Área de conceptos fundamentales de informática forense y pericial

20 de noviembre de 2015 Autor: Antonio Salmerón

 
[Áreas; Figura ac2]: Área de conceptos fundamentales de informática forense y pericial.

El objetivo de los módulos de esta área es presentar los aspectos más conceptuales, metodológicos, de investigación y de procesos de trabajo en informática forense. Frente a las 2 siguientes áreas esta parte es la más estable en el tiempo y la base para afrontar futuros retos tecnológicos impensables actualmente.

Web crawler: Programa, usualmente denominado robot, que sabe navegar sólo por internet recopilando información. Los motores de búsqueda los necesitan para poder rellenar sus bases de datos de información, páginas web y sus URLs asociadas, por ejemplo, el de Yahoo! se llama Slurp y Googlebot el de Google. Puede buscar todo tipo de información o sólo recopilar información de un tema determinado de su interés. La exploración la realiza a través de los hiperenlaces contenidos en los ficheros de hipertexto, cada fichero de hipertexto contiene enlaces a otros ficheros y estos a su vez a otros, de esta forma el web crawler puede realizar su exploración de forma progresiva. El web crawler actúa de forma similar a un usuario de internet que desde una determinada página de web puede consultar otras siguiendo los enlaces, la diferencia es que el web crawler realiza esta exploración de forma sistemática siguiendo unos criterios deterministas. El registro de esta información lo puede realizar de diversas formas, lo normal es alimentando una base de datos donde a cada fichero de hipertexto se asocia su título, URL, un conjunto de palabras claves contenidas en dicho fichero, partes de su contenido o todo, etc. Posteriormente, esta base de datos puede servir para que sus usuarios puedan, a través de un motor de búsqueda realizar consultas, por palabras clave u otros métodos, sobre dónde pueden encontrar información sobre determinados temas de interés para ellos. Como el contenido global de la world wide web es muy dinámico, para mantener la base de datos al día, es necesario que el web crawler, o conjuntos de ellos, realice su trabajo de forma continua, registrando nueva información o actualizando la previamente registrada. Los motores de búsqueda en internet pueden admitir que se les comunique una dirección para que su web crawler la explore y registre la información contenida en ella. Por otro lado, un web crawler debe respetar ciertas normas de comportamiento y no explorar aquellos sitios web o ficheros de hipertexto que se le comunica que le están prohibidos, esto suele hacerse introduciendo en la misma dirección en la que se encuentran los documentos un fichero con instrucciones de exclusión para todos o algunos determinados web crawler, para identificarlos se utiliza el nombre del robot dado por sus constructores. | Inglés: Crawler; Spider | Alias: Araña | Bibliografía: Salmerón, A.; et ál.; 1996

Módulo: Criminalística para informáticos forenses y peritos

12 de abril de 2015 Autor: Antonio Salmerón

 

El objetivo de este módulo es realizar una introducción al empleo del método científico en la criminalística. Porque el método científico es de aplicación general a todas las ciencias forenses y, por tanto, también lo es en la informática forense. Cuando en los siguientes módulos se presenten las diferentes metodologías específicas de la informática forense se ha de tener en cuenta que todas estas metodologías tienen como base y fundamento el método científico. Por ello, el objetivo de este módulo es obtener los conocimientos necesarios de aplicación del método científico a la criminalística en general y a la informática forense en especial.

Medicina forense: Disciplina de la criminalística y rama de la medicina cuyo objeto es determinar el origen de las lesiones sufridas por un herido o la causa de la muerte mediante el examen de un cadáver. Estudia los aspectos médicos derivados de la práctica diaria de los tribunales de justicia, donde actúan como peritos. El médico especialista en el área recibe el nombre de médico forense. | Alias: Médico forense

Módulo: Conceptos de informática forense

12 de abril de 2015 Autor: Antonio Salmerón

 

El objetivo de este módulo es el estudio de los conceptos básicos de la informática forense y pericial, de los computadores, los delitos y las pruebas digitales. Algo importante, tanto del conocimiento de los conceptos fundamentales de informática forense y pericial como del empleo de las metodologías que se estudiarán en el siguiente módulo es que son muy independientes de las tecnologías y son resistentes al paso de tiempo, por lo que son la base para enfrentarse a la continua renovación tecnológica en hardware y software en la que la sociedad está inmersa.

