EVIDENCIA DIGITAL Y TENDENCIAS EN INFORMATICA FORENSE 16 de Abril 2013

Transcripción

1 DELITOS INFORMÁTICOS Y EVIDENCIA DIGITAL EN EL PROCESO PENAL EVIDENCIA DIGITAL Y TENDENCIAS EN INFORMATICA FORENSE 16 de Abril 2013 Ing. Gustavo Daniel Presman MCP, EnCE, CCE, EnCI, ACE,NPFA, FCA ESTUDIO DE INFORMATICA FORENSE gustavo@presman.com.ar 1

2 Presentación Ingeniero Electrónico, Universidad de Buenos Aires 1987 Master en Tecnologías de la Información en el programa Gadex, España 2010/2011 Certificado Internacionalmente en Informática Forense EnCE, ACE, CCE, NPFA y FCA Miembro del capítulo sudamericano HTCIA Miembro del board del capitulo Argentino de CSA Miembro del jurado de notables de la I Jornada de Informatica y Telecomunicaciones Forenses del COPITEC Profesor titular de Análisis Forense y Delitos Informáticos en la Maestría de Seguridad Informática, Universidad de Buenos Aires Ex Profesor titular de Informática Forense y Auditoría en el posgrado de Seguridad Informática USAL Ex Profesor titular de Informática Forense en el posgrado de Derecho Informático de la UNSL Expositor Frecuente en eventos de toda Latinoamérica Perito Forense de oficio, oficial y consultor técnico DISCLAIMER : Soy representante para Argentina y el entrenador oficial para Latinoamérica de los cursos oficiales de EnCase Forensic 2

3 AGENDA Que es la Informática Forense? Introducción a la Evidencia digital Cadena de Custodia y Recolección Efectiva Análisis Forense y desafios periciales Cuales son las tendencias en Investigción digital? Grandes vólúmenes de almacenamiento Identificación unívoca de contenido digital Metadatos Internos en Fotos Digitales Análisis Forense de Celulares Sistemas de Videovigilancia Investigación de maquinas virtuales Cifrado Análisis forense en la nube La Deep Web 3

4 CONCEPTOS PRELIMINARES INFORMATICA FORENSE = INFORMATICA + BASE LEGAL AMBITO JUDICIAL AMBITO CORPORATIVO 4

5 DEFINICION DE INFORMATICA FORENSE Es la ciencia de adquirir, preservar, obtener y presentar datos que han sido procesados electronicamente y almacenados o transmitidos a través de un medio informático 5

6 DEFINICION DE INFORMATICA FORENSE Es la ciencia de adquirir, preservar, obtener y presentar datos que han sido procesados electronicamente y almacenados o transmitidos a través de un medio informático EVIDENCIA DIGITAL 6

7 QUE ES LA EVIDENCIA DIGITAL? EVIDENCIA INFORMATICA = EVIDENCIA DIGITAL = EVIDENCIA ELECTRONICA... Datos que han sido procesados electronicamente y almacenados o transmitidos a través de un medio informático... (FBI) MEMORIA DE ALMACENAMIENTO MEMORIA RAM TRAFICO DE RED 7

8 CARACTERISTICAS DE LA EVIDENCIA INFORMATICA Que la diferencian de la evidencia tradicional La volatilidad La capacidad de duplicacion La facilidad de alterarla Los Metadatos que posee 8

9 ETAPAS DEL ANÁLISIS FORENSE INFORMÁTICO Adquisición : Recolección efectiva del objeto Preservación : Conservación del objeto Obtención : Análisis y búsqueda Presentación : Informe de resultados 9

10 CAMPOS DE ACTUACION Tenemos entonces dos grandes grupos de actuación con requerimientos específicos de tecnología: Resguardo (Recolección Efectiva y Autenticación) : Discos, rígidos memorias, arrays, telefonos celulares y dispositivos móviles Procesamienteo (Obtención y Presentación ): Herramientas para la búsqueda de elementos específicos sobre el grupo anterior 10

11 ACTORES Analista Forense Informático Perito Informático, Consultores Técnicos Peritos oficiales de Fuerzas de la Ley 11

12 REGLA DE EXCLUSIÓN La Evidencia obtenida en violación de cualquier procedimiento técnico-legal es INADMISIBLE (Evidencia nula). Principio del Fruto del árbol envenenado y todas las conclusiones que obtenga a partir de esta Evidencia!!! 12

13 RECOLECCION DE EVIDENCIA INFORMATICA Cadena de Custodia Obtencion de Imagenes binarias mediante la utilización de software que duplique bit a bit Validación de las copias mediante un algoritmo matemático (hash) Reproducción de estudios Vs. Estudio destructivo 13

14 CADENA DE CUSTODIA (CoC) Que es la Cadena de Custodia? Es un registro minucioso del movimiento de la evidencia durante el proceso probatorio que indica con exactitud las actividades realizadas las personas responsables, momento y estado al contacto con la evidencia 14

