDFILE SPACE: A menos que se utilice algún software especial que ofrezca un alto grado de seguridad en el proceso de eliminación, los datos "borrados", permanecen en un área llamada espacio de almacenamiento no-asignado (Unallocated File Space).

5. CUIDADOS EN LA RECOLECCION DE EVIDENCIA

   • 1._ Se debe proteger los equipos del daño. 2._ Se debe proteger la información contenida dentro de los sistemas de almacenamiento de información (muchas veces, estos pueden ser alterados fácilmente por causas ambientales, o por un simple campo magnético). 3._Algunas veces, será imposible reconstruir la evidencia (o el equipo que la contiene), si no se tiene cuidado de recolectar todas las piezas que se necesiten.
   • Herramientas para la recolección de evidencia
     • 1. La gran cantidad de datos que pueden estar almacenados en un computador. 2. La variedad de formatos de archivos, los cuales pueden variar enormemente, aún dentro del contexto de un mismo sistema operativo. 3. La necesidad de recopilar la información de una manera exacta, y que permita verificar que la copia es exacta. 4. Limitaciones de tiempo para analizar toda la información. 5. Facilidad para borrar archivos de computadores. 6. Mecanismos de encripción, o de contraseñas.

6. DIFICULTADES DEL INVESTIGADOR FORENSE

   • 1._ Carencia de software especializado para buscar la información en varios computadores.
     • 2._ Posible daño de los datos visibles o escondidos, aún sin darse cuenta.
       • 3._ Será difícil encontrar toda la información valiosa.
         • 4._ Es difícil adquirir la categoría de 'experto' para que el testimonio personal sea válido ante una corte.
           • 5._ Los errores cometidos pueden costar caro para la persona o la organización que representa.
             • 6. Dificultad al conseguir el software y hardware para guardar, preservar y presentar los datos como evidencia.
               • 7. Falta de experiencia para mostrar, reportar y documentar un incidente computacional.
                 • 8. Dificultad para conducir la investigación de manera objetiva.
                   • 9. Dificultad para hacer correctamente una entrevista con las personas involucradas.
                     • 10.Reglamentación que puede causar problemas legales a la persona.

7. KEYLOGGER

   • Es una herramienta que puede ser útil cuando se quiere comprobar actividad sospechosa; guarda los eventos generados por el teclado, por ejemplo, cuando el usuario teclea la tecla de 'retroceder', esto es guardado en un archivo o enviado por e-mail.
     • Existen dos versiones: la registrada y la de demostración. La principal diferencia es que en la versión registrada se permite correr el programa en modo escondido. Esto significa que el usuario de la máquina no notará que sus acciones están siendo registradas.
     • En el apéndice B se puede observar un ejemplo de un log generado por este programa.