Código detector: Codificación redundante de la información que permite la detección de cierto tipo de errores durante el almacenamiento o la manipulación. | Plural: Códigos detectores | Bibliografía: Salmerón, A.; et ál.; 1996

Módulo: Investigación metodológica

12 de abril de 2015 Autor: Antonio Salmerón

 

El objetivo de este módulo es presentar diversas metodologías de investigación en informática forense y pericial, cada una con sus ventajas e inconvenientes. Son muchas las metodologías desarrolladas, unas centradas en la escena del delito, otras en la formación, en el control del flujo de información, etc. En cualquier caso, el empleo de una metodología formalizada es la base para la realización de una investigación completa y rigurosa, asegurando el correcto manejo de las pruebas digitales, reduciendo la posibilidad de errores, evitando la utilización de teorías preconcebidas y ayudando a soportar la presión del tiempo.

Sistema informático: Conjunto de elementos organizados para el tratamiento de información por medio de uno o varios programas de computador que contribuyen a un fin determinado. | Plural: Sistemas informáticos | Alias: Sistema software | Bibliografía: Salmerón, A.; et ál.; 1996

Módulo: Investigación en informática forense

12 de abril de 2015 Autor: Antonio Salmerón

 

El objetivo de toda investigación es descubrir y presentar la verdad y por ello el objetivo de este módulo es hacerlo a partir de pruebas digitales. Dependiendo de los casos este proceso de investigación en informática forense puede implicar consecuencias económicas, de libertad y de sanciones y penas. Por ello además de emplear una metodología de confianza, como las enumeradas en el módulo anterior, hay que emplear técnicas que garanticen que el análisis, interpretación y presentación de los informes con pruebas digitales son fiables, objetivos y transparentes.

Terminal: Periférico de entrada y salida, formado por un teclado y una pantalla, mediante el cual el usuario puede interactuar con el computador. Puede contar también con un ratón. Dependiendo de las características de la pantalla pueden ser alfanuméricos, gráficos, monocromo, color, etc. Clásicamente también se le ha denominado consola, en algunos sistemas se reservaba el nombre de consola al terminal en el que trabajaba el administrador de sistemas, en este último caso la pantalla se sustituía por una impresora para que quedara constancia, log en papel, de todos los mandatos introducidos por el administrador. | Plural: Terminales | Alias: Consola | Bibliografía: Salmerón, A.; et ál.; 1996

Módulo: Ciberdelitos y ciberterrorismo

12 de abril de 2015 Autor: Antonio Salmerón

 

Los delitos, especialmente los violentos, pueden llegar a ser difíciles de investigar cuando los sucesos son complejos y existen muchas personas relacionadas. Cualesquiera que sean las circunstancias del delito, la información es clave para determinar y comprender de las relaciones existentes entre las víctimas y sus agresores, plantear la estrategia de investigación y para recoger, examinar y valorar las pruebas, y en este programa formativo las pruebas digitales. El objetivo de este módulo se centra en los delitos más violentos, en los ciberdelitos, incluso en el ciberterrorismo, con víctimas y daños personales y materiales, en los ataques a las Administraciones del Estado y a las empresas privadas y en los delitos de acoso y en los sexuales, siempre desde el punto de vista de la informática forense y pericial.

RedIRIS: Red española de investigación y académica que proporciona servicios de comunicaciones a las universidades y comunidades científicas nacionales. El Ministerio de Economía y Competitividad la financia y el Ministerio de Industria, Energía y Turismo, a través de la entidad pública empresarial Red.es, la gestiona. Cuenta con cientos de instituciones afiliadas, fundamentalmente universidades y centros públicos de investigación. RedIRIS presta especial atención a la seguridad de las redes informáticas y de los servidores conectados a través de ellas. Para responder a los incidentes que se produzcan en la red, su equipo de seguridad, IRIS-CERT, realiza trabajos preventivos y está coordinado con las instituciones afiliadas. Adicionalmente, RedIRIS proporciona certificados de seguridad, servicios para mejorar la calidad del correo electrónico y asesoraría en seguridad de redes telemáticas. | Url: * http://www.rediris.es * http://www.rediris.es/rediris; http://www.rediris.es/servicios/seguridad

Criminalística para informáticos forenses y peritos

5 de marzo de 2015 Autor: Antonio Salmerón

 

El objetivo de este tema es realizar una introducción al empleo del método científico en la criminalística, la razón de ello es que el método científico es de aplicación general a todas las ciencias forenses y, por tanto, también lo es en la informática forense.

