Informática Forense. La nueva profesión para cazar criminales
No están asociados ni hay un censo, pero los forenses informáticos van formándose en el camino. Están más adelante que la ley, que no contempla todos los delitos informáticos, y se anticipan a jueces e investigadores que, con frecuencia, se apegan a procedimientos tradicionales para investigar delitos en los que interviene la tecnología. Trabajan en el sector privado

Texto: Javier Méndez Vedia Fotos: Ricardo Montero

Si comienza a desaparecer dinero de las cuentas de los clientes, los bancos recurren a los forenses informáticos; si se reciben mensajes de texto amenazadores, estos profesionales pueden ayudar a rastrear la fuente. Todo ese trabajo se realiza, como explica el fiscal Álvaro Latorre, a partir de un requerimiento, porque la Policía no tiene suficientes expertos para ocuparse de estos delitos. Por eso debe recurrir a peritos del sector privado como Israel y Hugo Rosales, que son padre e hijo. Israel domina la parte informática y cursó en Estados Unidos estudios para convertirse en ‘ethical hacking’, o conocedor de los procedimientos que usan los hacker para realizar ataques.

 Hugo, que es auditor y masterado en dirección estratégica de Tecnología de la Información, formó inicialmente una empresa con su hermano, otro experto en informática. Hugo aportaba los conocimientos legales o forenses y su hermano los informáticos. Luego se independizaron y uno trabaja en La Paz, mientras que el otro lo hace en Santa Cruz, con el nombre de Cosim-TI.

La Policía tiene una división de delitos económico-financieros, que son los que más frecuentemente utilizan el servicio de peritos, pero, como dice el fiscal Latorre, aún no ha desarrollado un laboratorio informático. Hubo contactos con empresas, como Microsoft, que donó algunos equipos y software, y otras firmas proveyeron de computadoras, pero aún se va a paso lento. La ley boliviana, por ejemplo, sólo contempla dos tipos de delitos informáticos: la manipulación de datos y el acceso no autorizado.
Esa lentitud se nota también en algunos jueces, que, como ha visto el auditor Hugo Rosales, son prácticamente ‘analfabetos’ en cuestiones tecnológicas y desconocen el apoyo que pueden brindar las herramientas forenses.
Los forenses despliegan toda su pericia cuando en el sitio donde ocurrió un crimen hay una computadora. El equipo que deben revisar es tratado como otra escena del delito. Cualquier investigador que comience a revisar el equipo comete un error de principiantes si antes no ha seguido varios pasos para proteger la información que hay en las computadoras. Lo primero que debe hacer es acordonar el equipo para no contaminar la evidencia. “Tal como se lo haría con un cadáver. Nadie puede tocarlo ni mover una pistola, porque dejaría huellas”, explica el informático Israel Rosales.
Basta mover una cámara, un dispositivo de almacenamiento o, peor aún, apagar o encender el equipo para que las pruebas se contaminen. Al encender una computadora se inicia un proceso que puede producir variaciones en los registros; lo mismo sucede al apagarlo. Por eso, después de acordonar la zona, se observa qué tipo de conexiones tiene la máquina. Se la protege de cualquier señal inalámbrica y se procede a filmar y fotografiar todo el entorno, e incluso se mide la distancia de los diferentes dispositivos, puesto que, en algún momento, esa información será útil en un juzgado.
Después de estos pasos iniciales es posible proceder al rastreo, que equivale, en el léxico usual, a “mirar papeles y abrir cajones para buscar evidencia”, explica Rosales.
Procedimiento clave para una revisión es la realización de una copia imagen. Ese proceso de copiado se realiza con una herramienta informática forense. No sirve realizar el clásico copiado y pegado de documentos, porque así no se registran los archivos borrados. Se trata de una copia ‘bit a bit’, es decir, un duplicado exacto del disco duro que se investigará. Y no sólo se analizan los discos duros. Todo dispositivo de almacenamiento de información es objeto de investigación, como los ‘pen drives’ o memorias portátiles, tarjetas flash, ‘tapes’, ‘zip disks’, ópticos y discos (CD y DVD).
Hace unas semanas, un fotógrafo desesperado llevó a la empresa Cosim-TI su tarjeta de memoria, de la que había borrado accidentalmente las fotografías de una boda. Lo grave es que había comenzado a tomar fotos de otro matrimonio en la misma tarjeta. Los procedimientos forenses le permitieron recuperar esas fotografías.
En un juicio oral, los informáticos deben ser capaces de explicar, con palabras sencillas, complejos procedimientos y áreas de estudio que están llenos de tecnicismos, como los que se usan para describir amenazas: ‘hacking’, ‘wire-tapps’, ‘rogue acces points’, ‘keyloggers’ o programas para obtención de claves. Además, deben ser cuidadosos al recibir las pruebas. Eso los ha obligado a crear un código o marca para cada dispositivo que estudie.
“En un juicio, cuando se le pregunta al investigador si ha revisado un disco, debe ser capaz de reconocerlo”, asegura. Y también debe sustentar la validez de las pruebas que obtuvo. Por eso se utilizan trajes especiales y barbijos para no dañar la información. Así se completan pasos, como el reconocimiento de los datos, que equivale a la tanatología que se practica en los cadáveres, aclara Israel Rosales. Luego de ver qué tipo de ‘ataques’ informáticos hubo, se establecen las hipótesis, que deben responder algunas preguntas: cómo sucedió el ataque, cuándo y si se usaron cables de red o el acceso fue directo. Parte del procedimiento es el transporte y embalaje, para el que se utilizan bolsas especiales. Una de ellas bloquea totalmente las señales que entran a los celulares y proveen también protección antiestática, gracias a que tienen tres metales. Finalmente, se establece una cadena de custodia, en la que cada investigador coloca su marca en cada material revisado para validar los resultados. 

