Investigación en informática forense

6 de marzo de 2015 Autor: Antonio Salmerón

 

El objetivo de toda investigación es descubrir y presentar la verdad y por ello el objetivo de este módulo es hacerlo a partir de pruebas digitales. Dependiendo de los casos este proceso de investigación en informática forense puede implicar unas consecuencias poco relevantes, en algunos tener importancia económica y en otros una gran trascendencia, especialmente cuando están en relación con la libertad, las sanciones e incluso las penas.

[Cracker; Figura mkd]: Kevin David Mitnick, Condor, el primer Kevin, usualmente ocupa el primer lugar de los rankings históricos de crackers.

Por ello además de emplear una metodología de confianza hay que emplear técnicas que garanticen que el análisis, la interpretación y la presentación de los informes con pruebas digitales son fiables, objetivos y transparentes y justo este es el objetivo de este módulo.

Para alcanzar su objetivo este módulo se estructura cubriendo 3 áreas fundamentales de la investigación en informática forense:

  • El trabajo en la escena del delito donde pueden existir tanto pruebas físicas tradicionales como pruebas digitales.
  • La reconstrucción con pruebas digitales, la reconstrucción del comportamiento humano es como la resolución de un puzle multidimensional donde puede haber piezas evidentes y otras perdidas, dañadas y, por supuesto, escondidas.
  • Los perfiles, las motivaciones y el modus operandi de las personas que, aunque exista una larga tradición de estudio en criminología, en el área de las tecnologías de la información mezcla características clásicas con otras muy particulares.
[Cracker; Figura pkl]: Kevin Lee Poulsen, Dark Dante, el segundo Kevin, usualmente ocupa el segundo lugar de los rankings históricos de crackers.

Programador: Persona que desarrolla programas de computador. | Plural: Programadores | Bibliografía: Salmerón, A.; et ál.; 1996

Ciberdelitos y ciberterrorismo

6 de marzo de 2015 Autor: Antonio Salmerón

 

El objetivo de este módulo se centra en los delitos más violentos, en los ciberdelitos, incluso en el ciberterrorismo, con víctimas y daños personales y materiales, en los ataques a las Administraciones del Estado y a las empresas privadas y en los delitos de acoso y en los sexuales, siempre desde el punto de vista de la informática forense y pericial.

[Ciber; Figura kyv]: [Kaspersky, Y.V.], creador del antivirus que lleva su nombre, da su opinión sobre los riesgos del ciberterrorismo, 7 de junio de 212.

Los delitos, especialmente los violentos, pueden llegar a ser difíciles de investigar cuando los sucesos son complejos y existen muchas personas relacionadas. Pero estos delitos no suceden en un vacío desconocido e intangible, si no en un mundo en el que pueden quedar múltiples pruebas de ello, tanto físicas como digitales. Por ejemplo:

  • en algunos casos, la víctima puede conocer o haber tenido relación con el delincuente, puede existir una larga historia anterior de angustia, incluso marcada por violencia,
  • en otros, el delito puede ser rápido, irreflexivo y destructivo creando y destruyendo pruebas o
  • puede ser el resultado de un largo período de preparación y anticipación.

Cualesquiera que sean las circunstancias del delito, la información es clave para:

  • determinar y comprender de las relaciones existentes entre la víctima y su agresor o agresores,
  • plantear la estrategia de investigación y
  • para recoger, examinar y valorar las pruebas, en este curso, digitales.

Seguridad del sistema: Está formada por: a) Conjunto de mecanismos de protección que debe tener el sistema informático para evitar posibles accidentes fortuitos o deliberados y para soportar posibles catástrofes como el fuego, las inundaciones, los terremotos, etc. o actos de sabotaje, vandalismo, robo, etc. b) Conjunto de dispositivos físicos necesarios para controlar el acceso al sistema, como son las cerraduras de control o los guardias de seguridad. Un sistema informático puede ser de gran importancia para una empresa o institución y, a su vez, vulnerable a accidentes o intrusiones. Las condiciones de ubicación del sistema, su diseño, construcción e instalación y condiciones ambientales así sus medidas de seguridad, han de considerar e intentar prevenir los posibles accidentes o actos contra él. Entre las medidas de seguridad que se adoptan en grandes sistemas está la posibilidad de disponer de instalaciones alternativas para ser usadas en caso de urgencia. | Bibliografía: Salmerón, A.; et ál.; 1996

Conceptos fundamentales de informática

7 de marzo de 2015 Autor: Antonio Salmerón

 

El informático forense y el perito han de comprender lo que realmente está sucediendo dentro de los sistemas informáticos y no sólo han de limitarse a emplear software sofisticado para recuperar ficheros eliminados, realizar análisis avanzados del contenido de los discos duros, examinar la actividad en internet, etc. A veces, la falta de comprensión sobre cómo funcionan los computadores y la aplicación automática y no sopesada de herramientas sofisticadas pueden conducir a no observar pruebas digitales evidentes o a realizar de ellas interpretaciones erróneas.

