Investigación metodológica

5 de septiembre de 2012 Autor: Antonio Salmerón

 

El objetivo de este módulo es presentar una gama de posibles metodologías para la investigación en informática forense y pericial. Cada una de estas metodologías tiene sus ventajas e inconvenientes. Es sorprendente descubrir la gran cantidad de metodologías desarrolladas, unas centradas en la escena del delito, otras enfocadas en la formación, otras en el control del flujo de información, etc. En cualquier, caso el empleo por parte del perito o del informático forense de una metodología formalizada es la base para:

  • la realización de una investigación completa y rigurosa,
  • asegurando el correcto manejo de las pruebas digitales,
  • reduciendo la posibilidad de errores,
  • evitando la utilización de teorías preconcebidas y
  • ayudando a soportar la presión del tiempo.
[Metodología; Figura ms4]: Esquema metodológico creado mediante la síntesis de las fases fundamentales de las metodologías presentadas en este módulo.

A continuación se presenta un breve resumen de las metodologías seleccionadas para, posteriormente, dentro de este módulo, entrar en su estudio más detallado. Las metodologías ordenadas por su año de publicación son las siguientes:

  • [Casey, E; 2000]: Es una metodología básica y general, que puede aplicarse a computadores aislados y a entornos en red. Su utilidad se basa justo en su simplicidad, que la puede hacer eficiente frente a casos no muy complejos. Su defecto es que le falta una especificación las fases o momentos de autorización y de generación del informe final o dictamen pericial.
  • [Lee, H.C.; Palmbach, T.; Miller, M.T.; 2001]: Es realmente un enfoque metodológico clásico en investigación forense sobre pruebas físicas, pero que ya en su año de publicación contempla la aparición y la necesidad del análisis de las pruebas digitales. Esta metodología se estudiará fundamentalmente desde la perspectiva de la prueba digital y en su descripción se incluye una reflexión propia, no contemplada originalmente en [Lee, H.C.; Palmbach, T.; Miller, M.T.; 2001] de cómo algunos patrones de búsqueda de pruebas físicas tienen su aplicación en la localización de las pruebas digitales.
  • [Ashcroft, J.; 2001] y [Mukasey, M.B.; Sedgwick, J.L.; Hagy, D.W.; 2008]: Son dos ediciones de la metodología propuesta por el Departamento de Justicia de los Estados Unidos. Esta metodología se centra en las fases iniciales de actuación en la escena del delito, ya que está concebida como una guía para los informáticos forenses que dan una respuesta inmediata a delitos informáticos. Esta metodología proporciona criterios para la identificación de los diversos dispositivos digitales y para la selección de las pruebas digitales más adecuadas según las diferentes clases de delitos.
  • [Palmer, G.; 2001]: Los propios autores no la consideran como una metodología definitiva, ya que sus fases no se describen de forma completa sino a través de sus características y de posibles técnicas que podrían emplearse. Pero es importante conocerla pues ha sido la base para la elaboración de otras propuestas metodológicas. Es una metodología lineal pero que, en futuros desarrollos, podría contemplar ciclos como así lo hacen otras metodologías derivadas de ella.
  • [Palmer, G.; 2001]: Los propios autores no la consideran como una metodología definitiva, ya que sus fases no se describen de forma completa sino a través de sus características y de posibles técnicas que podrían emplearse. Pero es importante conocerla pues ha sido la base para la elaboración de otras propuestas metodológicas. Es una metodología lineal pero que, en futuros desarrollos, podría contemplar ciclos como así lo hacen otras metodologías derivadas de ella.
  • [Reith, M.; Carr, C.; Gunsch, G.; 2002]: Puede considerarse como una especificación de la anterior metodología de [Palmer, G.; 2001] donde ya se describen las fases, se añaden nuevas fases y se contemplan ciclos de realimentación. [Ciardhuáin, S.Ó.; 2004] la destaca por su alto nivel de abstracción y por ser aplicable a cualquier tipo de tecnología y clase de delito informático.
  • [Carrier, B.; Spafford, E.H.; 2003b]: Es una metodología muy detallada que se estructura en 5 fases con 17 tareas. Se diferencia de otras metodologías porque intenta integrar la investigación de las pruebas físicas con la de las pruebas digitales, supeditando, en cierta forma, estas últimas a las primeras. Si bien esta integración tiene sus ventajas puede añadir complejidad al proceso de investigación.
  • [Baryamureeba, V.; Tushabe, F.; 2004]: Es una metodología de 5 fases que contempla ciclos de realimentación entre todas ellas. Se basa en la anterior de [Carrier, B.; Spafford, E.H.; 2003b] y, por tanto, también integradora de la investigación de pruebas físicas junto con pruebas digitales, si bien, estas últimas tienen un menor grado de dependencia de las primeras.
  • [Ciardhuáin, S.Ó.; 2004]: Es una metodología de 13 fases, en forma de cascada, donde los flujos de información pasan de una actividad a la siguiente hasta el final del proceso. De esta forma, la cadena de custodia se forma por la lista de aquellos que han manipulado cada prueba digital y que debe pasar de un fase a la siguiente agregando los nombres de cada una de ellas. De todas las metodologías expuestas destaca porque es la que mejor establece los flujos de información y los puntos de control en el proceso de investigación.
  • [Casey, E.; 2004]: Es una evolución de su propia metodología [Casey, E; 2000]. Esta 2ª versión de su metodología posee 8 fases donde la fase de documentación corre paralela a las otras 7 fases de investigación. Estas 7 fases pueden representar un buen punto de equilibrio entre las metodologías muy cortas y otras con largo número de fases.
  • [Rifà, H.; Serra, J.; Rivas, J.L.; 2009]: Plantea una metodología en 3 fases, recogida de datos, análisis e investigación y redacción del informe. Si bien este enfoque puede parecer básico, hay que hacer notar que puede resultar adecuado para aquellos casos que no plantean una especial complejidad por su volumen y clase de pruebas digitales y personas y entidades implicadas, siendo estos una gran mayoría. Por ejemplo, la descripción que se realiza en [Vázquez López M.; 2012] de la metodología de la Brigada Investigación Tecnológica del Cuerpo Nacional de Policía española para sus pericias informáticas coincide, en buena medida, con esta metodología. Dentro de este módulo, metodología se estudiará con más detalle que las anteriores, dedicándole un tema. Esta una de las metodologías recomendables para la resolución del caso práctico final, especialmente si se trata de un caso sencillo.
  • [Casey, E.; 2011]: Es una 3ª versión de las metodologías de [Casey, E] ya descritas en apartados anteriores dedicados a [Casey, E; 2000] y a [Casey, E.; 2004]. Agrupa en menos fases las presentadas en [Casey, E.; 2004] convirtiendo en tareas algunas de las que en la anterior eran fases. Por su actualidad, esta metodología se ve con más detalle que las anteriores dedicándole un tema. Si el caso final que se plantea resolver tiene cierto nivel de complejidad esta podría ser una de las metodologías que podría seguir.