Cuando en un siguiente módulo se presenten diferentes metodologías específicas para la informática forense se ha de tener en cuenta que todas estas metodologías tienen como base y fundamento el método científico. Por ello, el objetivo de este tema es obtener los conocimientos necesarios de aplicación del método científico a la criminalística y para ello se sigue [ESUPOL; 1996] entre otra bibliografía.

Las experiencias de años de trabajo en la investigación de hechos delictivos, tanto en su perspectiva histórica como por países, demuestran que uno de los factores que influyen en los errores de juicio y de razonamiento de los elementos de prueba que técnicamente se aportaran en el desarrollo de los procedimientos judiciales, es la no aplicación del método científicos y de las tecnológicos disponibles en las diferentes disciplinas científicas que forman la criminalística y que tienen por objetivo recoger, comprender, analizar y evaluar los aspectos técnicos que aparecen en la comisión de los hechos delictivos.

[Bentham, J.; Figura dfp]: Esquema de la decisión fundada en una prueba.

Este módulo se estructura en 3 temas:

  • El objetivo del primero es la introducción a la criminalística y al método científico, al inductivo y al deductivo que servirá de base para comprender, en un módulo metodológico posterior, el proceso de investigación del informático forense, especialmente para el planteamiento de hipótesis, su prueba o refutación, y para la reconstrucción.
  • El objetivo del segundo es presentar la criminalística de campo y su método, siendo la escena del delito un lugar donde el informático forense tendrá que colaborar con otros especialistas y donde las pruebas físicas y las pruebas digitales podrán aparecer simultáneamente.
  • Finalmente, la investigación criminalística en los diferentes tipos de laboratorios de balística, documentoscopia, dactiloscopia, explosivos, etc.

Patología forense: Disciplina de la criminalística y rama de la medicina que estudia las pistas que llevan a la causa de la muerte presentes en el cuerpo como un fenómeno médico. | Inglés: Forensic pathology

Conceptos de informática forense

5 de marzo de 2015 Autor: Antonio Salmerón

 

El objetivo de este módulo es el estudio de los conceptos básicos de la informática forense y pericial, de los computadores, de los delitos y de las pruebas digitales. Algo muy importante, tanto del conocimiento de los conceptos fundamentales de informática forense y pericial como del empleo de las metodologías que se estudiarán en el siguiente módulo, es que son muy independientes de las tecnologías y resistentes al paso de tiempo por lo que son la base para enfrentarse a la continua renovación tecnológica en la que la sociedad está inmersa.

[Usuario; Figura enu]: Evolución del número de usuarios en las 5 generaciones de la tecnología de la información.

La actividad informática es una parte cada vez más habitual de la vida diaria de las empresas y de las personas:

  • Antes de la década de los 60 sólo organismos gubernamentales y de investigación y grandes multinacionales podían contar con sistemas informáticos.
  • En la década de los 60 y de los 70, los mainframes ya eran comunes en las grandes empresas y se estima que había 1 millón de usuarios en todo el mundo, en su mayoría técnicos.
  • Los minicomputadores aparecieron en la década de los 80, estaban al alcance de muchas más empresas y centros universitarios, dando paso a muchos nuevos usuarios que alcanzábamos los 10 millones.
  • En la década de los 90, los computadores personales, de la década anterior, llegaron masivamente a las pequeñas empresas y a los hogares, alcanzándose los 100 millones de usuarios.
  • En la 1ª década del tercer milenio, los computadores portátiles e internet permitieron alcanzar una cifra estimada de 1.400 millones de usuarios, una cifra que representa del orden de un 20% de la población mundial.
  • Durante esta 2ª década, gracias a los dispositivos móviles con acceso a internet, lo que se está denominando internet móvil las previsiones de [Morgan Stanley; 2009] son alcanzar los 5.000 millones de usuarios.