Por ello, el objetivo de este módulo es proporcionar una visión de conjunto y desde el punto de vista de la informática forense y pericial sobre cómo funcionan los computadores y sobre como almacenan y procesan los datos.

[Sistema Operativo; Figura iso] Interacción el usuario, las aplicaciones, el sistema operativo y el hardware.

Dentro de este módulo se estudian los siguientes temas:

  • La arquitectura de los computadores y sus principios de funcionamiento incluyendo un elemento fundamental desde el punto de vista del perito y del informático forense como es el sistema operativo.
  • La representación de los datos en el computador y los diferentes sistemas de representación de datos.
  • El almacenamiento de los datos y, también, la ocultación de datos dentro del computador.
  • Los sistemas de gestión de ficheros y la ubicación y organización de los ficheros dentro de ellos.
  • Finalmente, las protecciones con usuarios y contraseñas y una primera aproximación al cifrado.

Programa objeto: Programa obtenido como resultado de una compilación. Está en lenguaje de máquina y listo para ser cargado en un computador. | Bibliografía: Salmerón, A.; et ál.; 1996

Documentos y almacenamiento multimedia

7 de marzo de 2015 Autor: Antonio Salmerón

 
[Multimedia; Figura pkl]: Laboratorio de pruebas fotográficas y pruebas digitales multimedia de la policía de Kansas City.

Los documentos digitales, con formatos como PDF, Word, OpenOffice, ePUB, etc. y los de almacenamiento multimedia para

  • imágenes y fotografías, formatos PNG, JPEG, GIF, BMP, TIFF, etc.,
  • audio, formatos MP3, WAV, AIFF, etc. y
  • vídeo, formatos MP4, AVI, MOV, etc.

y tanto con su contenido digital como con todos los posibles metadatos que los describen como por ejemplo para imágenes y fotografías:

  • marca y modelo del dispositivo,
  • orientación y posición,
  • autor,
  • fechas y horas de toma, digitalización, de edición, etc.
  • resolución y unidades,
  • dimensión ancho y alto,
  • longitud, latitud, altura,
  • zoom,
  • flash, apertura, fuente de luz,
  • clase del mapa de colores,
  • tiempo de exposición,
  • etc.,

pueden representar una fuente de pruebas digitales para el informático forense y perito. El objetivo de este módulo es conocer estos formatos, sus metadatos y realizar experiencias prácticas con ellos.

[Multimedia; Figura vca]: Visualización de las gráficas de los 2 canales de un fichero de audio digital.

El volumen de información digital que se registra con formatos multimedia crece de forma acelerada, se dice que la cantidad de información registrada a nivel mundial se duplica cada 2 años y los formatos digitales multimedia contribuyen a ello. Baste pensar que tanto sucesos privados, como aún más los sucesos en público, aunque sean intrascendentes:

  • desde una caída aparatosa al coger el autobús
  • a una pelea de pre-adolescentes en una excursión del instituto,

pueden ser grabados inmediatamente por las cámaras de los móviles u otros dispositivos digitales que la mayor parte de la población lleva consigo.

JPEG: Formato utilizado para almacenar en un fichero, especialmente, imágenes naturales y del mundo real. La información dentro de estos ficheros se almacena de forma comprimida utilizando algoritmos basados en fractales, este tipo de algoritmos no reproducen exactamente el original, algoritmos con pérdidas de información, ello hace que siendo un formato muy adecuado para imágenes realistas no lo sea tanto para dibujos o gráficos de datos. Usualmente estos ficheros tienen la extensión jpg o jpeg. Son muy utilizados junto con los formatos GIF y PNG para ser insertados dentro de páginas de web. JPEG corresponde a las siglas de Joint Photographic Experts Group, reunión de grupo de expertos en fotografía. | Inglés: Joint Photographic Experts Group, JPG | Bibliografía: Salmerón, A.; et ál.; 1996

Sistema operativo Windows de Microsoft

7 de marzo de 2015 Autor: Antonio Salmerón

 
[Microsoft; Figura gbw]: [Gates; B.] fundador de Microsoft en 2005, entonces también Presidente y Chief Software Architect de la compañía.

