Bueno y habiendo terminado ya el tema de controles de acceso pasamos a temas más de recuperación y de
continuar el negocio Verdon y por supuesto empezamos con lo más básico que son los controles administrativos
como tal.
Y bueno tenemos controles administrativos sobre el personal en este caso por ejemplo que no requieren
una inversión en equipo.
Por ejemplo tenemos el tema de la Privilege y ni tú no puedes hacer una matriz de qué necesitas saber
el empleado que necesita saber qué permisos tiene algo que no necesariamente incluye compra de equipo
o compra de software.
Posiblemente lo único que necesitamos es darle un orden e implementar lo que ya tenemos puesto en producción
verdad pero tenemos otros temas un poco más administrativos o controles de acceso un poco más administrativos
o controles de acceso controles más administrativos por ejemplo la separación de tareas.
Qué significa esto.
Que si yo tengo un administrador de sistemas o un administrador de bases de datos que él no pueda hacer
absolutamente todo o que uno tenga todos los permisos sobre estos sistemas.
Por ejemplo un administrador de bases de datos no podría tener permiso a eliminación del logs por ejemplo
o un administrador de sistemas si o si va a utilizar algún administrador de dominio o alguna cuenta
de administrador de dominio que esa cuenta tenga doble doble monitoreo o que realmente cuando vaya a
utilizarla se ponga a revisión otra persona esté presente.
La cosa es separar las tareas o las cosas que puedan hacer verdad.
Bajo esta perspectiva tenemos un tema que incluye mucha madurez dentro de una empresa y que es la rotación
de trabajo.
Ojo que esto no significa despedir a las personas sino que por ejemplo una vez cada seis meses alguien
va a hacer tu trabajo durante una semana.
Esto lo hacen más que todo para prevenir temas de fraude o de corrupción verdad es decir si yo voy a
hacer el trabajo de contabilidad por una semana voy a poder ver si tal vez están desviando fondos y
tal vez se está haciendo algo un poco malicioso.
Me enfrenté a la compañía verdad.
Luego tenemos las vacaciones obligatorias que muchas veces esto da risa porque hay personas que nunca
toman vacaciones y no es porque no quieran sino porque el negocio así no lo permite.
Pero sí hay vacaciones obligatorias es decir yo te mando a vacaciones una vez al año o por lo menos
una vez cada dos años.
Por qué entonces ese puesto que tú dejas vacante yo lo voy a tener que llenar con alguien más temporalmente
obviamente.
Y entonces esta otra persona puede darse cuenta de si se está haciendo alguna algún acto de corrupción
etcétera etcétera.
Obviamente tenemos los enviéis como se hacen los Non Disclosure Agreement o los acuerdos de confidencialidad
que tienen que firmar los empleados de verdad donde se les dice que no pueden compartir información
que no pueden optimizar sus habilidades para hacer daño etcétera etcétera.
Y por supuesto este es un background checks ver el récord policiaco ver si tiene arrestos ver si tiene
problemas con la ley.
Todo esto antes de la contratación y son cosas que otra vez no necesariamente implican muchos recursos
o la compra de equipos sino que son controles básicos que podríamos empezar a implementar para para
hacer un sistema más resistente.
Luego tenemos ya temas un poco más avanzados como análisis forenses sobre sobre la data verdad que no
necesariamente implica que hubo un incidente o que hubo un problema se pueden hacer análisis forense
rutinarios de verdad sobre qué se eliminó por ejemplo muchos usuarios pueden venir y eliminar algo lo
que habíamos hablado de ese paraíso o Duris o la separación de roles.
Si un usuario tiene completa administración sobre un sistema podría hacer alguna transacción perdón
transacción transacción maliciosa y eliminarla después.
Entonces para esto podríamos tener un análisis forense recuerda que cuando se elimina alguna información
posiblemente se eliminó el puntero más no la información en sí como tal verdad.
Entonces podríamos utilizar herramientas para análisis forense por ejemplo bloqueadores de escritura
para preservar la integridad de la que se podría convertir en una prueba.
No podríamos utilizar por ejemplo un software como FTA Open Text etcétera etcétera para darle un poco
más de poder a la reportería o a lo que podríamos hacer con un disco duro y bloqueado sobre escritura
verdad.
Y bueno tenemos ahí por ejemplo.
4.
