ÍNDICE INTRODUCCIÓN...17

Transcripción

1 ÍNDICE INTRODUCCIÓN...17 CAPÍTULO 1. SE HA ESCRITO UN CRIMEN DIGITAL UN DÍA COMO OTRO CUALQUIERA INTERVENCIÓN Los primeros en llegar Apagado sin más Objetos intervenidos LA AMENAZA DIGITAL El delito informático Evaluación del riesgo Los motivos del agresor Amenazas internas y externas DINÁMICA DE UNA INTRUSIÓN Footprinting Escaneo de puertos y protocolos Enumeración Penetración y despliegue de exploits Puertas traseras Borrando huellas...36 CAPÍTULO 2. LA INVESTIGACIÓN FORENSE ETAPAS DE UNA INVESTIGACIÓN FORENSE Adquisición (Imaging)...38

2 8 INTRODUCCIÓN A LA INFORMÁTICA FORENSE RA-MA Análisis Presentación La línea de tiempo REQUISITOS DE LA INVESTIGACIÓN FORENSE Aceptabilidad Integridad Credibilidad Relación causa-efecto Carácter repetible Documentación VALORACIÓN JURÍDICA DE LA PRUEBA DIGITAL Interés legal de la prueba Prueba física y prueba personal Cualificación del investigador forense La adquisición: fase crucial...45 CAPÍTULO 3. SOPORTES DE DATOS PROCEDIMIENTOS DE ADQUISICIÓN EnCase & Linen dd dcfldd, dc3dd y ddrescue AIR Adquisición por hardware MD5 y SHA Cálculo de MD5 con Linux DISCOS, PARTICIONES Y SISTEMAS DE ARCHIVOS NTFS FAT ext2, ext3, ext HFS, HFS+, JFS, ReiserFS, etc MODELO DE CAPAS Nivel 1: dispositivos físicos Nivel 2: volúmenes y particiones Nivel 3: sistemas de archivos Nivel 4: bloques de datos Nivel 5: metadatos Nivel 6: nombre de archivo Nivel 7: journaling...66

3 RA-MA ÍNDICE RECUPERACIÓN DE ARCHIVOS BORRADOS Dinámica del borrado de archivos Sector/, cluster/ y file slack ANÁLISIS DE UNA IMAGEN FORENSE CON TSK Componentes de TSK Adquisición de un soporte de datos Instalación de TSK Análisis de la imagen Análisis del sistema de archivos Listado de archivos Recuperando archivos borrados ANÁLISIS DE ARCHIVOS Firmas características Documentos Archivos gráficos Multimedia Archivos ejecutables Exclusión de archivos conocidos DATA CARVING Cuando todo lo demás falla Extracción de archivos...92 CAPÍTULO 4. ANÁLISIS FORENSE DE SISTEMAS MICROSOFT WINDOWS RECOPILANDO INFORMACIÓN VOLÁTIL Fecha y hora del sistema Conexiones de red abiertas Puertos TCP y UDP abiertos Ejecutables conectados a puertos TCP y UDP Usuarios conectados al sistema Tabla de enrutamiento interna Procesos en ejecución Archivos abiertos ANÁLISIS FORENSE DE LA RAM Captura de RAM completa con dd Volcado de RAM ADQUISICIÓN DE SOPORTES Adquisición con EnCase...107

4 10 INTRODUCCIÓN A LA INFORMÁTICA FORENSE RA-MA Adquisición con FTK Imager Otros métodos ANÁLISIS POST MORTEM Análisis con EnCase AccessData FTK Captain Nemo Mount Image Pro FileDisk INVESTIGACIÓN DEL HISTORIAL DE INTERNET Microsoft Internet Explorer X-Ways Trace iehist Historial de navegación en Mozilla/Firefox Chrome LA PAPELERA DE RECICLAJE Análisis de la papelera con Rifiuti Funcionamiento de la papelera en Windows Vista/ COOKIES CORREO ELECTRÓNICO Formatos PST y DBX Folders Otros clientes de correo Paraben's Examiner BÚSQUEDA DE CARACTERES SectorSpy, Disk Investigator y Evidor X-Ways Forensics METADATOS Cómo visualizar los metadatos de un documento Metadata Assistant FOCA Metadatos EXIF ANÁLISIS DE PARTICIONES NTFS Y FAT Runtime DiskExplorer Recuperación de archivos borrados Runtime GetDataBack EasyRecovery Professional R-Studio...140