Por la popularidad mundial de Microsoft Windows, los peritos e informáticos forenses se encontrarán con pruebas digitales en esta clase de sistemas en la mayoría de sus casos. Como consecuencia de su amplia difusión es el sistema operativo para el que más variedad de herramientas de informática forense se han desarrollado, tanto de las comerciales como de las de software libre. Por otro lado, es un sistema operativo que está al alcance de la mayoría de los interesados, por lo que es muy adecuado para la realización de prácticas. Por todo ello el objetivo de este módulo es familiarizarse y conocer:

  • Los tipos de sistemas de ficheros de los sistemas operativos de la clase Windows de Microsoft.
  • Las herramientas y las técnicas para la recogida y el examen de pruebas digitales en computadores con Windows.
  • La recuperación de datos.
  • Los ficheros de log y registros.
  • El análisis de la actividad en internet.
  • Finalmente el estudio, desde la perspectiva de la informática forense de algunas aplicaciones típicas de Windows, como sistemas de gestión de bases de datos, si bien es tal su variedad que es imposible intentar abarcarlas todas.

Compatibilidad: Característica del hardware o software que indica: a) en hardware poder sustituir unas partes del equipo por otras de distintos fabricantes y que siga funcionando correctamente y b) en software, la posibilidad de ejecutar programas diseñados para determinados computadores en otros de diferente capacidad, potencia o prestaciones. | Inglés: Computer compatibility; Hardware compatibility; Software compatibility | Plural: Compatibilidades | Bibliografía: Salmerón, A.; et ál.; 1996

Sistemas operativos UNIX y Linux

7 de marzo de 2015 Autor: Antonio Salmerón

 

Durante los 30 últimos años se han desarrollado muchos sistemas operativos de tipo UNIX:

  • tanto sistemas comerciales, por ejemplo, Solaris de Sun Microsystems, HP-UX de Hewlett Packard, AIX de IBM e Irix de Silicon Graphics,
  • como sistemas de software libre, por ejemplo, OpenBSD, FreeBSD y, por supuesto, las múltiples versiones de Linux.

Actualmente, tanto UNIX como Linux están detrás de muchos lanzamientos tecnológicos y comerciales, por ejemplo:

  • los actuales sistemas Macintosh de Apple utilizan un sistema operativo basado en UNIX, el denominado Mac OS X, y
  • el sistema operativo móvil Android, desarrollado por Google, también está basado en Linux.
[UNIX Linux; Figura his]: Evolución histórica del sistema operativo Unix.

Adicionalmente:

  • muchos sitios Web, incluidos los financieros y los de comercio electrónico, se ejecutan sobre servidores con sistemas operativos UNIX o Linux y
  • muchas de las herramientas para el análisis y el examen de informática forense de dispositivos digitales, que originalmente estaban bajo el control otros sistemas operativos, se basan en Linux.

Por todo ello, el estudio, conocimiento y práctica de UNIX y Linux desde el punto de vista de la informática forense y pericial es fundamental y es el objetivo de este módulo, incluyendo su sistema de ficheros, las herramientas de informática forense, la recuperación de datos, los ficheros de log y de registro de la actividad tanto en el sistema operativo como en internet.

Registro: 1) Conjunto de datos relacionados con un tema. Normalmente los ficheros consultados o actualizados son tratados como secuencias de registros. Se suele distinguir entre a) la visión física del registro, desde el punto de vista del soporte físico de información del computador y b) la visión lógica del registro, desde el punto de vista del usuario, del programador o de la aplicación. 2) Estructura de datos que permite almacenar, de manera conjunta, una serie de elementos preestablecidos de distinta naturaleza. A los elementos del registro se les denomina campos. Los registros con variantes admiten la existencia de conjuntos de campos diferentes dependiendo del valor de un campo discriminante. La mayor parte de los lenguajes de programación admiten los registros como uno de sus tipos de datos. | Inglés: Record | Plural: Registros | Bibliografía: Salmerón, A.; et ál.; 1996