Dominio: 1) Conjunto de computadores conectados en red que delegan en uno de ellos la administración de los usuarios de la red y sus privilegios. 2) Parte principal de una dirección web que usualmente indica a la entidad propietaria del sitio web, por ejemplo, en {http://www.antoniosalmeron.com/categorias/codigo.html} el dominio es {antoniosalmeron.com}. En los dominios no se distingue entre mayúsculas y minúsculas, pudiendo escribirse, por ejemplo, {antoniosalmeron.com} como {AntonioSalmeron.com} si se cree que así es más significativo o se recuerda mejor. 3) Conjunto de valores que puede tomar un atributo, por ejemplo, los atributos de una entidad en el modelo relacional. | Plural: Dominios | Url: http://es.wikipedia.org/wiki/Dominio_(redes_informáticas)

Investigación en informática forense

6 de julio de 2012 Autor: Antonio Salmerón

 

El objetivo de toda investigación es descubrir y presentar la verdad y por ello el objetivo de este módulo es hacerlo a partir de pruebas digitales. Dependiendo de los casos este proceso de investigación en informática forense puede implicar unas consecuencias poco relevantes, en algunos tener importancia económica y en otros una gran trascendencia, especialmente cuando están en relación con la libertad, las sanciones e incluso las penas.

[Cracker; Figura mkd]: Kevin David Mitnick, Condor, el primer Kevin, usualmente ocupa el primer lugar de los rakings históticos de crackers.

Por ello además de emplear una metodología de confianza hay que emplear técnicas que garanticen que el análisis, la interpretación y la presentación de los informes con pruebas digitales son fiables, objetivos y transparentes y justo este es el objetivo de este módulo.

