Metodología para el análisis forense digital
El análisis forense digital permiten conocer y resolver las preguntas: ¿Quién? ¿Cómo? ¿Cuándo?
¿Dónde? ocurrió un evento o incidente de seguridad materializado.
Con base en mi experiencia y en la participación en proyectos relacionados tomo como referencias para la habilitación de un análisis forense digital
diferentes: metodologías, estándares, recomendaciones y mejores prácticas
internacionales sobre cibercrimen, análisis forense digital y respuesta a
incidente tales como:
- Publicaciones especiales:
a. NIST
SP 800-86 Guide to Integrating Forensic Techniques into Incident Response
b. NIST
SP 800-44, Guidelines on Securing Public Web Servers
c. NIST
SP 800-45, Guidelines on Electronic Mail Security
d. RFC
3227: Guidelines for Evidence Collection and Archiving
e. NIST
SP 800-101 Guidelines on Mobile Device Forensics
f. NIST
SP 800-83 Guide to Malware Incident Prevention and Handling
g. Computer
Forensics Tool Testing (CFTT)
El resultado del estudio de estas
metodologías y estándares es la adopción de una metodología propia la cual es
adaptable al ambiente en que se implementa, tomando en consideración las
necesidades del negocio o el tipo de adquisición, preservación, examinación y/o
análisis a realizar. La siguiente ilustración permite visualizar de forma
gráfica la metodología propuesta para la ejecución de un análisis
forense digital.
Ilustración Metodología para la habilitación del Servicio
de Análisis Forense.
Fase1: Planeación y preparación del servicio.
Es la fase de arranque del análisis forense digital en
al cual los analistas en forenses digital definirán en conjunto con el personal
que el INTERESADO asigne:
- Objetivo y alcance del servicio (redacción clara y precisa sobre el delito a perseguir o imputar).
- Identificación de los medios sujetos a investigación y presuntos involucrados en el delito a imputar.
- Solicitud de Incautación de medios y/o Generación de acuse y/o solicitud de medios legales para la extracción de los activos o medios que contiene los datos a analizar.
- Definición, aseguramiento y preservación de la escena o dispositivos sujetos a investigación.
- Definición del alcance, objetivo(s) y limitaciones a las cuales está sujeta la investigación.
- Definición del(os) cuestionario(s) y entrevistas adecuadas para conducir la investigación.
- Establecer y definir los acuerdos de confidencialidad entre los ingenieros especialistas y EL INTERESADO
- Definición y entrega del plan de trabajo: serán definidos las tareas y procesos a ejecutar, su tiempo de ejecución, responsable de cada actividad así como la matriz de escalamiento.
Fase 2
Adquisición de medios.
Previa a realizar la etapa de
colección de los medios el analista en forense digital procede a tomar
fotografías y notas sobre el estado en que se encuentra el equipo en cuestión.
El primer paso y tarea principal para
llevar a cabo una correcta investigación durante el proceso de análisis forense
es la recolección de los datos. Los especialistas en análisis forense digital
una vez obtenida la orden de incautación de los medios procederán a substraer
la información relevante
(CD, DVD, pent drive, USB, PCMCIA, Discos duros externos, Cámaras fotográficas,
Teléfonos inteligentes, Impresoras, Equipos de cómputo personal, Servidores,
Datos Volátiles y no volátiles, Equipos de telecomunicación y/o seguridad
personal, bitácoras de los eventos etc) para su posterior preservación y análisis. De manera enunciativa
más no limitativa la fase de recopilación de datos sobre los medios abarca
alguna o varias de las siguientes etapas:
- Desarrollo de plan para colección de los datos incluidos en los medios.
- Colección de datos en los medios.
- Verificación de integridad de los datos.
- Preservación de los datos.
- Cadena de custodia
Una vez incautado los medios electrónicos a examinar
estos deberán ser trasladados aun sitio con las capacidades adecuadas para su examinación como puede ser un laboratorio forense.
Algunos estándares importantes que debería cumplir un laboratorio forense adecuado son:
- Cumplimiento de la ISO17025
- System Safety según H SystSäkE
- Protección contra incendios EN 15004-1:2008
- Condiciones climáticas extremas STANAG 2895
- Filtración NRBQ (AEP-54)
- Compatibilidad electromagnéticaDEF STAN 59-411
Así como una arquitectura de seguridad que contemple al menos:
- Protección perimetral y red independiente.
- Segregación de actividades. RBAC
- Sistemas de seguridad física
- Sistemas de resguardo seguro
Fase3
Examinación
Después de realizar una copia o
clonación lógica/física o bit a bit de los medios originales recabados, los
analistas en forense digital procederán a examinar los datos con la finalidad
de acotar la información a analizar. La examinación de los datos se realizará
por medio de herramientas especializadas y siempre en un modo de solo lectura evitando de este modo la alteración o
modificación de la información que contienen.
