Virtualización de Evidencia en una Investigación Forense Informática 18 Agosto 2011, Huancayo Perú

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Virtualización de Evidencia en una Investigación Forense Informática 18 Agosto 2011, Huancayo Perú"

Samuel Roldán Cabrera
hace 8 años
Vistas:

1 XIX Congreso Nacional de Estudiantes de Ingeniería de Sistemas - XIX CONEISC UNCP 2011 Virtualización de Evidencia en una Investigación Forense Informática 18 Agosto 2011, Huancayo Perú Ing. Gustavo Daniel Presman MCP, EnCE, CCE, EnCI, ACE,NPFA, FCA ESTUDIO DE INFORMATICA FORENSE gustavo@presman.com.ar Linkedin: 1

2 AGENDA Introducción a la Informática Forense Evolución de las VM y su implicancia en la investigación digital Virtualización de Evidencia Digital Análisis forense de las VM Casos reales 2

3 CONCEPTOS PRELIMINARES INFORMATICA FORENSE = INFORMATICA + BASE LEGAL AMBITO JUDICIAL AMBITO CORPORATIVO 3

4 DEFINICION DE INFORMATICA FORENSE Es la ciencia de adquirir, preservar, obtener y presentar datos que han sido procesados electronicamente y almacenados o transmitidos a través de un medio informático 4

5 DEFINICION DE INFORMATICA FORENSE Es la ciencia de adquirir, preservar, obtener y presentar datos que han sido procesados electronicamente y almacenados o transmitidos a través de un medio informático EVIDENCIA INFORMATICA 5

6 Que es Evidencia Digital? EVIDENCIA INFORMATICA = EVIDENCIA DIGITAL = EVIDENCIA ELECTRONICA... Datos que han sido procesados electronicamente y almacenados o transmitidos a través de un medio informático... (FBI) MEMORIA DE ALMACENAMIENTO MEMORIA RAM TRAFICO DE RED 6

7 EL MODELO FORENSE DE LOS DATOS Datos Obtenidos con herramientas comunes (p/ej Windows Explorer) Datos adicionales obtenidos con herramientas forenses (Borrados, Renombrados, Ocultos, Dificiles de obtener ) 7

8 ETAPAS DEL ANÁLISIS FORENSE INFORMÁTICO Adquisición : Recolección efectiva del objeto Preservación : Conservación del objeto Obtención : Análisis y búsqueda Presentación : Informe de resultados 8

9 CAMPOS DE ACTUACION Tenemos entonces dos grandes grupos de actuación con requerimientos específicos de tecnología: Resguardo (Recolección Efectiva) : Discos, rígidos memorias, arrays, telefonos celulares y dispositivos móviles Procesamienteo (Obtención y Presentación ): Herramientas para la búsqueda de elementos específicos sobre el grup anterior 9

10 PUNTOS DE APOYO DEL ANALISIS FORENSE METADATOS ARTEFACTOS 10

11 ALGUNAS FUENTES DE METADATOS Y ARTEFACTOS FORENSE El proceso de almacenamiento y borrado El acceso a Internet La ejecucion de impresiones El sistema operativo de la computadora Las listas de búsquedas Los contáctos de un IM Las IP de descarga de P2P 11

12 QUE COSAS PODEMOS OBTENER DEL ANALISIS FORENSE DE LA EVIDENCIA? Con los datos visibles Documentos Correos electronicos Fotos digitales Listados y logs 12

13 QUE COSAS PODEMOS OBTENER DEL ANALISIS FORENSE DE LA EVIDENCIA? Con los Metadatos y Artefactos Usuarios del sistema y sus claves Actividad en el sistema operativo Lineas de tiempo Actividad en Internet Ubicacion geografica de una computadora Webmail Impresiones realizadas Medios removibles conectados Fotos digitales y su relacion con camaras 13

14 QUE ES UNA MAQUINA VIRTUAL? Es una aplicación de software que emula a una computadora y puede ejecutar programas como si fuese una computadora real Conceptualmente, al ser una aplicación de software puede emular cualquier sistema operativo 14

15 COMPONENTES DE UNA MAQUINA VIRTUAL HOST (Anfitrión) : Plataforma de virtualización que contiene las maquinas virtuales (VM) GUEST (Invitado) : VM corriendo en el host 15

16 Tecnologías Actuales de Virtualización Server Desktop Storage Aplicaciones Principales actores VMWARE Citrix Microsoft 16