15 CADENA DE CUSTODIA (CoC) Que NO es la Cadena de Custodia? Correcto embalaje de la evidencia Correcta identificación de los efectos 15

16 CADENA DE CUSTODIA (CoC) Para que sirve la Cadena de Custodia? La CoC es la documentación aplicada sobre los elementos de prueba que permite asegurar y demostrar la identidad, integridad, preservación y registro en la continuidad de la prueba 16

17 CADENA DE CUSTODIA (CoC) Cuando se inicia? Al momento de recolección de la prueba Cuando termina? Al finalizar la etapa probatoria 17

18 CADENA DE CUSTODIA (CoC) Está contemplada en la Argentina? Si bien conceptualmente la CoC es considerada en nuestro ordenamiento jurídico, la misma no está explicitamente definida, al día de hoy, como tal en el CPPN ni en los códigos provinciales, a excepción de la provincia de Chubut (Art. 267) 18

19 CADENA DE CUSTODIA (CoC) Como se registra la Cadena de Custodia? Formulario específico Expediente Judicial Cuadernos de prueba 19

20 ELEMENTOS QUE COMPONEN LA CoC Nombre de la persona y fecha de contacto con la evidencia Registro del pasaje de una persona a otra Registro del pasaje de una ubicación física a otra Tareas realizadas durante la posesión Sellado de la evidencia al finalizar la posesión Registro de testigos Fotografías de la evidencia en las tareas realizadas Log de actividades durante la posesión 20

21 FORMULARIO DE CADENA DE CUSTODIA 21

22 FORMULARIO DE CADENA DE CUSTODIA 22

23 EL MODELO FORENSE DE LOS DATOS Datos Obtenidos con herramientas propias del OS Datos adicionales obtenidos con herramientas forenses (Borrados, Renombrados, Ocultos, Dificiles de obtener ) 23

24 PUNTOS DE APOYO DEL ANALISIS FORENSE METADATOS ARTEFACTOS 24

25 ALGUNAS FUENTES DE METADATOS Y ARTEFACTOS FORENSES El proceso de almacenamiento y borrado El acceso a Internet La ejecucion de impresiones El sistema operativo de la computadora Las listas de búsquedas Los contáctos de un IM Las IP de descarga de P2P 25

26 QUE COSAS PODEMOS OBTENER DEL ANALISIS FORENSE DE LA EVIDENCIA? Con los datos visibles Documentos Correos electronicos Fotos digitales Listados y logs 26

27 QUE COSAS PODEMOS OBTENER DEL ANALISIS FORENSE DE LA EVIDENCIA? Con los Metadatos y Artefactos específicos Usuarios del sistema y sus claves Actividad en el sistema operativo Lineas de tiempo Actividad en Internet Ubicacion geografica de una computadora Webmail Impresiones realizadas Medios removibles conectados Fotos digitales y su relacion con camaras 27

28 ALGUNAS CONSIDERACIONES ESCENCIALES Hay que garantizar la no alteración del objeto durante el proceso de obtención de evidencia No hay margen de error para el resguardo de evidencia, podemos Perder Información valiosa Tornar la evidencia inadmisible 28

29 EN LA ESCENA DEL HECHO Identificar donde se encuentra la evidencia Rotular Equipos encendidos Recolección de RAM Como apagarlos? Empaquetado de equipos secuestrados/resguardados 29

30 RESGUARDO DE ALMACENAMIENTO MASIVO Al resguardar un medio de almacenamiento masivo se puede: 1) Aportar el disco original 2) Hacer una copia ó imagen Forense 3) Hacer un clonado Forense 30

31 ARCHIVO DE EVIDENCIA* / IMAGEN FORENSE Bloqueo de Escritura Copia bit a bit del medio físico Mecanismo de Autenticación * Fuente : NIST : National Institute of standards and technology

32 RESGUARDO DE EVIDENCIA FISICA ARCHIVO DE EVIDENCIA ó CLONADO FORENSE : COPIA BIT A BIT MEDIO (MAGNETICO, OPTICO ó ELECTRONICO) AUTENTICACION DE EVIDENCIA POR MEDIO DE UN ALGORITMO DE HASH DEL CONTENIDO TOTAL DE LA EVIDENCIA 5b748e186f622c1bdd6ea9843d1609c1 HASHES USUALES MD5 (128 bits) SHA-1(160 bits) SHA-256 (256 bits) 32

33 RESGUARDO DE EVIDENCIA FISICA BLOQUEO DE ESCRITURA EVITAR LA ESCRITURA EN EL MEDIO QUE SE RECOLECTA HARDWARE WRITE BLOCKER SOFTWARE WRITE BLOCKER PLATAFORMA DE ADQUISICION CONTROLADA (OS) FREE IMAGING TOOLS dd/dcfldd/adepto FTK Imager Tableau IMager 33

