Informática forense: técnicas, principios y procedimiento para evidencias digitales

¿Qué es la informática forense?

La informática forense es una disciplina criminalística cuyas técnicas permiten investigar sistemas informáticos para obtener y procesar información (evidencias digitales) con validez jurídica o para investigación privada. Trata de responder a preguntas como: ¿qué?, ¿quién?, ¿cómo?, ¿cuándo?, ¿dónde? y ¿por qué?

Puede consistir en:

• Extraer información de un sistema.
• Recuperar información cifrada o eliminada.
• Detectar incumplimientos de leyes o políticas internas.

Es utilizada por la propia ley, compañías de seguros, particulares, etc.

Principios fundamentales

Principio de intercambio de Locard

Siempre que dos objetos entran en contacto, transfieren parte del material que incorporan al otro objeto. Todas las acciones dejan rastro.

Principio de incertidumbre de Heisenberg

El mero hecho de medir el estado de un sistema lo altera. No se puede obtener información de un sistema sin modificarlo. Debemos intentar obtener la mayor cantidad de información con la menor modificación posible.

Validez jurídica y normativa

La validez jurídica de una evidencia digital la decide el juez. Entre las cuestiones a valorar están: ¿se ha respetado la ley para obtenerla?, ¿la información se ha mantenido tal como se recogió?, etc.

No hay un estándar único para todos los procedimientos, pero sí existen recomendaciones y buenas prácticas, como las recogidas en RFC 3227.

Proceso

Es imprescindible tomar notas, realizar grabaciones y fotos de todo lo que se realiza, incluyendo fechas y horas. La informática forense se divide en cuatro pasos principales:

1. Identificación

Identificar los sistemas (evidencias) necesarios en la investigación, a ser posible ante un notario. Evitar que estos sistemas sigan siendo usados y recoger antes la información volátil. Hay que recopilar toda la información de los procesos en marcha.

La información de la memoria RAM es muy importante: los procesos en ejecución, archivos abiertos, drivers, etc. Se debe intentar evitar modificarla. Se puede obtener con herramientas como pd Process Dumper (pd), FTK Imager, Volatility o EnCase. Una vez recogida la información volátil, se apaga el sistema.

Los Write Blockers son una buena opción: permiten acceder a la información sin modificarla.

Se debe realizar un duplicado forense → un duplicado bit a bit de toda la información que se va a analizar, almacenando el resumen criptográfico de ambos y comparándolos para ver si son iguales. Se trabaja siempre sobre el duplicado forense.

El clonado bit a bit puede hacerse mediante el comando dd (en Linux), Adepto, EnCase, etc.

2. Conservación

• Evitar las pérdidas, el daño físico y la contaminación de las evidencias.
• Registrar marca, modelo, números de serie y cualquier identificador relevante.
• Documentar exhaustivamente toda la información recogida (cadena de custodia, quién accedió, cuándo y por qué).

3. Análisis

Analizar toda la información obtenida es una tarea muy tediosa; por ello, es necesario ser meticuloso. La intuición del analista resulta esencial.

Sitios típicos de búsqueda: correos electrónicos, herramientas de mensajería, historiales, archivos temporales, metadatos, registros (logs), etc. Es imprescindible respetar la LOPD y el derecho al secreto de las comunicaciones.

Método sugerido: búsqueda ciega, analizando únicamente donde aparezcan las palabras clave pertinentes para evitar sesgos y preservar la integridad del examen.

4. Presentación

Realizar un informe que explique todo el proceso y los resultados obtenidos. Debe ser imparcial y reflejar la información necesaria para entender el procedimiento y las conclusiones.

Partes típicas del informe:

• Antecedentes
• Evidencias
• Análisis y tratamiento
• Resultados

Conclusiones

Las conclusiones deben resumir los hallazgos principales y indicar las limitaciones del examen, las posibles incertidumbres y las recomendaciones para actuaciones posteriores.