5 RA-MA ÍNDICE EL REGISTRO DE WINDOWS Estructura y archivos del Registro Análisis off line con Windows Registry Recovery RegRipper CAPÍTULO 5. ANÁLISIS FORENSE DE SISTEMAS LINUX/UNIX HERRAMIENTAS DE CÓDIGO LIBRE Qué es exactamente el código libre? Linux en la investigación forense Poniendo en marcha una estación de trabajo con Linux Descarga, compilación e instalación de herramientas Montaje automático de particiones ESTRUCTURA TÍPICA DE UN SISTEMA LINUX Arquitectura y sistemas de archivos Jerarquía de directorios Archivos y permisos Marcas de tiempo INFORMACIÓN VOLÁTIL Fecha y hora del sistema Información de interés Puertos y conexiones abiertas Procesos en ejecución ADQUISICIÓN FORENSE Adquisición con dd Adepto ANÁLISIS La línea de tiempo Herramientas para elaborar una línea de tiempo Recuperación de archivos borrados OTRAS HERRAMIENTAS Chkrootkit y Rkhunter Md5deep CAPÍTULO 6. REDES E INTERNET COMPONENTES DE UNA RED Visión general de una red corporativa Archivos de registro Preservación de elementos de evidencia en redes...175

6 12 INTRODUCCIÓN A LA INFORMÁTICA FORENSE RA-MA Siguiendo pistas PROTOCOLOS Capa de transporte: TCP Puertos Capa de red: IP Enrutamiento Capa de enlace de datos: interfaces Ethernet Protocolos de nivel superior: HTTP y SMB ANALIZANDO EL TRÁFICO DE RED Wireshark Captura de tráfico: hubs, mirroring, bridges Utilización de Wireshark Un ejemplo práctico COMPROBACIÓN DE DIRECCIONES IP Herramientas de traza de red Whois o quién es quién en Internet Ping/fping Traceroute/tracert CORREO ELECTRÓNICO Cabeceras Estructura típica de un encabezado CAPÍTULO 7. INVESTIGACIÓN FORENSE DE DISPOSITIVOS MÓVILES TELÉFONOS MÓVILES INTELIGENTES Smartphones: pasaporte al siglo XXI Hardware Software Información obtenible INVESTIGACIÓN FORENSE DEL APPLE IPHONE Consideraciones generales Adquisición del iphone mediante itunes iphone Backup Extractor Acceso a un backup encriptado Adquisición lógica con herramientas de terceros Adquisición física de un iphone Jailbreaking Adquisición basada en técnicas de jailbreaking Adquisición de otros dispositivos Apple...232

7 RA-MA ÍNDICE DISPOSITIVOS ANDROID Introducción a Android Adquisición de la tarjeta de memoria Acceso al terminal Android Utilidades de sincronización Acceso mediante Android SDK Algunas nociones básicas de Android Debug Bridge Significado del rooting en Android Adquisición física mediante dd Examen de la memoria RESTO DE DISPOSITIVOS Y PROCEDIMIENTOS Supervivientes Adquisición mediante Cellebrite UFED PROCEDIMIENTOS Y RIESGOS Alteración de las pruebas Recomendaciones ACPO Intervención de un dispositivo móvil Riesgo legal Privacidad CAPÍTULO 8. INVESTIGACIÓN DE IMÁGENES DIGITALES INFORMÁTICA FORENSE E IMÁGENES DIGITALES IMÁGENES MANIPULADAS Verdadero o falso? Cómo funciona una cámara digital? Interpolación e inconsistencia estadística Artefactos Zonas clonadas Inconsistencias en la iluminación E.L.A. (Error Level Analysis) UTILIZACIÓN COMO HERRAMIENTA FORENSE La imagen digital como prueba Recomendaciones SWGIT Buenas prácticas Adquisición de imágenes en formato RAW METADATOS GRÁFICOS Exif IPTC-IIM y Adobe XMP...267

8 14 INTRODUCCIÓN A LA INFORMÁTICA FORENSE RA-MA Instalación y manejo de Exiftool Ejemplo de aplicación Limitaciones CAPÍTULO 9. HELIX UNA DISTRIBUCIÓN DUAL Qué es Helix? Características y novedades Obtención de Helix Arranque en vivo CD autoarrancable HELIX SOBRE UN SISTEMA EN FUNCIONAMIENTO Interfaz Información del sistema Examen de la información volátil Información de discos Información de memoria RAM ADQUISICIÓN DEL SISTEMA EN VIVO Orden de volatilidad Adquisición de memoria RAM Recolección de información volátil Imágenes de discos Examen de un sistema en funcionamiento Helix3 Pro TM Receiver HELIX AUTOARRANCABLE Live-CD Linux Algunos aspectos de interés forense en Helix Helix en una máquina virtual CAPÍTULO 10. HERRAMIENTAS SOFTWARE DISTRIBUCIONES LINUX Backtrack Knoppix SystemRescueCD CAINE Slackware VIRTUALIZACIÓN VMware...307

9 RA-MA ÍNDICE VirtualBox Listado de herramientas CAPÍTULO 11. CONCLUSIONES ESCENARIOS Y APLICACIONES En el Juzgado Investigaciones en organizaciones y empresas Particulares y compañías de seguros Sector público y seguridad nacional OBSTÁCULOS Destrucción intencionada de la evidencia Tecnologías antiforenses DESAFÍOS PARA EL FUTURO Clusters Cloud computing ALGUNAS RECOMENDACIONES La vida no es bella Para terminar BIBLIOGRAFÍA ÍNDICE ALFABÉTICO...329