No hay muchos lugares de formación en Bolivia. La Univalle de Cochabamba tiene un Instituto de Ciencia Forense e Investigación Criminal desde finales de 2005. Arturo Mercado es su director. Periódicamente se realizan cursos como balística, medicina forense y criminalística. Con los cursos enmarcados en la informática forense han logrado llamar la atención de los profesionales jóvenes. Por ahora, se limitan a mostrar la relevancia de estos procedimientos en un juicio y cita como ejemplo el caso de las imágenes de prostitución infantil, que desde nuestro país emitía una banda boliviano-peruana. Quien tuvo que apoyar en la investigación fue la policía de Alemania. Mercado es moderadamente optimista al respecto: “Estimo que en Bolivia por lo menos tenemos que esperar diez años antes de hacer una carrera con esta disciplina”.

 Fuente: http://www.eldeber.com.bo/extra/2009-11-08/nota.php?id=091108175314

Adquisición:

En esta segunda fase, procedemos a ejecutar los 3 pasos que visualizamos en el gráfico anterior para adquirir la evidencia sin alterarla o dañarla, se autentica que la informacion de la evidencia sea igual a la original.

Se debe definir los equipos y herramientas determinadas para llevar a cabo la investigación. Lograr un entorno de trabajo adecuado para el análisis y la investigación.

Iniciar una Bitácora, que nos permita documentar de manera precisa identificar y autenticar los datos que se recogen, tipo:

• ¿Quién realiza la acción y por qué lo hicieron.
• ¿Qué estaban tratando de lograr?
  ¿Cómo se realiza la acción, incluidas las herramientas que utilizaban y los procedimientos que siguieron.
  Cuando se realizó la acción (fecha y hora) y los resultados.

De igual forma, se toman otras fuentes de informacion de los sistemas vivos, los datos volatiles como:

• Cache del Sistema
• Archivos temporales
• Registros de sucesos.
• Registros de internos y externos que los dispositivos de red, tales como firewalls, routers, servidores proxy,etc.
• Logs del sistema, Aplicaciones.
• Tablas de enrutamiento (arp, cache de Netbios, lista de procesos, informacion de la memoria y el kernel)
• Registros remotos e información de monitoreo relevante

Realizar copia imagen de los dispositivos (bit a bit), con una herramienta apropiada (ver anexo de herramientas), Y firmar su contenido con un hash de MD5 o SHA1, generando asi el segundo original, apartir de este se generaran las copias para el Analisis de datos, cada copia debe ser comprobada con firmas digitales nuevemente de MD5 o SHA1. Documente la evidencia con el documento del embalaje (y cadena de custodia) que puedan garantizar que se incluye información acerca de sus configuraciones. Por ejemplo, anote el fabricante y modelo, configuración de los puentes, y el tamaño del dispositivo. Además, tenga en cuenta el tipo de interfaz y de la condición de la unidad.

Importante considerar las buenas practicas para conservar la informacion y la evidencia.

• Asegurar de manera fisica un lugar para almacenar los datos, evitando su manipulacion. No olvide documentarlo.
• Proteger los equipos de almacenamiento de los campos magnéticos (estatica).
• Realice minimo el segundo original y una copia del segundo original para el analisis y almacene el segundo original en un sitio seguro
• Asegurar que la evidencia está protegido digital y físicamente (por ejemplo, en una caja fuerte, asignar una contraseña a los medios de almacenamiento).
  Nuevamente, no olvide actualizar el documento de Cadena de custodia (incluye información como el nombre de la persona que examina la evidencia, la fecha exacta y el tiempo que echa un vistazo a las pruebas, y la fecha exacta y hora en que lo devuelva).
• Se pretende que esta informacion sea:
• Autentica
• Correcta
• Completa
• Convincente

Para que en caso de un proceso sea legal, admisible.

