Fase Identificación

La fase de identificación se refiere a la recopilación de información necesaria para trabajar sobre la fuente de datos presentada por el administrador de los servidores (solicitud forense). Aquí se pregunta:

• ¿Qué información se necesita?
• ¿Cómo aprovechar la información presentada?
• ¿En qué orden ubico la información?
• ¿Acciones necesarias a seguir para el análisis forense

La identificación debe prever los desafíos que se pasaran durante los procesos de

las fases de preservación y extracción. Esta fase culmina con un Plan a seguir.

Etapa 1: Levantamiento de información inicial para el Análisis Forense

La solicitud forense es un documento donde el administrador del equipo afectado

notifica de la ejecución de un incidente y para ello solicita al equipo de seguridad

la revisión del mismo, donde incluye toda la información necesaria para dar inicio

al proceso de análisis. La información incluida en el documento debe ser la

siguiente:

• Descripción Del Delito Informático
• Fecha del incidente
• Duración del incidente
• Detalles del incidente
• Información General
• Área
• Nombre de la dependencia
• Responsable del sistema afectado
• Nombres y Apellidos
• Cargo
• E-mail
• Teléfono
• Extensión
• Celular
• Fax

Información Sobre El Equipo Afectado

• Dirección IP
• Nombre del equipo
• Marca y modelo
• Capacidad de la RAM
• Capacidad del disco duro
• Modelo del procesador
• Sistema operativo (nombre y versión)
• Función del equipo
• Tipo de información procesada por el equipo
• Toda la información del incidente, la evidencia digital, copias o imágenes de la escena del crimen.

Reconocer un incidente mediante indicadores y determinar su tipo. Esto no esta

incluido dentro del análisis forense, pero es significativo en los siguientes pasos.

Esta fase esta dividida en dos procesos iníciales que son:

Etapa 2: Asegurar la escena

Para asegurar que tanto los procesos como las herramientas a utilizar sean las más idóneas se debe contar con un personal idóneo a quien se le pueda asignar la conducción del proceso forense, para ello el equipo de seguridad debe estar capacitado y entender a fondo la metodología. 

Identificar las evidencias

El siguiente paso y muy importante es la identificación de la evidencia presentada en nuestra escena del “crimen”, la misma que estará sujeta a todos los procesos necesarios para la presentación de resultados finales, la evidencia se clasificara según:Tipo de dispositivo

A las evidencias también se las puede clasificar según el tipo de dispositivo donde

se encuentran:

- Sistemas informáticos

- Redes

- Redes Inalámbricas

- Dispositivos móviles

- Sistemas embebidos

- Otros dispositivos

• Modo de almacenamiento

A las evidencias también se las clasifica según el medio de almacenamiento.

- Volátiles: Aquellas que se perderán al apagar el equipo como la hora del sistema y desfase de horario, contenido de la memoria, procesos en ejecución, programas en ejecución, usuarios conectados, configuración de red, conexiones activas, puertos abiertos, etc.

- No volátiles: medios físicos de almacenamiento como memorias flash, CD, discos duros. El primer proceso del análisis forense comprende la identificación, búsqueda y recopilación de evidencias, se debe identificar qué cosas pueden ser evidencias, dónde y cómo están almacenadas, qué sistema operativo se está utilizando. A

Más Info

Fases de la Informática Forense

Considerando la fragilidad del insumo con el cual trabajan los especialistas en informática forense, es preciso extremar las medidas de seguridad y control que éstos deben tener a la hora de adelantar sus labores, pues cualquier imprecisión en las mismas puede llevar a comprometer el proceso bien sea legal u organizacional [wilson 2003, taylor, r., caeti, t., kall loper, d., fritsch, e y liederbach, j. 2006]. En este sentido, se detalla de manera básica algunos elementos que deben ser considerados para mantener la idoneidad del procedimiento forense adelantado:

Los procedimientos llevados a cabo se dividen en las siguientes etapas:

Identificación
Estando en el lugar de la escena donde se realizó el ataque informático se debe rotular con sus respectivas características físicas el elemento que va ser objeto del análisis forense, para preservar el elemento que puede ser desde un disquette o un disco rígido de un computador hasta un conjunto de discos de un servidor, un juego de cintas, o varias computadoras de una organización.

Validación y preservación de los datos adquiridos

Con el elemento identificado se procede a realizar una imagen exacta del contenido de la evidencia asignando un código único correspondiente a una combinación única de bytes que constituye la totalidad del medio en observación.
Este código de validación ha de ser lo suficientemente complejo como para evitar vulneraciones en la información rescatada e impedir que cualquier auditor pueda por su cuenta verificar la autenticidad de la imagen tomada, es decir, crear un código que solamente personal calificado y legalmente autorizado pueda manipular para proteger el elemento a ser analizado; esto con el fin de establecer
una cadena de custodia consistente. Desde este momento ya se pueden efectuar copias exactamente iguales de la imagen a los efectos de que diferentes actores puedan conservar una copia de seguridad.