34 RESGUARDO DE EVIDENCIA LOGICA CONTENEDOR DE ARCHIVOS MANTENIENDO LA METADATA INTACTA CON AUTENTICACION INDIVIDUAL DE CADA ARCHIVO 34

35 ANALISIS DE LA EVIDENCIA Algunas de las búsquedas mas comunes : Obtención de datos borrados Búsquedas simples y complejas, directas e indexadas Busqueda de archivos renombrados Búsqueda y análisis de imágenes Busqueda de archivos específicos Análisis de actividad en Internet Análisis de correo electrónico Resolución de encriptados Aplicaciones propietarias y sus artefactos... 35

36 DESAFIOS PARA EL PERITO El perito debe enfrentar diversos artefactos forenses extremadamente dinámicos aún en la misma aplicación... Debe utilizar herramientas forenses actualizadas Debe estar permanentemente capacitado (Foros, PoC, Asociaciones) Debe desarrollar una metodología de prueba y validación 36

37 PROBLEMÁTICA ACTUAL La capacitación del sospechoso El volumen de Datos a procesar 37

38 Muestreo / Triage Permite establecer la pertinencia de la prueba Permite resultados muy limitados pero muy veloces Requiere personal menos entrenado Procesa elementos muy específicos ( keywords, Imágenes, s, Artefactos de Internet...) 38

39 EJEMPLO DE TRIAGE DE IMAGENES Identificación rápida por caracteristicas Faciales, color de piel, contraste y bordes corporales 39

40 EJEMPLO DE TRIAGE DE IMAGENES 40

41 IDENTIFICACIÓN UNÍVOCA DE CONTENIDO DIGITAL Identificación de contenido digital es la comparación binaria bit a bit con un elemento indubitable a fin de establecer pertenencia y/o relacionamiento Delitos de Pornografía Infantil en Internet Delitos sobre la Propiedad Intelectual Otros donde la posesión es relevante 41

42 HASHES TRADICIONALES MD5 SHA1 Archivo 6d7caea5609dde6b73c ef6 c5c767aae57340c4ca0eee120fc5bdccbd8acde0 Revista_ElDerechoInformatico_N2.pdf efb5f4356e40f5fce3386bed04b096ef afeda6ca6703ad699ccee3161c89ef535db6d3bc Paraben Dongle Transfer.pdf e98c425921fe766de02627fb3391eea5 5e339b694d0d8639a d7e9aea3f6864f PFIC GUID.pdf 5b48bdf9ed70917cbcb1ab737ebe5653 5a1b0e572e5532ffeaeea768fc6745d8038f095c Certificado Calibración Fluke DSP-4000.pdf a4ff3e7d87a9c bd61 df3f46128f9d6ff58b4666dda dab69f Fluke LAN trbleshooting.pdf ee1a c8771c1f3b67573e4431 d3defdceba4a4f989e18e576de149bdca7c76d18 Preservando Evidencia Informática en la Empresa.doc 2001f42555dfd22255a4b553a7e ab97ff2471bb0d839e40b9334c4d9192ab08b2d Training Dongles.pdf 26bd337d9d9c39b73245c3f3c24d6eaa eec3f7ddc562b1d7ee0e114906ad59623cb02a44 w7forenpdf.pdf 9f3be31c265d884ff5dbbdb8a98e7fd8 8b125162cddd069a6838a93ffcc12191ec5aa4c2 Runtest.exe 551a34d4d5a3f6b069bc85a6ce666ae5 0999cf ebbbd72ebd65d7cae4f551ab CC32l.exe 42

43 DEBILIDADES DEL HASH Pero y si el sospechoso alteró un solo bit del contenido? 42846cd9c9038a07fab9bb58dbdf6646 aee4fcd9301c03b3b054623ca261959a 43

44 HASHES PARCIALES 44

45 METADATOS EN FOTOGRAFÍAS DIGITALES METADATOS EXIF (Exchangeable image file format) Marca y modelo de la cámara Numero de serie (S/F) Marcas de tiempo Software de edición empleado Características de obturación Orientación de la cámara Coordenadas GPS 45

46 METADATOS EXIF 46

47 GEOLOCALIZACIÓN GPS Fuerte Incremento del uso de chips GPS Bajo costo Estan disponibles en : Automoviles Cámaras Fotográficas Relojes Computadoras portátiles /Tabletas Telefonos celulares : 33 % de los cell fabricados en 2011 tienen GPS y muchos lo activan por defecto 47

48 GEOLOCALIZACIÓN DE UNA FOTOGRAFÍA 48

49 ANÁLISIS FORENSE DE CELULARES Portabilidad Extrema Dispositivos Inteligentes Acceso a redes sociales y metodos de comunicación alternativa Podemos obtener Evidencia de comunicaciones y actividades, aun sin el teléfono celular 49

