II Jornada sobre Auditoria, Seguridad y Peritaje Informático II JASEPIT PRESERVACION DE EVIDENCIA DIGITAL

Transcripción

1 II Jornada sobre Auditoria, Seguridad y Peritaje Informático II JASEPIT EVIDENCIA DIGITAL TUCUMAN, 25 DE NOVIEMBRE DE 2011

2 MARCO Trabajo de investigación realizado en el marco dispuesto por el Àrea de Investigación del Centro de Perfeccionamiento Ricardo C. Nuñez Sistema de Proyectos de Investigación en el ámbito del Poder Judicial de Córdoba en el período Título: Cadena de Custodia de Material sujeto a pericia. Equipo de Investigación: Integrantes de Sección Informática Forense, Quimica Legal, Unidad Judicial, Fiscalía de Instrucción, Secc. Pericias Mecánicas, Abogados del Fuero Local. Al inicio del trabajo de investigación, no se conocía material o normativa relacionada con el tratamiento de evidencia incorporada legalmente a un proceso penal y que a posterior podía ser sujeto a pericia o no. Actores: Fuerzas Policiales provinciales y/o nacionales, operadores judiciales. Objetivo: Ofrecer pautas comunes a los distintos actores de un proceso penal, en el ámbito de la Justicia de la Provincia de Córdoba, para la identificación, preservación y trazabilidad de cualquier material sujeto a pericia. Guía de Trabajo en el proceso de cadena de custodia.

3 PARA ELLO: Se efectuó trabajo de campo mediante el cual se relevaron los actuales procedimientos de trazabilidad, identificación y preservación de los elementos que pasan por dependencias policiales, judiciales (unidades judiciales, secciones y fiscalías de instrucción). Se realizó un enfoque hacia un Sistema de Gestión de Calidad tendiente a incorporar conceptos de mejora continua en el quehacer diario en cada una de las Dependencias antes mencionadas. Desafío: incorporar procedimientos que hacen a la calidad de las acciones que se desarrollan en el ámbito público y que por su génesis son aplicadas en el ámbito privado. El ciclo se conforma de cinco etapas, responsabilidad de la Dirección, gestión de recursos, producto y servicio, producto y servicio terminado y medición, análisis y mejora, retorno al punto de partida. Un S.G.C. requiere de documentación, control de registros, recursos humanos e infraestructura. Coincidentemente las normas I.S.O. promueven la identificación, la trazabilidad y preservación del producto identificación, manipulación, almacenamiento y protección.

4 CONCEPTO: Cadena de custodia aplicada al tratamiento forense en el ámbito judicial se define como un procedimiento establecido por una reglamentación o normativa, que tiene el propósito de garantizar la identificación, preservación y trazabilidad de elementos que pueden ser fuente de prueba, sean estos creados, recolectados o aportados, a fin de analizar y obtener, por parte de los técnicos o científicos, un concepto técnicoforense. Y está destinada a regir el paso completo de la evidenciaprueba en un proceso judicial cualquiera. Concepto desarrollado por el equipo de investigación. Según: Leopoldo Sebastián Gómez en su artículo[1]: Los procedimientos judiciales complejos conllevan en muchos casos al contacto con elementos tecnológicos. Existen numerosas razones que pueden llevar a cometer errores en la identificación y preservación de potencial evidencia digital, así como también en el aseguramiento de la cadena de custodia. A modo ilustrativo puede citarse la falta de formación técnica, la ausencia de procedimientos formales, y la dificultad para obtener documentación en lenguaje nativo ya que la mayor parte del personal policial y muchos profesionales del derecho no cuentan con un nivel de lectura adecuado en idioma inglés [1] Guía Operativa para Procedimientos Judiciales con secuestro de tecnología Informática.