Una vez examinados los datos el
siguiente paso que realizan los analistas en forense digital es la extracción
de la información para la cual el esfuerzo o tiempo dedicado puede variar
dependiendo el estado en que se encuentre la información (e.g encriptación de
la información o protección de documentos con credenciales). Alguno o varios de los puntos que
los analistas en forense digital debemos de tomar en consideración al momento de la
examinación de los datos son de manera enunciativa más
no limitativa:
- Localización de la información.
- Uso de visualizador de archivos.
- Descomprimir archivos.
- Identificar archivos conocidos.
- Búsqueda de patrones y cadenas.
- Metadatos de los archivos.
- Tiempo de Modificación Acceso y Creación de los archivos (MAC).
- Extracción de la información.
Para cada
dato extraído es importante calcular su valor
matemático (hash) para corroborar su autenticidad y validar su integridad antes
de pasar a su análisis. Así mismo los procedimientos y métodos
por los cuales fueron obtenida la información son registrados en la cadena de
custodia para que en su momento un auditor externo o perito en la materia pueda llevar acabo la reconstrucción de los hechos y las evidencias puedan pasar los filtros de aceptabilidad estipulados por las leyes Mexicanas o dictados por profesionales en la materia.
Fase 4
Análisis
Una vez extraída la posible
información se plantearan hipótesis sobre los hechos que
ayuden a correlacionar los eventos contestando de esta forma a las preguntas planteadas ¿Quién?
¿Cuándo? ¿Cómo? Y ¿Por qué?, permitiendo nos concluir en las evidencias
relacionadas con el caso o en su defecto sustentar la necesidad de mayor
evidencia para poder ejercer un dictamen.
Fase 5
Reporte o Dictamen
Durante la última fase de análisis
forense digital, los analistas en forense digital en conjunto con el personal jurídico especializado revisarán los indicios y
elaboraran un dictamen que
aunque estén respaldados en procedimientos técnicos describan de forma clara y
concisa los resultados, de tal forma que puedan ser comprendidos por aquellos
que no conocen o dominen el lenguaje técnico de las Tecnologías de la Información.
La finalidad es presentar dictámenes apoyados con indicios que sean irrefutables al presentarlos ante
una Corte Legal. De manera enunciativa más no limitativa este punto incluye:
- Generar dictámenes correspondientes a las investigaciones realizadas como producto de un Análisis Forense Digital, el cual toma en cuenta el tipo de persona al que debe ser entregado evitando de esta forma el contenido técnico, libre de la jerga propia de la disciplina, pedagógico y sobre manera, consistente con las evidencias y hechos recabados durante el análisis forense digital.
- Un dictamen o Reporte técnico sobre un análisis forense debe incluir de manera enunciativa mas no limitativa los siguientes rubros:
o
Explicación
clara del objetivo del Dictamen Pericial y el motivo por el cual se realizó el
determinado estudio.
o
Antecedentes
que originaron el análisis forense digital
o
Planteamiento
del problema
o
Identificación
del material objeto de estudio
o
Consideraciones
técnicas
o
Establecimiento
a detalle del desarrollo del análisis forense
o
Evidencias
o
Conclusión
o conclusiones a las que se llegaron
o
Rúbrica
del Autor del Dictamen Pericial
o
Secciones
complementarias (glosario, apéndice y/o anexos)
A continuación enuncio algunos artículos del código penal federal Mexicano y de la ley de instituciones de crédito dirigidas a castigar los delitos informáticos:
- Código Penal Federal artículo 211 bis 1 al 7. Define las sanciones a interponer en caso de un delito informático.
- El Código Penal Federal en su artículo 201: Delitos de pornografía infantil
- Ley de Instituciones de Crédito artículo 52. Fraudes electrónicos.
- Ley Federal de Protección de Datos en Posesión de Particulares
"Hay algunos puntos que aun la ley mexicana no logra abarcar y en los cuales se encuentra muy ambigua y claro oscuro sin embargo esperamos que en un futuro muy cercano estas brechas puedan ser cerradas y clarificadas para que un proceso de esta magnitud sea lo más legible y transparente evitando presuntos culpables y violaciones a los derechos humanos de los individos."
Fase 6
Resguardo de activos y Borrado seguro
Una vez entregado el reporte o
dictamen del análisis forense y firmado de conformidad por la
persona a cargo del servicio asignado por el INTERESADO, los ingenieros
especialista en análisis forense digital en conjunto con el
personal asignado por el INTERESADO procederán a realizar la eliminación,
depuración o resguardo de toda aquella evidencia y activos generados durante el
proceso de análisis forense digital y al cual únicamente será permitido el
acceso a personal autorizado.
Agradezco a la colaboración de colegas como Oscar Santoyo Ayala y Juan Isaias Calderón por sus comentarios y aportes ha este documento.