Combinando la evolución tecnológica con el crecimiento del volumen de usuarios, incluso en los escenarios de previsión más conservadores, el análisis de pruebas digitales será cada vez más habitual para encontrar explicaciones a incidentes en las empresas, en los litigios, frente a la propia Administración Pública obligada a ser electrónica y, por supuesto, a los delitos. Frente a ello, objetivo primordial de un informático forense o de un perito es determinar la naturaleza, sucesos y autores relacionados con un incidente o con delito:

  • conociendo los conceptos fundamentales de su profesión, que es el objetivo de este módulo, y
  • siguiendo siempre un procedimiento de investigación estructurado y metodológico, que es el objetivo del siguiente módulo.

ROM: Memoria de semiconductores de contenido permanente y sólo de lectura. Se utilizan para almacenar los programas que se ejecutan al realizar la carga inicial del computador, así como en los controladores de los periféricos. | Inglés: Read only memory | Alias: Memoria ROM; Memoria sólo de lectura | Bibliografía: Salmerón, A.; et ál.; 1996

Investigación metodológica

14 de marzo de 2015 Autor: Antonio Salmerón

 

El objetivo de este módulo es presentar una gama de posibles metodologías para la investigación en informática forense y pericial. Cada una de estas metodologías tiene sus ventajas e inconvenientes. Es sorprendente descubrir la gran cantidad de metodologías desarrolladas, unas centradas en la escena del delito, otras enfocadas en la formación, otras en el control del flujo de información, etc. En cualquier, caso el empleo por parte del perito o del informático forense de una metodología formalizada es la base para:

  • la realización de una investigación completa y rigurosa,
  • asegurando el correcto manejo de las pruebas digitales,
  • reduciendo la posibilidad de errores,
  • evitando la utilización de teorías preconcebidas y
  • ayudando a soportar la presión del tiempo.
[Metodología; Figura ms4]: Esquema metodológico creado mediante la síntesis de las fases fundamentales de las metodologías presentadas en este módulo.

A continuación se presenta un breve resumen de las metodologías seleccionadas para, posteriormente, dentro de este módulo, entrar en su estudio más detallado. Las metodologías ordenadas por su año de publicación son las siguientes:

  • [Casey, E; 2000]: Es una metodología básica y general, que puede aplicarse a computadores aislados y a entornos en red. Su utilidad se basa justo en su simplicidad, que la puede hacer eficiente frente a casos no muy complejos. Su defecto es que le falta una especificación las fases o momentos de autorización y de generación del informe final o dictamen pericial.
  • [Lee, H.C.; Palmbach, T.; Miller, M.T.; 2001]: Es realmente un enfoque metodológico clásico en investigación forense sobre pruebas físicas, pero que ya en su año de publicación contempla la aparición y la necesidad del análisis de las pruebas digitales. Esta metodología se estudiará fundamentalmente desde la perspectiva de la prueba digital y en su descripción se incluye una reflexión propia, no contemplada originalmente en [Lee, H.C.; Palmbach, T.; Miller, M.T.; 2001] de cómo algunos patrones de búsqueda de pruebas físicas tienen su aplicación en la localización de las pruebas digitales.
  • [Ashcroft, J.; 2001] y [Mukasey, M.B.; Sedgwick, J.L.; Hagy, D.W.; 2008]: Son dos ediciones de la metodología propuesta por el Departamento de Justicia de los Estados Unidos. Esta metodología se centra en las fases iniciales de actuación en la escena del delito, ya que está concebida como una guía para los informáticos forenses que dan una respuesta inmediata a delitos informáticos. Esta metodología proporciona criterios para la identificación de los diversos dispositivos digitales y para la selección de las pruebas digitales más adecuadas según las diferentes clases de delitos.
  • [Palmer, G.; 2001]: Los propios autores no la consideran como una metodología definitiva, ya que sus fases no se describen de forma completa sino a través de sus características y de posibles técnicas que podrían emplearse. Pero es importante conocerla pues ha sido la base para la elaboración de otras propuestas metodológicas. Es una metodología lineal pero que, en futuros desarrollos, podría contemplar ciclos como así lo hacen otras metodologías derivadas de ella.
  • [Palmer, G.; 2001]: Los propios autores no la consideran como una metodología definitiva, ya que sus fases no se describen de forma completa sino a través de sus características y de posibles técnicas que podrían emplearse. Pero es importante conocerla pues ha sido la base para la elaboración de otras propuestas metodológicas. Es una metodología lineal pero que, en futuros desarrollos, podría contemplar ciclos como así lo hacen otras metodologías derivadas de ella.
  • [Reith, M.; Carr, C.; Gunsch, G.; 2002]: Puede considerarse como una especificación de la anterior metodología de [Palmer, G.; 2001] donde ya se describen las fases, se añaden nuevas fases y se contemplan ciclos de realimentación. [Ciardhuáin, S.Ó.; 2004] la destaca por su alto nivel de abstracción y por ser aplicable a cualquier tipo de tecnología y clase de delito informático.
  • [Carrier, B.; Spafford, E.H.; 2003b]: Es una metodología muy detallada que se estructura en 5 fases con 17 tareas. Se diferencia de otras metodologías porque intenta integrar la investigación de las pruebas físicas con la de las pruebas digitales, supeditando, en cierta forma, estas últimas a las primeras. Si bien esta integración tiene sus ventajas puede añadir complejidad al proceso de investigación.
  • [Baryamureeba, V.; Tushabe, F.; 2004]: Es una metodología de 5 fases que contempla ciclos de realimentación entre todas ellas. Se basa en la anterior de [Carrier, B.; Spafford, E.H.; 2003b] y, por tanto, también integradora de la investigación de pruebas físicas junto con pruebas digitales, si bien, estas últimas tienen un menor grado de dependencia de las primeras.
  • [Ciardhuáin, S.Ó.; 2004]: Es una metodología de 13 fases, en forma de cascada, donde los flujos de información pasan de una actividad a la siguiente hasta el final del proceso. De esta forma, la cadena de custodia se forma por la lista de aquellos que han manipulado cada prueba digital y que debe pasar de un fase a la siguiente agregando los nombres de cada una de ellas. De todas las metodologías expuestas destaca porque es la que mejor establece los flujos de información y los puntos de control en el proceso de investigación.
  • [Casey, E.; 2004]: Es una evolución de su propia metodología [Casey, E; 2000]. Esta 2ª versión de su metodología posee 8 fases donde la fase de documentación corre paralela a las otras 7 fases de investigación. Estas 7 fases pueden representar un buen punto de equilibrio entre las metodologías muy cortas y otras con largo número de fases.
  • [Rifà, H.; Serra, J.; Rivas, J.L.; 2009]: Plantea una metodología en 3 fases, recogida de datos, análisis e investigación y redacción del informe. Si bien este enfoque puede parecer básico, hay que hacer notar que puede resultar adecuado para aquellos casos que no plantean una especial complejidad por su volumen y clase de pruebas digitales y personas y entidades implicadas, siendo estos una gran mayoría. Por ejemplo, la descripción que se realiza en [Vázquez López M.; 2012] de la metodología de la Brigada Investigación Tecnológica del Cuerpo Nacional de Policía española para sus pericias informáticas coincide, en buena medida, con esta metodología. Dentro de este módulo, metodología se estudiará con más detalle que las anteriores, dedicándole un tema. Esta una de las metodologías recomendables para la resolución del caso práctico final, especialmente si se trata de un caso sencillo.
  • [Casey, E.; 2011]: Es una 3ª versión de las metodologías de [Casey, E] ya descritas en apartados anteriores dedicados a [Casey, E; 2000] y a [Casey, E.; 2004]. Agrupa en menos fases las presentadas en [Casey, E.; 2004] convirtiendo en tareas algunas de las que en la anterior eran fases. Por su actualidad, esta metodología se ve con más detalle que las anteriores dedicándole un tema. Si el caso final que se plantea resolver tiene cierto nivel de complejidad esta podría ser una de las metodologías que podría seguir.