17 Evolución de las VM Las VM han pasado de simples recursos informáticos a poderosos sistemas de producción 17

18 ANALISIS FORENSE DE UN MEDIO MAGNETICO Frecuentemente el investigador contara con un archivo de evidencia* de la CPU bajo análisis. HD ORIGINAL *archivo de evidencia ARCHIVO DE EVIDENCIA (NIST :National Institute of standards and technology Copia bit a bit del contenido del medio magnético, que incluye: Metadatos del sistema operativo Espacio utilizado y no utilizado y Slack space Mecanismo de Autenticación y Validación 18

19 FORMATOS DE ARCHIVO DE EVIDENCIA Formato Abierto : dd Formato universal de Linux/Unix Formatos Propietarios : Encase (EW), SMART, SafeBACK Formatos aceptados en numerosas cortes del mundo y validados por instituciones independientes 19

20 VIRTUALIZACION DE EVIDENCIA DIGITAL Acceder a la evidencia de manera directa para Utilizar una herramienta sobre la unidad (Casos de Hacking y pornografía infantil) Ejecutar una aplicación propietaria Visualizar y presentar la evidencia de modo mas real (operadores judiciales) 20

21 HERRAMIENTAS DE VIRTUALIZACION VMWARE 21

22 ALTERNATIVAS DE PROCESAMIENTO : Restaurar la evidencia original en un medio alternativo Utilizar procesamiento intermedio 22

23 HERRAMIENTAS DE VIRTUALIZACION DE EVIDENCIA LiveView : Virtualiza controladores para evitar BSOD ( GNU GPL) FTK Imager Mount Image PRO VFC Virtual Forensic Computer Toolkit 23

24 VIRTUALIZACION DE HD CON FTK IMAGER 24

25 HERRAMIENTAS DE VIRTUALIZACION VMWARE 25

26 HERRAMIENTAS DE VIRTUALIZACION LIVE View 26

INVESTIGANDO MAQUINAS VIRTUALES La difusión de VMs en entorno de producción y la utilización de las mismas para actividades informáticas que no dejen rastro es cada vez mas frecuente METODOLOGIA :

27 INVESTIGANDO MAQUINAS VIRTUALES La difusión de VMs en entorno de producción y la utilización de las mismas para actividades informáticas que no dejen rastro es cada vez mas frecuente METODOLOGIA : Identificación del uso de VMs Extracción del archivo de evidencia Montaje virtual de la unidad o utilización de Toolkit Forense con soporte de discos virtuales Analisis de artefactos tradicionales 27

28 ESTRUCTURA DE MAQUINAS VIRTUALES Virtual Box A APLICACIONES VM Virtual Box VMware (Win/*nix Fussion) Virtual PC / Virtual Server Virtual Box Parallels KVM 28

29 COMPONENTES DE UNA MAQUINA VIRTUAL Veamos como ejemplo los componentes de una maquina virtual VmWare NombreMV.Vmx : Archivo de configuración de la VM NombreMV.Vmdk : Disco virtual de la VM NombreMV.Vmdk : Logs de la VM Vmware.log : Log de actividades Nvram : BIOS emulado de la VM 29

30 COMPONENTES DE UNA MAQUINA VIRTUAL NombreMV.Vswp : Archivo de intercambio de la VM NombreMV.-s00x.Vmdk : Snapshots de la VM NombreMV-***.Vmss : Contenido de RAM de VM suspendidas 30

31 PASOS PARA EL ANALISIS DE UNA MAQUINA VIRTUAL 1. Extracción 2. Acceso al disco virtual The SleuthKit Vmware Disk Utility Encase -FTK-WinHex 3. Utilización del Toolkit, según objeto de la investigación 31

32 MONTANDO EL DISCO VIRTUAL DE LA MAQUINA VIRTUAL Precaución al utilizar software no forense! 32

33 CONCLUSIONES Las VM son valiosas auxiliares del investigador forense informático Las VM se utilizan para ocultar actividades Al montar V M utilizar herramientas que independicen la capa de hardware Al investigar VM utilice software forense 33

34 Muchas Gracias por su participación Ing. Gustavo Daniel Presman MCP, EnCE, CCE, EnCI, ACE,NPFA, FCA ESTUDIO DE INFORMATICA FORENSE Linkedin: 34

Documentos relacionados

COMO PRESERVAR LA EVIDENCIA DIGITAL EN UN INCIDENTE INFORMATICO

COMO PRESERVAR LA EVIDENCIA DIGITAL EN UN INCIDENTE INFORMATICO Ing. Gustavo D. Presman @gpresman Agenda Aspectos básicos de la evidencia digital Aspectos Legales Aspectos Técnicos y Procedimentales Conclusiones