HLC

(2021-22)

Manuel Jesús Rodríguez Arabi

UT.01. Análisis Forense de Sistemas Informáticos

Análisis Forense de Sistemas Informáticos

Introducción

Análisis Forense Digital

Conjunto de procedimientos que permiten

  • la recopilación de información
  • el análisis de evidencias

 con la finalidad de responder a algún incidente relativo a la seguridad informática, sirviendo en ocasiones, como pruebas ante un tribunal civil o penal

Introducción

Análisis Forense Digital

The Coroner's Toolkit (TCT) desarrollado por Dan Farmer y Wietse Venema (1999)

  • recopilación
  • análisis

lo más libre posible de distorsiones para:​

  • recuperación de datos
  • precisar lo sucedido en un sistema

 

Introducción

Analistas Forenses utilizan herramientas específicas

  • recolectar
  • analizar
  • preservar (no haya contaminación de las evidencias)

 

Introducción

Campos de Aplicación del AFI

  • Persecución de delitos como fraude financiero, evasión de impuestos o pornografía infantil
  • Robo de información con la idea de obtener algún beneficio económico (Ramsonware) o para dañar la imagen del afectado (Defacement)
  • Discriminación o acoso
  • Recuperación de ficheros eliminados
  • Robo de propiedad intelectual
  • Ciberterrorismo

 

Introducción

Resumiendo

El análisis forense digital es la aplicación de la tecnología informática a una cuestión de derecho en la que las pruebas –evidencias digitales - incluyen, información digital, creada por los individuos y la generada por los propios dispositivos –logs, caché, temporales, etc.- como resultado de la interacción con el individuo u otros elementos.

 

Objetivos

AFI tiene que buscar respuesta a:

¿Cómo?
¿Quién?
¿Qué activos se vieron afectados?
¿Cuándo? ...fecha y hora / UTC
¿Dónde? ...sistemas, redes, ordenador, móvil, etc.
¿Por qué? ... qué se pretende, cuál es el fin buscado.

Objetivos Principales

  • Recrear lo que ha ocurrido en un dispositivo digital durante el incidente de seguridad.
  • Extraer información de un sistema de modo que pueda emplearse como evidencia digital.
  • Catalogar la información en función de su naturaleza.
  • Analizar las incidencias para impedir que se repitan en el futuro.

Con estos sellos o cintas puestos nadie puede invadir el lugar donde se ha producido dicho crimen porque están intentando extraer toda la información posible sin contaminar las evidencias.

Objetivos Principales

La investigación se tiene que realizar sin dañar la información (siempre que sea posible), por ello se duplica y se trabaja sobre esos duplicados que luego son destruidos.

Objetivos Principales

  • Se sabe cómo se produjo el incidente de seguridad.
  • Se conocen las circunstancias bajo las que ocurrió.
  • Se conoce la identidad de los atacantes.
  • Se sabe cuando ocurrió el incidente.
  • Se conocen los objetivos de los atacantes.
  • Se tienen las evidencias que lo demuestran.
  • Se ha destruido totalmente cualquier información duplicada para realizar la investigación.

¿Cuándo consideramos el éxito en nuestros objetivos?

Presencia del AFI

  • Delitos donde se actúa directamente contra los equipos informáticos.
  • Delitos donde los equipos informáticos contienen las evidencias.
  • Delitos donde los equipos informáticos son utilizados para cometer el crimen.

Organismos Oficiales

En todos los países las fuerzas de seguridad poseen unidades dedicadas al análisis forense informático, tanto para delitos informáticos, como para delitos donde se ha utilizado el equipo informático para cometerlos.

  • Brigada de Investigación Tecnológica del Cuerpo Nacional de Policía.
  • Grupo de Delitos Telemáticos de la Guardia Civil.

Tipologías

¿De donde extraer las evidencias?

Prácticamente desde cualquier lugar. Los datos pueden estar:

  • Almacenados (dispositivo, nube, usb) --> En reposo.
  • Presentes en la memoria del ordenador --> En Uso.
  • Viajando a través de la red --> En tránsito

Tipologías

Según el estado de esos datos hablamos de:

  • AFI de Sistemas --> datos volátiles (memoria), no volátiles (HDD, SSD, Logs), SO.

  • AFI de Redes --> estudio tráfico de red (url visitadas, contenido de paquetes, ...)

  • AFI de la nube --> Google Drive, Servidores de correo, etc.

Tipologías

No todo es un camino de rosas

Los "malos" siempre van a tratar de modificar, borrar u ofuscar las evidencias (Anti Forensic Digital - ADF)

  • Renombrado de ficheros
  • Sobreescritura de metadatos
  • Esteganografía para ocultación y ofuscación

Que llevan a la toma de decisiones críticas (éxito o fracaso de la investigación).

Tipologías

No todo es un camino de rosas

Por ejemplo, qué se hace si la máquina sospechosa está encendida:

  • ¿se apaga de modo normal?
  • ¿se apaga con un botonazo?
  • ¿se analiza su RAM, usuarios conectados, puertos abiertos, tablas ARP, procesos en ejecución, etc?

Características

Todo proceso de análisis forense debe caracterizarse por ser/estar:

  • Verificable--> La conclusiones extraídas son ciertas.
  • Reproducible --> Pruebas realizadas pueden reproducirse en cualquier momento, manteniendo la integridad de los datos. 
  • Documentado --> Todo detallado al máximo nivel.
  • Independiente --> Conclusiones independientes de la persona o metodología empleada.