Para alcanzar su objetivo este módulo se estructura cubriendo 3 áreas fundamentales de la investigación en informática forense:

  • El trabajo en la escena del delito donde pueden existir tanto pruebas físicas tradicionales como pruebas digitales.
  • La reconstrucción con pruebas digitales, la reconstrucción del comportamiento humano es como la resolución de un puzzle multidimensional donde puede haber piezas evidentes y otras perdidas, dañadas y, por supuesto, escondidas.
  • Los perfiles, las motivaciones y el modus operandi de las personas que, aunque exista una larga tradición de estudio en criminología, en el área de las tecnologías de la información mezcla caracteristicas clásicas con otras muy particulares.
[Cracker; Figura pkl]: Kevin Lee Poulsen, Dark Dante, el segundo Kevin, usualmente ocupa el segundo lugar de los rakings históricos de crackers.

Botnet: En general, conjunto de robots en red que se organizan para realizar una determinada tarea colaborativa. En ataques a sistemas informáticos, se denomina al conjunto de computadores que, mediante su programación o infección, se organizan para realizar un ataque distribuido de denegación de servicio. Al cracker que controla a la botnet se le suele denominar botmaster o bot herder, denominación esta última que hacer referencia al pastor nómada de ganado. | Plural: Botnets | Alias: Botmaster; Bot herder | Url: http://es.wikipedia.org/wiki/Botnet

Ciberdelitos y ciberterrorismo

6 de julio de 2012 Autor: Antonio Salmerón

 

El objetivo de este módulo se centra en los delitos más violentos, en los ciberdelitos, incluso en el ciberterrorismo, con víctimas y daños personales y materiales, en los ataques a las Administraciones del Estado y a las empresas privadas y en los delitos de acoso y en los sexuales, siempre desde el punto de vista de la informática forense y pericial.

[Ciber; Figura kyv]: [Kaspersky, Y.V.], creador del antivirus que lleva su nombre, da su opinión sobre los reisgos del ciberterrorismo, 7 de junio de 212.

Los delitos, especialmente los violentos, pueden llegar a ser difíciles de investigar cuando los sucesos son complejos y existen muchas personas relacionadas. Pero estos delitos no suceden en un vacío desconocido e intangible, si no en un mundo en el que pueden quedar múltiples pruebas de ello, tanto físicas como digitales. Por ejemplo:

  • en algunos casos, la víctima puede conocer o haber tenindo relación con el delincuente, puede existir una larga historia anterior de angustia, incluso marcada por violencia,
  • en otros, el delito puede ser rápido, irreflexivo y destructivo creando y detruyendo pruebas o
  • puede ser el resultado de un largo período de preparación y anticipación.

Cualesquiera que sean las circunstancias del delito, la información es clave para:

  • determinar y comprender de las relaciones existentes entre la víctima y su agresor o agresores,
  • plantear la estrategia de investigación y
  • para recoger, examinar y valorar las pruebas, en este curso, digitales.

Página de web: Documento de hipertexto que, sola o junto con otras páginas web, son el componente básico de los sitio web. | Inglés: Web page | Plural: Páginas de web | Bibliografía: Salmerón, A.; et ál.; 1996

Conceptos fundamentales de informática

7 de julio de 2012 Autor: Antonio Salmerón

 

El informático forense y el perito han de comprender lo que realmente está sucediendo dentro de los sistemas informáticos y no sólo han de limitarse a emplear software sofisticado para recuperar ficheros eliminados, realizar análisis avanzados del contenido de los discos duros, examinar la actividad en internet, etc. A veces, la falta de comprensión sobre cómo funcionan los computadores y la aplicación automática y no sopesada de herramientas sofisticadas pueden conducir a no observar pruebas digitales evidentes o a realizar de ellas interpretaciones erróneas.

Por ello, el objetivo de este módulo es proporcionar una visión de conjunto y desde el punto de vista de la informática forense y pericial sobre cómo funcionan los computadores y sobre como almacenan y procesan los datos.

[Sistema Operativo; Figura iso] Interacción el usuario, las aplicaciones, el sistema operativo y el hardware.

Dentro de este módulo se estudian los siguientes temas:

  • La arquitectura de los computadores y sus principios de funcionamiento incluyendo un elemento fundamental desde el punto de vista del perito y del informático forense como es el sistema operativo.
  • La representación de los datos en el computador y los diferentes sistemas de representación de datos.
  • El almacenamiento de los datos y, también, la ocultación de datos dentro del computador.
  • Los sistemas de gestión de ficheros y la ubicación y organización de los ficheros dentro de ellos.
  • Finalmente, las protecciones con usuarios y contraseñas y una primera aproximación al cifrado.