50 EVIDENCIA EN CELULARES Agenda de contáctos Log de llamadas Calendario / Tareas SMS/MMS enviados, recibidos Mensajería propietaria Imágenes / Video Caché de Internet Artefactos de aplicaciones 50

51 DONDE ESTÁ LA EVIDENCIA EN CELULARES? Storage interno SIM card CELULAR MMC SIM CARD MMC CARD 51

52 SI NO TENGO EL CELULAR? Cell Backup Forensics Se ejecuta sobre la PC sincronizada No requiere del dispositivo Son Incompletos.ipd /bbb.mdbackup 52

53 SISTEMAS DE VIDEOVIGILANCIA 53

54 RECOLECCIÓN DE EVIDENCIA Imagen Forense en RAW Resguardo del CODEC Resguardo de Reproductores 54

55 INVESTIGACION EN MAQUINAS VIRTUALES Artefactos Forenses En el host En la VM Detección Análisis HD Virtual Similitudes Contenedores Cifrados Esteganografía 55

56 INVESTIGACION CON CIFRADO Cifrado / Encripción Mecanismo sencillo de ocultamiento Herramientas accesibles gratuitamente TrueCrypt FileVault2 BitLocker WinZip with AES, RAR Tendencia en crecimiento 56

57 EVIDENCIA DIGITAL CON CIFRADO Contraseñas almacenadas NAVEGADORES APLICACIONES Contraseñas de archivos Office documents, PDF, etc. Contraseñas hasheadas Windows, Unix, etc. Cifrado de volúmenes físicos y lógicos TrueCrypt, BitLocker FileVault2, PGP 1. DETECCION Etapas del análisis 2. RESOLUCION (Obtención de la contraseña / Apertura o acceso) 57

58 METODOLOGÍA PARA EL DESCIFRAR Debilidad del Algoritmo Desencripción Instantánea Remoción de Protecciones Ataque de Keyspace en memoria RAM Uso de Rainbow Tables Obtención de contraseñas Diccionario Fuerza Bruta 58

59 TIPS PARA DESCIFRAR Utilizar Diccionarios personalizados del Sospechoso Utilizar Hardware adicional para ataque de fuerza bruta ( CPU multi nucleos, Procesadores Video GPU) Utilizar Ataque distribuido Utilizar servicios en la nube (Amazon) solo en Investigaciones corporativas 59

60 ANALISIS FORENSE EN LA NUBE Características: Tercerización CSP n Multiples Tenedores de servicios dependientes Multiples Jurisdicciones Seguridad/Resguardo---SLA Recolecciòn de Evidencia en la nube: Formatos de datos diferentes Zonas de Tiempo diferentes 60

61 DESAFÍOS DE PRUEBA EN LA NUBE No disponemos de los datos No tenemos acceso a la infraestructura física Son sistemas distribuídos y virtuales Tienen espacio de almacenamiento distribuido en ubicaciones cambiantes Pueden compartir espacio fisico entre usuarios Frecuentemente transnacionales Con poca o nula colaboración del CSP 61

62 OBTENCIÓN DE EVIDENCIA DIGITAL EN LA NUBE La misma puede ser recolectada voluntariamente por la parte* u ordenada por las autoridades legales *Siempre que tenga validez legal y técnica RECOLECCION DE EVIDENCIA EN LA NUBE Por vía indirecta (Artefactos locales en almacenamiento masivo o memoriaram y en Tráfico de red ) Por vía directa: Con acceso de bajo nivel a la nube 62

63 LA DEEP WEB Profundidades donde las arañas de los motores de búsqueda no llegan Páginas que requieren usuario/contraseña Datos solo accesibles por sistemas específicos Páginas excluídas de forma explícita Links generados de forma dinámica 63

64 LA DEEP WEB Requiere navegadores especiales (TOR) No posee DNS (Se requiere la dirección exacta para llegar) SERVICIOS TOR (Anònimos con IP del Servicio) Navegación Correo Electrónico Mensajería Instantánea Almacenamiento Redes Sociales P2P Potencialmente cualquier servicio 64

65 QUIENES VISITAN LA DEEP WEB? Fuerzas de la Ley Activistas Periodistas Estafadores Narcotraficantes Espías Traficantes de Armas Sicarios Pedófilos Cibercriminales 65

66 EL CIBERDELITO EN LAS PROFUNDIDADES La investigaciòn se dificulta por el anonimato y la falta de mapas No es posible conocer : Quien Produce/Distribuye contenidos Quien Consume contenidos DESAFIO: Muchas de las investigaciones que tienen su origen en la Web Superficial conducen a puntos muertos en la Deep Web 66

67 PREGUNTAS??? Muchas Gracias por su participación Ing. Gustavo Daniel 67