Análisis y descubrimiento de evidencia
Se procede a realizar una colección de pruebas en el laboratorio sobre la copia validada. Es posible analizar y buscar información a muchos niveles.

El punto de partida del análisis comienza al detectar una tipo de ataque informático o la sospecha de manipulación no autorizada de información. Una actividad ilícita reportada puede ser el borrado la información que puede comprometer a una persona o información que pudo haber sido ocultada o
almacenada en medios no convencionales como disquetes, cd rom, dvd rom, flash drive. El análisis forense está orientado por un caso en particular y aquí es necesaria la información que provee quien solicita la investigación forense.
En el análisis forense se pueden buscar: archivos borrados, archivos creados, accedidos o modificados dentro de determinado rango de fechas, tipos de archivos con un formato particular que hayan sido alterados, por ejemplo archivos de un sistema de contabilidad renombrados como archivos de un procesador de texto, imágenes, mensajes de correo electrónico, actividad desarrollada en internet, a diferentes niveles palabras claves tales como un número telefónico, el nombre de una ciudad o una empresa, etc.  En base a este análisis se determina un patrón de comportamiento del usuario en cuanto a la creación, modificación y borrado de mensajes, actividad de correo
electrónico, etc.

Informe
Se presenta un informe escrito en un lenguaje a la vez técnico y claro y un Cd donde se hace accesible al usuario no especializado de una forma ordenada la evidencia recuperada y su  interpretación. Aunque a menudo se subestima la importancia de los pasos 1 y 2 y se considera
el paso 3 el específico de la informática forense, hay que tener en cuenta que la evidencia informática es por definición frágil y puede ser alterada haciendo que la misma pierda su validez frente a un tribunal.

Más Info

Ley 1273 de 2009 Protección de la Información y de los Datos en Colombia

En Colombia existe la ley 1273 con la cual se modifico el código penal y se incluyo en lo relacionado al delito informático, para tener un mejor conocimiento de la ley esta se muestra exacta tal y como se rige:

Por medio de la cual se modifica el Código Penal, se crea un nuevo bien jurídico tutelado -  denominado “de la protección de la información y de los datos” - y se preservan integralmente los sistemas que utilicen las tecnologías de la información y las comunicaciones, entre otras  disposiciones.

Más Info

Tipos de delito Informático

Desde los albores de la humanidad, el hombre ha ido creando una larga serie de normas tendientes a regular la convivencia en sociedad para defenderse de quienes intentan burlar la ley, el derecho, a través de sus operadores en los diferentes campos, fue delineando diferentes soluciones y así surgieron, entre otras, la figura de las presunciones, aquellas que no admiten prueba en contrario,
etc. Tales soluciones han producido excelentes resultados en áreas como las del Derecho Civil, Comercial o Laboral; pero son de imposible aplicación en el  Derecho Penal dado que, según lo establecen los modernos ordenamientos jurídicos, lo que no está prohibido está permitido impidiendo a la misma ley, de este modo, recurrir a la analogía, a la presunción de derecho o al fraude a la ley.3
Tradicionalmente se ha caracterizado al delito informático como aquél que está íntimamente ligado no sólo a la informática sino también a los bienes jurídicos relacionados con las tecnologías de la información: datos, programas, documentos electrónicos, dinero electrónico, información.

A continuación se presentan las más modernas conductas delictivas que son
entendidas como delitos informáticos.

Hacking
Se denomina “hacking” en la jerga informática a la conducta de entrar a un  sistema de información sin autorización, es decir violando las barreras de  protección establecidas a tal fin. El sujeto que realiza esta actividad es llamado  hackers, muy rara vez se conoce su nombre verdadero y en mucho casos actúa y firma en grupo. La actividad de hackear un sistema puede tener diferentes finalidades y alcances. Así, en la mayoría de los casos el romper el sistema o eliminar los pasos de seguridad de un sistema tiene por objeto ver, fisgonear el contenido y la información protegida o extraer copias de la información o destruirla.


Cracking
Cambiar los contenidos de la información que tienen por objeto destruir el sistema, a esto se llama cracking y a los sujetos que lo realizan se los identifica como crackers. Esta es una expresión idiomática que se puede traducir como quebrar, es decir vencer las barreras de seguridad y romper lo que hay detrás de ellas.

En cualquiera de ambos casos, lo que caracteriza las andanzas de los sujetos es su entrada ilegal al sistema, entendiendo el concepto de entrada ilegal como la entrada de toda aquella persona que no tiene los password o no los ha conseguido por los caminos normales.

Phreaking
La actividad de phreaking es, sin duda, la más común de todas las llamadas actividades ilícitas informáticas, es la actividad de obtener ventajas de las líneas telefónicas a los efectos de no pagar los costos de comunicación. Es decir que básicamente se trata de encontrar el medio para evitar pagar por el uso de la red telefónica ya sea ésta pública o privada, digital o inalámbrica.