Pista: Parte de un soporte magnético a la que accede una cabeza de lectura/escritura. En los discos, las pistas son circulares y concéntricas y corresponden a cada una de las posiciones que toma la cabeza. En las cintas magnéticas, las pistas son paralelas a los bordes de la cinta. | Inglés: Track | Plural: Pistas | Bibliografía: Salmerón, A.; et ál.; 1996

Investigación en informática forense

6 de marzo de 2015 Autor: Antonio Salmerón

 

El objetivo de toda investigación es descubrir y presentar la verdad y por ello el objetivo de este módulo es hacerlo a partir de pruebas digitales. Dependiendo de los casos este proceso de investigación en informática forense puede implicar unas consecuencias poco relevantes, en algunos tener importancia económica y en otros una gran trascendencia, especialmente cuando están en relación con la libertad, las sanciones e incluso las penas.

[Cracker; Figura mkd]: Kevin David Mitnick, Condor, el primer Kevin, usualmente ocupa el primer lugar de los rankings históricos de crackers.

Por ello además de emplear una metodología de confianza hay que emplear técnicas que garanticen que el análisis, la interpretación y la presentación de los informes con pruebas digitales son fiables, objetivos y transparentes y justo este es el objetivo de este módulo.

Para alcanzar su objetivo este módulo se estructura cubriendo 3 áreas fundamentales de la investigación en informática forense:

  • El trabajo en la escena del delito donde pueden existir tanto pruebas físicas tradicionales como pruebas digitales.
  • La reconstrucción con pruebas digitales, la reconstrucción del comportamiento humano es como la resolución de un puzle multidimensional donde puede haber piezas evidentes y otras perdidas, dañadas y, por supuesto, escondidas.
  • Los perfiles, las motivaciones y el modus operandi de las personas que, aunque exista una larga tradición de estudio en criminología, en el área de las tecnologías de la información mezcla características clásicas con otras muy particulares.
[Cracker; Figura pkl]: Kevin Lee Poulsen, Dark Dante, el segundo Kevin, usualmente ocupa el segundo lugar de los rankings históricos de crackers.

Caída del sistema: 1) Fallo del sistema operativo que necesita la intervención del operador, del administrador o del usuario, dependiendo del tipo de sistema, para restablecer su funcionamiento normal, usualmente obliga a un nuevo arranque. 2) En general, cualquier caída de un sistema informático. | Plural: Caídas del sistema | Bibliografía: Salmerón, A.; et ál.; 1996

Ciberdelitos y ciberterrorismo

6 de marzo de 2015 Autor: Antonio Salmerón

 

El objetivo de este módulo se centra en los delitos más violentos, en los ciberdelitos, incluso en el ciberterrorismo, con víctimas y daños personales y materiales, en los ataques a las Administraciones del Estado y a las empresas privadas y en los delitos de acoso y en los sexuales, siempre desde el punto de vista de la informática forense y pericial.

[Ciber; Figura kyv]: [Kaspersky, Y.V.], creador del antivirus que lleva su nombre, da su opinión sobre los riesgos del ciberterrorismo, 7 de junio de 212.

Los delitos, especialmente los violentos, pueden llegar a ser difíciles de investigar cuando los sucesos son complejos y existen muchas personas relacionadas. Pero estos delitos no suceden en un vacío desconocido e intangible, si no en un mundo en el que pueden quedar múltiples pruebas de ello, tanto físicas como digitales. Por ejemplo:

  • en algunos casos, la víctima puede conocer o haber tenido relación con el delincuente, puede existir una larga historia anterior de angustia, incluso marcada por violencia,
  • en otros, el delito puede ser rápido, irreflexivo y destructivo creando y destruyendo pruebas o
  • puede ser el resultado de un largo período de preparación y anticipación.

Cualesquiera que sean las circunstancias del delito, la información es clave para:

  • determinar y comprender de las relaciones existentes entre la víctima y su agresor o agresores,
  • plantear la estrategia de investigación y
  • para recoger, examinar y valorar las pruebas, en este curso, digitales.

Virus: Software malicioso pequeño y oculto cuya actividad principal es tratar de reproducirse a sí mismo lo más posible. Puede realizar acciones destructivas o emitir mensajes. Para su reproducción los virus necesitan se introducirse en ficheros que se ejecuten. Cuando un sistema informático está infectado por un virus se origina su propagación a otros sistemas sanos, por el intercambio de estos ficheros infectados mediante soportes digitales, correos electrónicos, descargas en internet, etc. | Bibliografía: Salmerón, A.; et ál.; 1996