Fuente: www.dragonjar.org

Identificación:

• En esta fase, realizamos una evaluación de los recursos, alcance y objetivos necesarios para realizar la investigación interna.
• Obtener por escrito la autorización para iniciar la Forense (Investigación de equipos). Acuerdos de confidencialidad.
• Documentarse de todas las acciones y antecedentes que preceden la investigación. Los acontecimientos y decisiones que se adoptaron durante el incidente y su respuesta al incidente. La cual determinara el curso de acción a seguir en la Investigación.
• Organizar y definir el Team de Investigación, estableciendo Limites, funciones y responsabilidades.
• Realice una Investigación preliminar (documentela) que le permita describir la situación actual, hechos, las partes afectadas, posibles sospechosos, gravedad y criticidad de la situación, infraestructura afectada, para lograr una compresión total de la situación actual del incidente y definir un curso de acción acorde a la situación.
• Identificar el Impacto y la sensibilidad de la informacion ( de clientes, financieros, comerciales, de Investigación y Desarrollo, etc)
• Analizar el Impacto de los negocios atraves de la investigación del Incidente. Como, tiempos de inactividad, costos de equipos afectados o dañados, perdida en ingresos, costos de recuperación, perdida de informacion confidencial, perdida de credibilidad e imagen, etc.
• Identificar la topologia de red y tipologia de red, equipos afectados ( servidores, aplliance, UMT, estaciones, Sistemas Operativos, Router, Switches, IDS’s, etc)
• Identificar los dispositivos de almacenamiento o elementos informáticos (Discos Duros, Pen drive, memorias, tarjetas flash, Tapes, Zip Disk, Opticos, Disquettes, Cds, Dvd, etc) que se consideren comprometidos y sean determinados como evidencia, su marca, modelo, caracteristicas, seriales, etc.
• Para nuestro caso, obviaremos los procedimientos a ejecutar sobre sistemas Vivos, por la continuidad en producción de los equipos en producción y su uso en las nuevas instalaciones, se han perdido los datos volátiles.
• Identifique los posibles implicados o funcionarios que tengan relación con la investigación y efectué entrevistas, con usuarios o administradores responsables de los sistemas, documente todo y trate de lograr un conocimiento total de la situación.
• Realiza una recuperación de los logs de los equipos de comunicación y dispositivos de red, involucrados en la topologia de la red.

El producto final de esta fase, debe entregar un documento detallado con la informacion que permita definir un punto de inicio para la adquisición de datos y para la elaboración del documento final.

Iniciamos la cadena de Custodia, llenando el formato correspondiente, iniciando una bitácora de los procesos que se llevan a cabo y el embalaje de la Evidencia. Determinar

Quien?, Que?, Donde?, Por que? mantener una copia con la evidencia, Como?, Cuando?

• Quien es el primero en tener la evidencia?
• Donde, cuando y quien es el primero que tiene la evidencia
• Donde, cuando y quien examino la evidencia
• Quien va a tener custodia de la evidencia y por cuanto tiempo la tendrá
• Quien y como se embalo y almaceno la evidencia
• Cuando se realiza el cambio de custodia y como se realiza la transferencia

Paraben Corporation(www.paraben.com) tiene una herramienta llamada Device Seizure Mobile Kit es una solución para realizar análisis forense a celulares. El kit incluye software, cables, y hardware para que pueda procesar evidencia digital en cualquier lugar y momento.

A diferencia de otras soluciones el Device Seizure Mobile Kit incluye una Computadora Pórtatil lo que le permite realizar un análisis completo con reportes y con la capacidad de poder analizar cualquier tipo de datos en el campo. Soporte para más de 1,900 Dispositivos Móviles Recuperar Datos Eliminados con Adquisiciónes Físicas El Kit Expandible procesa Dispositivos de Almacenamiento Tradicionales Visores Incorporados de Texto, Imágenes, Video y Otros. Creado por una Empresa Forense Confiable .
Incluye
 - Device Seizure Software
 - Device Seizure Toolbox

 - 1.6 GHz Laptop
 - CSI Stick Forensic Replicator Case Agent Companion Various Media Card Readers

Maletín de Uso Rudo

Componentes opcionales PC de uso rudo (remplaza laptop)
 - P2 Commander
 - Data Arrest