INFORMATICA FORENSE. Ing. Guido Rosales Uriona

Transcripción

1 INFORMATICA FORENSE Ing. Guido Rosales Uriona 1

2 AMENAZAS TECNOLOGICAS Robo de Informacion Violacion De privacidad CCTV Acoso SPAM PIrateria Phising Pornografia Infantil Espionaje Virus

3 TRIÁNGULO DEL CRIMEN Lawrence Cohen y Marcus Felson

4 INFOFOR - COMO ESTAMOS? 12,5 12, Rs Completo Escena del hecho Previo Analisis

5 APLICACIÓN C INFOFOR O Escena del Hecho INVESTIGACION Análisis Pericial (Forense)

6 CONSIDERACIONES IMPORTANTES LM Lugar y momento del hecho Caliente Volatilidad de la evidencia RFC 3227: registros, cache, tabla de ruteo, memoria, temporales, disco, etc. LP Lugar del hecho pero Posterior al momento (x tiempo) Tibio Backups primarios LMP Lugar del hecho pero Posterior al momento (y tiempo > x tiempo) Frio Backups removibles

7 Método del Octágono

8 ETAPA 1. PROTECCION Evitar la contaminación de la escena del hecho Física y virtual (alcance inalámbrico) Escaneo inalámbrico (sonido, video, datos) Apagar dispositivos previa acta del último estado o pantalla visible Apagado Frio / Duro - Cortando la energía Mal Menor / Bien Mayor Registro del tiempo exacto (GMT -4)

9 Registro del Tiempo: Hora Oficial La brinda el Observatorio Astronómico Santa Ana de Tarija, en cumplimiento de la Ley 1436 del 11/12/1993. Se le da el rango de "Observatorio Nacional" y se le autoriza la "Conservación y Emisión de la Hora Oficial Boliviana en todo el territorio nacional". El observatorio Naval de los E.E.U.U (GMT - 4) en sincronización directa via internet con su reloj atómico. La diferencia con la hora oficial de Bolivia es de +3 segundos. Ing. Guido Rosales Uriona

10 Ing. Guido Rosales Uriona

11

12 CONTRAMEDIDAS

13 INVESTIGACION INTERNA Los dispositivos son protegidos mas no apagados RFC 3227 Volcado de memoria e Imagen de Disco HELIX, WinHex SU3 - Extracción de datos: Memos U3 (system info, external IP, VNC, HakSaw, Dump Wifi Hex, Dump SAM, PWDUMP, Dump SAM FGDUMP, Dump Network PW, Dump Mail PW, Dump Firefox PW, Dump IE PW, Dump messenger PW, Dump Cache, Dump LSA secrets, Dump Product Keys, Dump URL History, Dump Updates-List, Network Services, Port Scan. MS COFEE - Computer Online Forensic Evidence Extractor: Mas de 150 comandos para extraer evidencia forense

14 ETAPA 2: EVALUACION Santa Cruz Servidor Servidor Servidor Cochabamba ENTEL/ Comteco / COTAS, etc Servidor Conocimiento previo SU3, escaneo de red y/o interrogatorio Escena: Cerrada, mixta y abierta Principio de e-locard

15 Ing. Guido Rosales Uriona

16 ETAPA 3: FIJACION Facilitar la reconstrucción de la escena del hecho Identificar fuentes de evidencia SU3, Escaneo, filmación, fotografía, croquis Caracterización por seriales impresos seriales impresos I I I V I I I I

17 SEÑALECTICA

18 Ing. Guido Rosales Uriona

19

20 ETAPA 4: RASTREO

21 RASTREO LOGICO No recomendable en original Sobre Imagen (1Gb 1Minuto) Fin: contención del delito mayor Caso FARC Colombia (Informe Interpol)

