Guía de Análisis Forense Digital

 La informática forense o forense digital es un término en ciencias de la computación para obtener evidencia legal que se encuentra en medios digitales o almacenamiento de computadoras. Con la investigación forense digital, el investigador puede encontrar lo que sucedió con los medios digitales, como correos electrónicos, disco duro, registros, sistema informático y la propia red. En muchos casos, la investigación forense puede producir cómo pudo ocurrir el crimen y cómo podemos protegernos contra él la próxima vez.

Algunas razones por las que necesitamos realizar una investigación forense: 1. Recopilar evidencias para que puedan ser utilizadas en los tribunales para resolver casos legales. 2. Analizar la fuerza de nuestra red y llenar el agujero de seguridad con parches y correcciones. 3. Para recuperar archivos eliminados o cualquier archivo en caso de falla de hardware o software

En informática forense, las cosas más importantes que deben recordarse al realizar la investigación son:

1. La evidencia original no debe ser alterada de ninguna manera, y para llevar a cabo el proceso, el investigador forense debe crear una imagen de flujo de bits. La imagen de flujo de bits es una copia bit a bit del medio de almacenamiento original y una copia exacta del medio original. La diferencia entre una imagen de flujo de bits y una copia normal del almacenamiento original es la imagen de flujo de bits es el espacio libre en el almacenamiento. No encontrará ninguna información de espacio libre en un soporte de copia.

2. Todos los procesos forenses deben seguir las leyes legales del país correspondiente donde ocurrieron los delitos. Cada país tiene diferentes demandas legales en el campo de las tecnologías de la información. Algunos se toman muy en serio las reglas de TI, por ejemplo: Reino Unido, Australia.

3. Todos los procesos forenses solo pueden realizarse después de que el investigador tenga la orden de registro.

Los investigadores forenses normalmente mirarían la línea de tiempo de cómo ocurrieron los crímenes de manera oportuna. Con eso, podemos producir la escena del crimen sobre cómo, cuándo, qué y por qué pudieron ocurrir los crímenes. En una gran empresa, se sugiere crear un equipo forense digital o un equipo de primeros auxilios, de modo que la empresa aún pueda conservar la evidencia hasta que el investigador forense llegue a la escena del crimen.

Las reglas de Primera Respuesta son: 1. Bajo ninguna circunstancia nadie, con la excepción del Analista Forense, debe intentar recuperar información de cualquier sistema o dispositivo informático que contenga información electrónica. 2. Se debe evitar cualquier intento de recuperación de los datos por parte de la persona mencionada en el número 1, ya que podría comprometer la integridad de la prueba, en la cual se hizo inadmisible en un tribunal judicial.

Con base en esas reglas, ya ha explicado las funciones importantes de tener un equipo de primeros auxilios en una empresa. La persona no calificada solo puede asegurar el perímetro para que nadie pueda tocar la escena del crimen hasta que llegue el Analista Forense (Esto se puede hacer tomando una foto de la escena del crimen. También puede tomar notas sobre la escena y quiénes estaban presentes en ese momento.

Se deben tomar medidas cuando un delito digital ocurrió de manera profesional: 1. Asegure la escena del crimen hasta que llegue el analista forense.

2. El Analista Forense debe solicitar la orden de registro a las autoridades locales o la gerencia de la empresa.

3. El analista forense toma una fotografía de la escena del crimen en caso de que no se haya tomado ninguna foto.

4. Si la computadora aún está encendida, no la apague. En su lugar, usó herramientas forenses como Helix para obtener información que solo se puede encontrar cuando la computadora aún está encendida, como datos en la RAM y registros. Dichas herramientas tienen su función especial de no escribir nada en el sistema, por lo que la integridad se mantiene.

5. Una vez recopilada toda la evidencia en vivo, el Analista Forense no puede apagar la computadora y llevar el disco duro un Life (Laboratorio de informática forense).

6. Se deben documentar todas las evidencias, en las cuales se utiliza la cadena de custodia. Cadena de custodia mantiene registros de la evidencia, como: quién tiene la evidencia por última vez.

7. Asegurar la evidencia debe ir acompañado de un oficial legal como la policía como una formalidad.

8. De vuelta en el laboratorio, el analista forense toma la evidencia para crear una imagen de flujo de bits, ya que no se debe utilizar la evidencia original. Normalmente, Forensic Analyst creará una imagen de flujo de bits de 2 a 5 en caso de que 1 imagen esté dañada. Por supuesto, la Cadena de Custodia todavía se usa en esta situación para mantener registros de las pruebas.

9. Se crea un hash de la evidencia original y la imagen de flujo de bits. Esto actúa como prueba de que la evidencia original y la imagen de flujo de bits son la copia exacta. Entonces, cualquier alteración en la imagen de bits dará como resultado un hash diferente, lo que hace que las evidencias encontradas se vuelvan inadmisibles en los tribunales.

10. El analista forense comienza a encontrar evidencia en la imagen de flujo de bits al observar cuidadosamente la ubicación correspondiente, depende del tipo de delito que haya ocurrido. Por ejemplo: Archivos temporales de Internet, Slack Space, Archivo eliminado, Archivos de esteganografía.

11. Cada evidencia encontrada también debe tener un hash, por lo que la integridad se mantiene.

12. El analista forense creará un informe, normalmente en formato PDF.

13. El analista forense envía el informe a la empresa junto con los honorarios.