Yo quiero decir cuatro tipos básicos de análisis forense sobre la data o sobre un disco duro pero hay
muchos más pero digamos que serían los cuatro tipos más básicos que podríamos hacer ni siquiera los
más conocidos sino los más básicos.
Primero el famoso al querer Espais que lo que significa esto que significa este tipo de análisis es
que porciones o particiones del disco son marcadas para que lo que contienen data verdad.
Otras porciones que no contienen data pues no son marcadores podríamos utilizarlo también podríamos
utilizar el Onavo querer Espais cuando hablamos de los rootkits o de los Advanced Persistent Threats
que hay algunos que reportan espacios del disco como dañados para que el antivirus para el sistema operativo
no vaya a esos espacio podríamos utilizar estas herramientas.
Otra vez FTA o Pentax etc etc..
Para ir a esos espacios que están marcados como dañados o simplemente no se están utilizando para ver
si hay algo de información por ahí verdad lo tenemos por supuesto la memoria dinámica en este caso la
memoria RAM para ver si podíamos encontrar algo incluso en la memoria caché para ver si podríamos encontrar
algo información ahí que nos pueda permitir llegar al fondo del asunto.
Y luego tenemos los Kloster o los dispositivos que almacenan datos en la red como tal podríamos tener
Sánz por ejemplo Storage Networks clusters raids etc etc etc y podríamos hacer un análisis forense también
sobre eso.
Ojo que un análisis forense debe ser debe ser hecho por un profesional entrenado no sólo en las técnicas
y en los procesos que hay que seguir sino en las herramientas que se va a utilizar.
Luego tenemos por último el Discovery electronic discovery que es una especie de análisis forense.
No quiero decir que es un análisis forense como tal pero es una especie de análisis forense donde hay
muchas herramientas que prometen encontrar evidencias o archivos o algo que nos pueda dar más información
sobre lo que pasó por el internet o por incluso de algunos que dicen utilizar socio Miria o los medios
de fue sumiría como tal para poder encontrar evidencias por ejemplo de repente el usuario publicó algo
de la información confidencial que se perdió etc etc etc entonces el Discovery podríamos utilizarlo
también como parte de un análisis forense que como les digo puede ser no necesariamente un análisis
forense como tal cuando utilizamos Undiscovery pero sí que puede apalancar toda la información.
Por ejemplo si con FTA o Pentax nosotros averiguamos que se estaban robando información o información
confidencial por medio de archivos txt de repente podríamos utilizar un corri para ver si algún usuario
realmente puso esto en alguna red social y también podríamos ir incluso con algunas herramientas de
discovery a la Deep Web por ejemplo un escenario donde se hayan robado números de tarjeta de crédito
de alguna base de datos de algún banco.
Podríamos utilizar un Discovery para para poder ir a la deep web y ver si si encontramos algo algo a
la venta de repente un lote de tarjetas de crédito etc etc etc etc..
Todo esto es lo que hemos hablado de análisis forense y de cualquier análisis no sirve de absolutamente
nada para presentar ya sea en corte o presentar a junta directiva o presentar como evidencia como tal
sino una cadena de custodia que es una cadena de custodia es un archivo puede ser digital o puede ser
físico donde se lleva el registro de todas las actividades que se realizó sobre una prueba o sobre una
evidencia.
Por ejemplo nos decían Bueno aquí está un disco duro del usuario que hizo alguna malversación de fondos
o desvió fondos para su cuenta por ejemplo.
Y aquí está el disco duro de su computadora.
Entonces podría una cadena de custodia.
Paso número uno agarré un bloqueador de escritura y saqué una copia bit a bit del disco duro.
Paso número 12 lo entregué al análisis a la analista forense con nombre tal día a tal fecha tal y aquí
está la firma.
Paso 3.
El analista forense hizo una revisión por medio de un Pentax para ver encontrar archivos en el disco
duro encontrar qué se hizo o que contienen la memoria RAM que contiene el buscador que si se conectaron
o no etcétera etcétera.
Paso número 4 se creó el reporte paso número 5 se devolvió el disco duro original junto con la copia
al cliente paso número 6 y es básicamente tener una cadena de custodia que revele qué se hizo sobre
la evidencia en este caso de discos duros pueden ser cualquier evidencia verdad cámaras Recordings.
Cualquier evidencia que nos pueda llevar al famoso RCA el root analysis o análisis de causa raíz y bueno
eso es todo amigos.
Pero les gustó y no tomó muy pronto.