22 EL CALIBRE DE LAS HERRAMIENTAS

23 ETAPA 5: RECONOCIMIENTO DE OBJETIVO OMEDIO Repositorios en red: PC, impresoras, servidores Repositorios i en Internet: t Cuentas de , servidores hackeados PC Zombis: Artillería remota Maniobras de distracción: Confundir al enemigo En función de la topología y esquema de red Servidores de seguridad, de base de datos, de aplicaciones, de correo

24 ETAPA 6: HIPOTESIS CRIMINAL La estrategia del TERO

25 Importancia de la hipótesis La informática forense es una ciencia Demostrable y repetible Uso de métodos de investigación científica La hipótesis del hecho Concepto: es el establecimiento de un vínculo entre los hechos que el investigador va aclarando en la medida en que pueda generar explicaciones lógicas del porqué se produce este vínculo. Formulación: Las hipótesis son el punto de enlace entre la teoría y la observación. Su importancia en que dan rumbo a la investigación l sugerir los pasos y procedimientos que deben darse en la búsqueda del conocimiento. Su importancia Elaborar el objetivo, o conjunto de objetivos que desea alcanzar en el desarrollo de la investigación Seleccionar el tipo de diseño de investigación factible con el problema planteado. Seleccionar el método, los instrumentos y las técnicas de investigación acordes con el problema que se desea resolver, y Seleccionar los recursos, tanto humanos como materiales, que se emplearán para llevar a feliz término la investigación planteada. Ing. Guido Rosales Uriona

26 Formular la hipótesis Identificar el Problema Formular la hipotesis Positiva / Negativa Sugerir medios probatorios Responder: que, como, cuando, donde, quien, por que y como? Ejemplo P: Falta dinero en la CA del Sr. Pepe Cortizona H: Le robaron, sin su conocimiento fue auto robo o dejo que el hecho se de Evidencias en las posibles escenas del hecho Ing. Guido Rosales Uriona

27 Histórica Documental Tipos de investigación científica: Clasificación TIPOS DE INVESTIGACIÓN Analiza eventos del pasado y busca relacionarlos con otros del presente Analiza información escrita sobre el Tema Objeto de Estudio Descriptiva p Reseña rasgos, cualidades o atributos de la Población Objeto de Estudio Correlacional Mide el grado de relación entre las variables de la Población estudiada Explicativa Da razones del porqué de los fenómenos Estudio de Casos Seccional Longitudinal Experimental Analiza una unidad específica de un Universo Poblacional Recoge información del Objeto de Estudio en oportunidad única Compara datos obtenidos en diferentes oportunidades o momentos de una misma población con el propósito de evaluar los cambios Analiza el efecto producido por la acción o manipulación de una o más variables independientes sobre una o varias dependientes

28 ETAPA 7: COLECTA O EMBALAGE

29 Anti todo Antiestatica Antimagnetica Anti humedad Anti fuego Ignifuga Anti robo Ing. Guido Rosales Uriona

30 EMBALAGE LOGICO Uso de medios no regrabables: DVD, CDs Etiquetados y hasheados (MD5, SHA1) Función Hash

31 Preservación dd herramienta *nix, por línea de comando Copia C i bit a bit, un medio a otro dd if=origen i of=destino dd if=/dev/hda of=/mnt/hdd1/imagen.img Interfaz Gráfica

32 ETAPA 8: CADENA DE CUSTODIO Garantizar la invariabilidad de la evidencia. Bóvedas o jaulas FARADAY Anticipo de Prueba

33 CONCLUSION ESCENA DEL HECHO ETAPA 1 PROTECCION TRATAMIENTO ETAPA 2 Evaluacion ETAPA n ETAPA 8 Cadena de Custodio

34 Ing. Guido Rosales Uriona

35 BÚSQUEDA EN CEMENTERIOS TECNOLÓGICOS

36 MORGUE DIGITAL

37 MORGUE DIGITAL

38 CLONACION DE CADAVER

39 EDICION HEXADECIMAL

40 FRAGMENTACION DEL DISCO