Seguridad del sistema: Está formada por: a) Conjunto de mecanismos de protección que debe tener el sistema informático para evitar posibles accidentes fortuitos o deliberados y para soportar posibles catástrofes como el fuego, las inundaciones, los terremotos, etc. o actos de sabotaje, vandalismo, robo, etc. b) Conjunto de dispositivos físicos necesarios para controlar el acceso al sistema, como son las cerraduras de control o los guardias de seguridad. Un sistema informático puede ser de gran importancia para una empresa o institución y, a su vez, vulnerable a accidentes o intrusiones. Las condiciones de ubicación del sistema, su diseño, construcción e instalación y condiciones ambientales así sus medidas de seguridad, han de considerar e intentar prevenir los posibles accidentes o actos contra él. Entre las medidas de seguridad que se adoptan en grandes sistemas está la posibilidad de disponer de instalaciones alternativas para ser usadas en caso de urgencia. | Bibliografía: Salmerón, A.; et ál.; 1996

Documentos y almacenamiento multimedia

7 de julio de 2012 Autor: Antonio Salmerón

 
[Multimedia; Figura pkl]: Laboratorio de pruebas fotográficas y pruebas digitales multimedia de la policía de Kansas City.

Los documentos digitales, con formatos como PDF, Word, OpenOffice, ePUB, etc. y los de almacenamiento multimedia para

  • imágenes y fotografías, formatos PNG, JPEG, GIF, BMP, TIFF, etc.,
  • audio, formatos MP3, WAV, AIFF, etc. y
  • vídeo, formatos MP4, AVI, MOV, etc.

y tanto con su contenido digital como con todos los posibles metadatos que los describen como por ejemplo para imágenes y fotografías:

  • marca y modelo del dispositivo,
  • orientación y posición,
  • autor,
  • fechas y horas de toma, digitalización, de edición, etc.
  • resolución y unidades,
  • dimensión ancho y alto,
  • longitud, latitud, altura,
  • zoom,
  • flash, apertura, fuente de luz,
  • clase del mapa de colores,
  • tiempo de exposición,
  • etc.,

pueden representar una fuente de pruebas digitales para el informático forense y perito. El objetivo de este módulo es conocer estos formatos, sus metadatos y realizar experiencias prácticas con ellos.

[Multimedia; Figura vca]: Visualización de las gráficas de los 2 canales de un fichero de audio digital.

El volumen de información digital que se registra con formatos multimedia crece de forma acelerada, se dice que la cantidad de información registrada a nivel mundial se duplica cada 2 años y los formatos digitales multimedia contribuyen a ello. Baste pensar que tanto sucesos privados, como aún más los sucesos en público, aunque sean intrascendentes:

  • desde una caída aparatosa al coger el autobús
  • a una pelea de pre-adolescentes en una excursión del instituto,

pueden ser grabados inmediatamente por las cámaras de los móviles u otros dispositivos digitales que la mayor parte de la población lleva consigo.

Frecuencia espacial: Proporción o tasa de cambio de oscuro a claro de la luminosidad de los pixeles de una imagen. | Plural: Frecuencias espaciales | Bibliografía: Salmerón, A.; et ál.; 1996

Sistema operativo Windows de Microsoft

7 de julio de 2012 Autor: Antonio Salmerón

 
[Microsoft; Figura gbw]: [Gates; B.] fundador de Microsoft en 2005, entonces también Presidente y Chief Software Architect de la compañía.

Por la popularidad mundial de Microsoft Windows, los peritos e informáticos forenses se encontrarán con pruebas digitales en esta clase de sistemas en la mayoría de sus casos. Como consecuencia de su amplia difusión es el sistema operativo para el que más variedad de herramientas de informática forense se han desarrollado, tanto de las comerciales como de las de software libre. Por otro lado, es un sistema operativo que está al alcance de la mayoría de los interesados, por lo que es muy adecuado para la realización de prácticas. Por todo ello el objetivo de este módulo es familiarizarse y conocer:

  • Los tipos de sistemas de ficheros de los sistemas operativos de la clase Windows de Microsoft.
  • Las herramientas y las técnicas para la recogida y el examen de pruebas digitales en computadores con Windows.
  • La recuperación de datos.
  • Los ficheros de log y registros.
  • El análisis de la actividad en internet.
  • Finalmente el estudio, desde la perspectiva de la informática forense de algunas aplicaciones típicas de Windows, como sistemas de gestión de bases de datos, si bien es tal su variedad que es imposible intentar abarcarlas todas.

Transductor: Dispositivo capaz de transformar un tipo de energía de entrada en otra diferente a la salida. | Inglés: Transducer | Plural: Transductores | Url: http://es.wikipedia.org/wiki/Transductor