El análisis forense es un proceso científico que elabora y verifica hipótesis, mediante el cual:
El análisis forense de sistemas pretende averiguar lo ocurrido y busca la respuesta a preguntas tales como:
En España existen organizaciones como ESCERT que realizan análisis forenses para organismos privados y públicos. Estos servicios se prestan a aquellas organizaciones que han sufrido ataques informáticos y también se emplean para colaborar en la resolución de investigaciones donde existan datos digitales involucrados. Puedes acceder a la web de ESCERT pulsando aquí.
Este tipo de análisis en sistemas informáticos toma, cada día que pasa, más relevancia, puesto que muchos conflictos son resueltos gracias a la información tratada por sistemas informáticos. Es común ver intervenidos los ordenadores de delincuentes cuando se produce su detención, sean del tipo que sean.
El análisis forense informático siempre está presente en:
En todos los países las fuerzas de seguridad poseen unidades dedicadas al análisis forense informático, tanto para delitos informáticos, como para delitos donde se ha utilizado el equipo informático para cometerlos. En España:
Brigada de Investigación Tecnológica del Cuerpo Nacional de Policía.
Los objetivos principales de todo análisis forense son:
Los objetivos se deben conseguir sin dañar la información que se investiga, en la medida de lo posible. Si la investigación obliga a duplicar la información, se debe asegurar una destrucción de la información duplicada al final del proceso.
Los objetivos se han cumplido cuando:
La metodología empleada para alcanzar estos objetivos de estar compuesta al menos de los siguientes pasos:
Las evidencias digitales respecto a las evidencias físicas tienen tres ventajas muy importantes:
La recogida de evidencias debe seguir un orden de acuerdo al grado de volatilidad.
Los datos volátiles son aquellos que se pierden cuando se pierde la alimentación eléctrica del sistema (memoria RAM, procesos en ejecución, usuarios conectados). La evidencia volátil es la primera que debe ser recogida.
Una secuencia posible de recogida de información volátil sería:
La captura de la evidencia no debe alterar la prueba ni el entorno, al proceso de recogida y análisis de evidencia se le denomina: Cadena de custodia.
En la cadena de custodia, se debe dejar muy claro:
Lo que se busca son evidencias digitales, que se pueden clasificar en:
La recogida de evidencias debe hacerse en la medida de lo posible sin utilizar programas del propio sistema, por ejemplo, ejecutando algún software desde una unidad de CD o memoria flash.
Entre las acciones que se pueden emplear para esta recogida están las siguientes:
Obra publicada con Licencia Creative Commons Reconocimiento Compartir igual 4.0