5 IMPACTO: La obtención de una guía de procedimientos estándares e integrales, de Cadena de Custodia, con sus elementos constitutivos, identificación, trazabilidad y preservación, de cualquier tipo de materiales sujetos a pericias, ofrece la posibilidad de la individualización unívoca e inalterabilidad del material, en el desarrollo de causas penales. Dicho instrumento (guía), permitirá unificar formas de trabajo y como tal incorporar modificaciones superadoras, con relación al tratamiento del material en todas las etapas del proceso. La incorporación de métodos y procesos de calidad, aportan elementos consistentes que garantizarían la implementación de la Cadena de Custodia.

6 ÁREA DE TRABAJO: Se identificó a responsables de cada una de las áreas seleccionadas para llevar a cabo el trabajo de recolección de datos. Unidad Judicial, Fiscalía de Instrucción, Secciones Científicas. Elaboración de Flujogramas Preservación Evidencia Física: Material Recepción Acta Pericias Informáticas Ente Externo Identificación Material Traza Ficha de Traza Traza Remisión Recepción Se perita? No Si Material Fiscalía de Instrucción Traza Tramite Informe / Pericia Material Traza Unidad Judicial Informe / Pericia Expte Traza Acta Material Restitución

7 Elaboración de Flujogramas Preservación Evidencia Lógica: Ente Externo Unidad Judicial Pericias Informáticas Aporte de datos Trámite Remisión Recepción Tramite Acta Informe Fiscalía de Instrucción Construcción de material Material Ejemplar original Informe Ejemplar original Traza Ejemplar copia Ejemplar original Traza

8 CONCLUSION: Se detectó que en las distintas Dependencias por las que circulaba la evidencia física, había un tratamiento heterogéneo de la misma, se seguían políticas y procedimientos heredados y/o modificadas según el funcionario a cargo de la Unidad Judicial, Fiscalía de Instrucción y Dependencia Científica. Apuntaban fundamentalmente a la identificación y preservación propia con el fin de salvarse de cualquier inconveniente ulterior poniendo en practica experiencia propia y/o ajena. Existen distintas situaciones que procedimientos propios y necesarios alteran la evidencia física aportada inicialmente, ocasionando transformación y/o destrucción de la misma, ej. Material biológico, y otros que incorporan mediante procedimientos forense evidencia digital que antes no se encontraba dentro del proceso para análisis posterior, ej. Informática Forense. La preservación de igual manera es heterogénea, en la mayoría de las Dependencias se aplican métodos propios al momento de la recolección, para el posterior diligenciamiento interno y/o interdisciplina. Ej. Secuencia de video (informática forense) envía DVD a video legal para su análisis e impresión de cuadros video útiles para la investigación.

9 MANIPULACION DE EVIDENCIA FISICA DISPOSITIVO MÓVIL En caso que el dispositivo móvil se encuentre encendido, se procederá a resguardarlo en estado en que se encuentra, no operarlo o manosearlo por ningún motivo, ya que toda la información que se introduzca posterior al aislamiento de su propietario puede ser perjudicial para la investigación, ello significa por ejemplo, no hacer llamados para identificar el número de abonado, ello se pide posteriormente a la empresa prestataria del servicio de telefonía celular. De ser factible averiguar si el usuario le ha colocado claves de acceso personal, hacerlo constar en acta que la persona aporta la información en forma espontánea y por propia voluntad. En caso que el dispositivo se encuentre apagado, proceder al secuestro del elemento identificando el mismo por su número de IMEI, número de tarjeta SIM, rasgos característicos visuales, ej color de la carcasa, si se observan defectos o detalles hacer constar en el acta de secuestro, ej display o visor rasgado, ausencia de SIM, de batería, otros. Bajo ninguna circunstancia encenderlo, solo se deberá hacer constar que se procede al secuestro sin comprobar operatividad.