Características

¿Qué pretendemos?

Conseguir la máxima cantidad de información con el mínimo impacto posible.

Trabajo con clonados para preservar los originales

Fases y metodologías

Un buen análisis forense consta de una serie de fases (no secuenciales)

Fases y metodologías

Preservación

Conseguir que no haya pérdida de las evidencias.

  • No apagar equipos (datos volátiles)
  • Registro de operaciones --> validez jurídica
  • Evitar cualquier tipo de modificación o borrado (ejemplo logs del sistema)

Fases y metodologías

Adquisición

Recopilación de las evidencias susceptibles de ser usadas en un proceso judicial.

Fases y metodologías

Extracción y Análisis

Dependerá del tipo de incidente.

  • Se detallan herramientas y técnicas empleadas
  • Persona a cargo continua con el proceso de perservación --> evitar contaminaciones de las evidencias.

Debe primar:

  • Objetividad
  • No descartar obviedades

Fases y metodologías

Documentación

Debe ser absolutamente metódica y pragmática. Acciones:

  • Fotografiar pruebas del escenario
  • Cadena de custodia
  • Timeline con fechas y horas de las acciones realizadas sobre las evidencias.

Fases y metodologías

Presentación

Traducir al "humano" la conclusiones obtenidas (que nos entiendan):

  • Explicaciones claras y concisas en la obtención de evidencias.
  • Evitar afirmaciones no demostrables
  • Detalle objetivo de las conclusiones.

Fases y metodologías

Metodologías

  • UNE-EN ISO/IEC 27037:2016: Genérica no centrada en el análisis.
  • UNE 71506:2013: análisis, preservación y adquisición como puntos fuertes
  • UNE 197001:2019: Estructura del Informe Pericial.

Antes de estas, el referente era la norma RFC 3227

Aún muy presente su apartado 2.1 sobre el orden de volatilidad

Evidencias digitales

cualquier información generada, almacenada o transmitida por un SI

Puede ser empleada como prueba en un proceso legal

Evidencias digitales

  • obtenerse
  • custodiarse
  • revisarse
  • analizarse
  • presentarse

Demostrando en todo momento que no ha sido modificada

Deben

Validez Legal

Evidencias digitales

  • Evidencia Física

Clasificación

  • Discos duros
  • pendrives
  • tablets
  • smartphones
  • routers
  • Evidencia Digital
  • Información almacenada
  • Información generada
  • Parcialmente generada y almacenada

Ficheros de disco, procesos, logs, temp, entradas registro 

Evidencias digitales

Ventajas

  • Pueden ser duplicadas con total exactitud.
  • Existen herramientas para verificar si la evidencia ha sido modificada.
  • Se pueden recuperar, en la mayoría de los casos, después de un borrado.

Esto se resumen en repetible, recuperable, redundante e integra

Directrices para la recolección de evidencias

  1. Tomar fotografías, realizar inventariado (marca, nro. serie)
  2. Dejar el equipo informático tal como se encuentra
    1. ​Encendido: Análisis en caliente, recogida de info volátil
    2. Apagado: Análisis Post Mortem, recogida de info persistente
  3. Obtener autorización por escrito para realizar análisis y toma de evidencias (evitar problemas).
  4. Solicitar las passwords que sean necesarias para acceso a ficheros cifrados
  5. Uso de kit de herramientas que
    1. ​sean ajenas al sistema
    2. garanticen la preservación de las pruebas
    3. sin interfaz gráfico (si es posible)
    4. En dispositivos de solo lectura

UNE-EN ISO/IEC 27037:2016, UNE 71506:2013 y RFC 3227

Directrices para la recolección de evidencias

  1. Apps que permitan listar y examinar procesos
  2. Apps que examinen el estado el sistema
  3. Apps que permitan copias realizar copias bit a bit.

KIT DE HERRAMIENTAS (CONTENIDO)

Lo más recomendable es que cada analista se cree su propio kit de herramientas de acuerdo a sus necesidades.

Principios de recolección

  1. Registros y Caché
  2. Memorias Volátiles
  3. Conexiones, tablas de enrutamiento, ARP caché, estadísticas del kernel
  4. Procesos en ejecución
  5. Información temporal del sistema
  6. Sistemas de ficheros externos temporalmente conectados al equipo
  7. Disco Duro
  8. Logs del sistema

siempre empezar por la recolección de información que va a estar accesible durante menos tiempo (volatilidad mayor)

Principios de recolección 

  • Apagar el equipo antes de recopilar la información volátil
  • Usar programas del sistema (pueden estar comprometidos)
  • Usar herramientas que modifiquen fecha y hora de acceso a los ficheros
  • Incumplir con el marco legal establecido (info contiene patrones de comportamiento del usuario que pueden vulnerar su privacidad)
  • Incumplir el acuerdo de privacidad exigido y firmado

Durante todo el proceso debemos evitar

Procedimientos de recolección 

Todos los métodos debe ser totalmente transparentes y reproducibles (no genere dudas)

Pasos a seguir

Análisis forense digital - Yolanda Olmedo (Incibe)

Procedimientos de recolección 

Vamos a practicar...

Recolección de datos volátiles (memdump)

Recolección de datos almacenados (usb)

Haremos uso de la herramienta FTK imager

¡Buen trabajo! Continuaremos...

Made with Slides.com