Carding
Se llama carding a la actividad de cometer un fraude o una estafa con un número de tarjeta de crédito, tarjetas telefónicas caseras que tienen la capacidad de recargarse, puede verse www.islatortuga.com

Este concepto que parece simple tiene sus dificultades. Primero no todo fraude con tarjeta de crédito se transforma en carding, así si se roba o se encuentra una tarjeta y es utilizada por otra persona que no es su titular, ello no es carding es solo un fraude. El carding consiste entonces en usar un número de tarjeta de crédito ya sea real o creado de la nada mediante procedimientos digitales para
realizar compras a distancia por Internet y efectuar pagos.

Más Info

¿Qué es delito Informático?

Para comprender porque la informática forense ha adquirido importancia en la actualidad debemos comprender donde se origina el delito.

Definición de Delito Informático
“Delincuencia informática es todo Acto o conducta ilícita e ilegal que pueda ser considerada como Criminal, dirigida a alterar, socavar, destruir, o manipular, cualquier sistema informático o alguna de sus partes componentes, que tenga Como finalidad causar una lesión o poner en peligro un bien  jurídico Cualquiera” Los delitos informáticos son “toda conducta que revista características  delictivas, es decir, sea típica, antijurídica y culpable, y atente contra el soporte lógico de un sistema de procesamiento de información, sea sobre programas o datos relevantes, a través del empleo de las tecnologías de la información, y el cual se distingue de los delitos computacionales o tradicionales informatizados”.

Clasificaciones del delito informático

Los delitos informáticos se pueden clasificar en los siguientes grupos de delitos

Fraudes cometidos mediante manipulación de computadores: Entre estos se encuentran la  manipulación de datos de entrada y salida y la manipulación de programas. En cada caso, lo que se trata es de colocar datos falsos en un sistema u obtener los datos del sistema en forma ilegal.

Falsificaciones Informáticas: En este punto se trata de usar los computadores como elemento para falsificar entradas, dinero, tickets o cuentas bancarias.

Daños a Datos Computarizados: Aquí se ubican los virus, las bombas lógicas, los gusanos, accesos no autorizados, etc. Se trata, en general, de programas o acciones que de una u otra forma dañan la información de un sistema determinado.

Más Info

¿Qué es la Informática Forense?

La Informática forense es una nueva disciplina dedicada a la recolección de pruebas digitales desde una maquina computacional para fines judiciales mediante la aplicación de técnicas de análisis y de investigación. La aparición de la informática forense como una disciplina se remonta a 1989 con la creación de la primera "ciencia de la computación forense" en la Ley Federal de los EE.UU.

El tipo de pruebas digitales obtenidas a partir de un examen forense que se realizar a una máquina computacional puede ser útil en una amplia gama de investigaciones judiciales como por ejemplo:

• Litigios civiles en los casos de divorcio y el acoso.
• Evidencia de malversación de fondos, fraude o robo sobre propiedad intelectual.
• Pruebas en la discriminación por edad, sexo, raza o por despido injustificado
• Investigaciones de compañías de seguros cuando se exijan pruebas relativas al seguro
• Fraude, homicidio culposo
• Casos relacionados con seguros y reclamaciones
• se utiliza en la recuperación de información que haya sido borrada, cifrada o dañado.

Es la aplicación de técnicas científicas y analíticas especializadas a infraestructura tecnológica que permiten identificar, preservar, analizar y presentar datos que sean válidos dentro de un proceso legal.

Dichas técnicas incluyen reconstruir el bien informático, examinar datos residuales, autenticar datos y explicar las características técnicas del uso aplicado a los datos y bienes informáticos.

Como la definición anterior lo indica, esta disciplina hace uso no solo de tecnologías de punta para poder mantener la integridad de los datos y del procesamiento de los mismos; sino que también requiere de una especialización y conocimientos avanzados en materia de informática y sistemas para poder detectar dentro de cualquier dispositivo electrónico lo que ha sucedido. El conocimiento del informático forense abarca el conocimiento no solamente del software si no también de hardware, redes, seguridad, hacking, cracking, recuperación de información.

La informática forense ayuda a detectar pistas sobre ataques informáticos, robo de información, conversaciones o pistas de emails, chats.
La importancia de éstos y el poder mantener su integridad se basa en que la evidencia digital o electrónica es sumamente frágil. El simple hecho de darle doble clic a un archivo modificaría la última fecha de acceso del mismo.

Adicionalmente, un examinador forense digital, dentro del proceso del cómputo forense puede llegar a recuperar información que haya sido borrada desde el sistema operativo.

Es muy importante mencionar que la informática forense o cómputo forense no tiene parte preventiva, es decir, la informática forense no se encarga de prevenir delitos, para ello que encarga la seguridad informática, es importante tener claro el marco de actuación entre la informática forense, la seguridad informática y la auditoría informática.

Más Info