10 PROPUESTA PARA LA DISPOSITIVOS ELECTRONICOS Una vez que se ha tomado contacto y se han identificado los elementos que componen la evidencia física, se procederá a preservar los mismos en un sobre contenedor que sea preferentemente sólido en su arquitectura, ej. bolsa de plástico termo sellada o con cierre hermético, introducir bolsitas de silica gel en contacto con el dispositivo electrónico. Usar No usar

11 MANIPULACION DE EVIDENCIA FISICA HARDWARE INFORMATICO En caso que el elemento de hardware se encuentre encendido al momento del abordaje, se procederán a realizar todas las acciones tendientes a descubrir en el si existe información necesaria y de interés para la causa judicial, una vez concluidas las mismas, si es necesario su secuestro, se procederá a su correcto apagado y desconexión de la energía de alimentación, posteriormente; se tomarán todos los elementos necesarios para recrear su funcionamiento en laboratorio, todo el conjunto debidamente identificado por sus características, marca, modelo, números de serie, se deberá alojar en bolsas de papel madera, caja de cartón, cada envoltorio se deberá cerrar para evitar el acceso físico, si no se cuenta dichos elementos, se procederá a aislar mediante fajas los puertos USB, disqueteras, lectoras de CD DVD. Finalmente se procederá a su traslado con el cuidado necesario para resguardar todos los elementos de posibles daños que impidan su normal funcionamiento. En caso que el elemento de hardware se encuentre apagado, proceder al secuestro del elemento identificando el mismo por su marca, modelo, número de serie y características externas, ej color de la carcasa, si se observan defectos o detalles hacer constar en el acta de secuestro, Bajo ninguna circunstancia encenderlo, solo se deberá hacer constar que se procede al secuestro sin comprobar operatividad.

12 PROPUESTA PARA LA ELEMENTOS DE INFORMATICA Tanto en la labor de campo como de laboratorio, una vez que se ha tomado contacto y se han identificado los elementos que componen la evidencia física, se procederá a preservar los mismos en un sobre contenedor que sea preferentemente sólido en su arquitectura, ej. Sobre de tipo papel madera (cd s, dvd s, tapes, pen drives), fabricar protección con papel corrugado (CPU s, Monitores, impresoras), bolsas antiestáticas (discos rígidos).

13 EVIDENCIA: Del latin: evidentia según la Real Academia Española es certeza clara y manifiesta de la que nadie puede dudar. Significado para el derecho: Prueba determinante en un proceso. - Concepto Práctico: Es la prueba contenida en algún medio (ej. dvd), al momento del trabajo de campo, o ha sido obtenida mediante procedimientos forenses (automáticos o manuales) en el trabajo de laboratorio, y que a posterior se resguardan en un medio apropiado (disquette, hd, cd, dvd, tape, pen drive otros) para análisis ulterior a fin de determinar su relación a un delito que esta siendo investigado.

14 Dónde podemos encontrar Evidencia Digital? Computadoras (personales, portátiles, de escritorio, tablets pc, servidores, PDA, Smartphone) Discos Duros Tapes Backup Teléfonos Móviles Agendas electrónicas Cámaras de Fotos, filmadoras Grabadores Digitales Medios de almacenamiento Ópticos (CD, DVD). Medios de almacenamiento Masivo (Pendrives, Memorias Flash)

15 Qué hacemos con la Evidencia Digital? Identificación: Unívoca de la misma, mediante un método uniforme y completamente sustentable en todas las áreas que tienen contacto con la evidencia digital, incorporación de un ficha de traza que debe ser llenada por cualquier persona que tome contacto directo con la evidencia colocación de rúbrica, ej. Cuando el técnico secuestra de la escena del crimen un DVD. Preservación: Si la evidencia se encuentra contenida en un medio idóneo, DVD, CD, otro, se preserva físicamente como se mencionó anteriormente, si surge de la misma escena del crimen, ej. Sistema de monitoreo que capto escenas de un ilícito, se genera un archivo en formato nativo y se generan dos ejemplares idénticos del medio óptico construido y se aportan a la causa mediante instrumentos legales (acta que contiene procedimiento e identificación de la evidencia digital). Se puede emplear Técnicas de HASH para posterior comparación de archivos. Análisis: A través de hardware y/o software de uso forense.

