En esta clase nos enfocaremos en la informática forense, un tema del que se habla en disciplinas que
van más allá de la seguridad informática.
Dado que sus aplicaciones son variadas, aquí veremos, además de las definiciones y conceptos relacionados,
las características de la evidencia digital, el proceso de investigación y algunos aspectos relativos
a la ley.
Conceptos fundamentales.
En un texto de origen australiano de 1998, Rodney Mackenzie define informática forense como la técnica
de capturar, procesar e investigar información procedente de sistemas informáticos utilizando una metodología
con el fin de que pueda ser utilizada en la justicia.
El FBI, por su parte, la define como la ciencia de adquirir, preservar, obtener y presentar datos
que han sido procesados electrónicamente y guardados en un medio informático.
Ambas definiciones comparten conceptos, pero a su vez pueden complementarse.
Uno de los principales objetivos del análisis forense informático es obtener evidencias que permitan
llegar a conclusiones sin dar lugar a la duda razonable.
Respuesta a incidentes.
Para hacer frente a los incidentes de manera inmediata se suele contar con el apoyo de los Si es a TI
OR Computer Security Incident Response TIM o Equipo de Respuesta a Incidentes de Seguridad.
Es común pensar en ellos como RT Computer Emergency Response TIMM, pero en nombre C RT está registrado
en la Oficina de Marcas y Patentes de los Estados Unidos y organizaciones que quieran usar C RT en su
nombre deben requerir permiso en el caso de los incidentes.
Cada empresa u organización deberá definir explícitamente qué es un incidente de seguridad.
Algunos ejemplos podrían ser cualquier evento negativo, ya sea real o sospechoso.
Relativo a la inseguridad de los sistemas informáticos o redes, o bien el hecho de violar implícita
o explícitamente una política de seguridad en el caso de las tareas típicas o básicas de la informática
forense, algunas habilidades que se requiere son la relacionadas con el origen de un correo electrónico,
determinacion de propietarios de dominios web, pruebas de violación de derechos de autor, recuperación
de archivos borrados y claves de acceso y demostración de acciones en una red por medio de logs de auditoría
delitos informáticos.
Aunque no hay una definición formal y a la vez universal del delito informático, se han definido algunos
conceptos que responden a realidades concretas.
A partir de 1983, la O.C.
De Organización de Cooperación y Desarrollo Económico estudió las posibilidades de crear leyes penales
de aplicación al plano internacional para combatir el uso inapropiado del software.
La OSé definió delito informático como cualquier comportamiento antijurídico, no ético o no autorizado,
relacionado con el procesado automático y transmisiones de datos.
La ONU Organización de las Naciones Unidas, por su parte, define tres tipos de delitos informáticos
fraudes cometidos mediante manipulación de computadoras, sustracción de datos, manipulación de programas
y de datos de salida y manipulación informática de pequeños datos en interacciones automáticas, manipulación
de los datos de entrada como objeto o como instrumento, daños o modificación de programas o datos.
Sabotaje informático, acceso no autorizado a servicios y sistemas y reproducción ilegal de programas.
Cadena custodia.
Llamamos cadena de custodia al procedimiento, cuyo objetivo es preservar la evidencia reunida en función
de su naturaleza durante todas las fases de la investigación, para garantizar que sea auténtica a los
fines del proceso y de la ley.
Para esto debe realizarse primero un correcto etiquetado.
Luego la persona que recibe la evidencia deberá entregar a cambio una constancia y así repetir el procedimiento
en cada instancia que sea necesaria a través de cada persona relacionada con su tenencia.
También implica que se mantendrá en un lugar seguro, protegido de elementos que puedan alterarla y
no se debe permitir el acceso a personas no autorizadas.
No se concibe la cadena de custodia como medida protectora de la cantidad y la calidad de la evidencia,
pero su ruptura resulta en la pérdida de la garantía de integridad entre lo que se encuentra y lo que
llega al laboratorio de análisis.
Teoría anti forense.
Conociendo las principales técnicas forenses, es posible deducir las técnicas de evasión que compliquen
la aplicación de las primeras.
Estas técnicas pueden ser útiles para evitar que un análisis forense no deseado revele información,
pero por otro lado tenemos el uso malicioso.
Estas técnicas anti forenses la podríamos definir como aquellas que tienen un impacto negativo contra
los mecanismos para identificar los datos, así como también la disponibilidad, confiabilidad y la
relevancia de la evidencia digital en un proceso de análisis forense.
En este sentido, también aparecerán técnicas anti forenses, que son los que utilizaremos para complicar
la aplicación de técnicas anti forenses.
En la práctica, algunas técnicas forenses, como unas referidas a los datos almacenados, son los siguientes.
Eliminación segura en dispositivos magnéticos puede realizarse con software como PGP, Whopper o en
érais, etcétera.
Cifrado de información en general mediante algoritmos simétricos.
Este ganó grafía ocultación de un tipo de datos dentro de otro tipo de datos a esconder o mimetizar,
y en el más sofisticado se apunta a destruir definitivamente la evidencia digital.
En lo cotidiano, la evidencia es todo lo que se requiere para demostrar un hecho o sirve para establecer
relaciones entre sucesos.
En cuanto al mundo digital, existe también evidencia llamada evidencia digital, que es otra forma
de evidencia física de menor tangibilidad que otros ADN huellas, papeles, etcétera.
Esta última posee ciertas ventajas sobre la tradicional y dado que puede ser exactamente duplicada,
puede detectarse si sufrió alteraciones e incluso a veces recuperarse, se ha visto si ha sido eliminada.
En síntesis, es repetible, recuperable, redundante e integra.