16 PAUTAS PARA LA Trabajo de Campo o de Laboratorio Previo a la preservación resulta necesario obtener la evidencia digital mediante el uso de técnicas, hardware y software forense para garantizar la intangibilidad de la prueba. Ej. Si la información de interés se encuentra contenida en un medio de almacenamiento masivo (pen drive) y es necesario resguardar contenido para posterior análisis. previo a conectarlo a un computador, verificar que los puertos de lectura USB están en modo de solo lectura. Usar software forense para efectuar la imagen bit a bit del pen drive Verificar hash de original y copia Resguardar archivo de imagen en medio idóneo de acuerdo a la capacidad de origen Generar dos copias idénticas con el material de interés. Colocar ambas copias en medios contenedores que protejan su integridad física. Una queda en archivo y otra se remite junto al informe / pericia a la Dependencia Judicial donde se lleva a cabo la instrucción de la causa y se glosa al expediente.

17 Preservación de Evidencia Digital contenida en un dispositivo móvil: Trabajo de campo o de Laboratorio Si se emplea hardware y software forense para extraer información de interés contenida en un dispositivo móvil (teléfono celular, smartphone, gps, otro), se debe: Resguardar todo el contenido relacionado con la causa que se encuentra en la memoria del dispositivo en un medio idóneo. Confeccionar dos ejemplares idénticos, uno para archivo y otro para glosar a la causa. Imprimir dos ejemplares idénticos del informe cuyo contenido es: agenda, registros de llamadas, registros de mensajes, calendario de eventos. Remitir Informe y material para incorporar a la causa, archivar copia de informe y material conteniendo la evidencia digital generada. Restituir material original aportado para estudio. Si se emplea método de relevamiento manual en un (teléfono celular),se repiten pasos anteriores.

18 Incorporación del Mensaje de texto o correo electrónico contenido en un dispositivo móvil como evidencia - Preservación El perito cuando actúa en el trabajo de campo y en laboratorio, confecciona un Acta e Informe Técnico para que sea incorporado a la causa judicial. Establece cadena de custodia del elemento de interés ( ej. mensaje de texto o de internet). Incorpora el elemento en un medio de preservación idóneo. Datos que se pueden solicitar a posterior por la parte investigativa: El número de abonado, datos del titular, períodos de tráfico de interés y datos estadísticos de transacciones de mensajes de texto. Se debe aportar el Número de Tarjeta SIM y/o Número de IMEI. La información solicitada debe fijarse en un rango de tiempo. Cuando el perito verifica que el número de IMEI no coincide entre el sticker y el relevado por teclado mediante *#06#, se hace constar para posteriores diligencias. Cuando la información de interés está relacionada con la intimidad de las personas, SIEMPRE (CODIGO PROCESAL PROVINCIA DE CORDOBA) debe ser autorizado el relevamiento por el Juez de Control que corresponda por Jurisdicción.

19 Ejemplos: SMS de celular (yy) siempre te dijimos Remitente: 6245 (servicio de internet) Enviado: Hora (hh:mm:ss) Fecha: (xx/xx/xxxx) Datos claves para obtener el orígen Número de IMEI y tarjeta SIM del receptor Servicio por el cual se ingreso el SMS Fecha y hora del sms Solicitar verificación de fecha y hora a la empresa prestataria de servicios de telefonía móvil y posibilidad de obtener IP de emisor Con el IP del emisor se deberá requerir a la empresa proveedora de servicio la localización física del mismo

20 Cuerpos de mensajes en dispositivos tipo smartphone Número: +549 Nombre (si esta en agenda) Fecha y hora: dd/mm/aa hh:mm:ss (GMT -3) caso Argentina Estado: enviado, recibido, almacenamiento (teléfono o sim) Tipo: saliente, entrante TEXTO TEXTO Datos claves para obtener el orígen Número de IMEI y tarjeta SIM del receptor Número de abonado emisor Fecha y hora del sms

21 MUCHAS GRACIAS POR SU TIEMPO Ing. Gustavo Guayanes