“Con sabiduría se edificará la

casa, y con prudencia se

afirmará; y con ciencia se
llenarán sus habitaciones de
todo bien preciado y
agradable.”

PROVERBIOS 24, 1-4

-INFORMÁTICA FORENSE-
-ESIES-
2015
Ing. DANIEL RICARDO TORRES TORRES
SEQRITYINFFORENSE
 AGENDA
• Introducción
• Conceptos y terminología
• Prevención, preparación y respuesta a
incidentes informáticos
• Aspectos legales (Ley 1273 de 2009)
• Qué es la IF?
• Importancia, objetivos y usos de la
IF
• Ciencia forense y evidencia digital
• Manipulación de la evidencia digital
• Cadena de custodia
Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 3
 INTRODUCCIÓN
• Valor de la información
• Uso de la información
• Espacios de uso
• Empleo de tecnología
• Es una ciencia nueva
• Leyes de la física, electricidad y
magnetismo
• Fenómenos electromagnéticos
• CASO RESUELTO=PROCEDIMIENTOS+MÉTODO
CIENTÍFICO+METODOLOGÍA FORENSE
Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 4
CONCEPTOS Y TERMINOLOGÍA
• Incidentes DoS>>obstaculizar e
impedir
• Código malicioso>>ejecutar e
infectar
• Acceso no autorizado>>escalar
privilegios
• Uso inapropiado>>omitir políticas
• Incidente múltiple>>concurso

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 5

 PREVENCIÓN
• Detectar es mejor que recuperar
• BACKUP’s>>se presume???
• Repercusión negativa>>imagen y costo
• RECOMENDACIONES xa ASEGURAR:
• Parches y actualizaciones
• Asegurar servidores>>privilegio
mínimo de recursos
• Filtro perimetral de red>>modo
“paranoico”
• Utilización de AV’s
• Recurso humano>>eslabón débil
Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 6
 PREPARACIÓN Y RESPUESTA
• Cuando la prevención no es suficiente
• Prever un ‘PRI’:
• Objetivos
• Estructura organizativa del ERI
• Modus Operandi
• Proceder sin eliminar
• Valoración
• Manejo interno y/o jurídico legal
• Personal investigativo
• Fases
• Documentar
Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 7
 PREPARACIÓN Y RESPUESTA
• Recomendaciones para recopilación
de evidencias:
• Monitorear funcionamiento normal
• Registro central
• Detallar información
• Sincronizar>>NTP
• Base de conocimientos
• Utilizar la experiencia

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 8

 ASPECTOS LEGALES
• Legislación nacional
• Legislación internacional

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 9

 LEY 1273 DE 2009-COLOMBIA
1. Protege información y datos
2. Preservación íntegra de sistemas
3. Delitos contra la confidencialidad,
integralidad y disponibilidad de los SI
3.1 Obstaculización ilegítima
3.2 Interceptación de datos
3.3 Daño Informático
3.4 Software malicioso
3.5 Violación de datos personales
3.6 Suplantación de sitios web
3.7 Circunstancias de agravación punitiva
4. Atentados informáticos y otras infracciones.
4.1 Hurto por medios informáticos
4.2 Transferencia no consentida de activos
4.3 Circunstancias de mayor punibilidad.
Ing. DANIEL RICARDO TORRES
TORRES-SEQRITYINFFORENSE-ESIES- 10
2015
 CARTA INTERNACIONAL
DE DERECHOS HUMANOS
• Protege privacidad e intimidad
• Protección a datos personales
• Protección a los derechos de
intelectuales autoría y creación
• Garantiza acceso a sistemas de
información
• Garantiza la seguridad de acceso y
uso
• Protección a la integridad personal
y buen nombre
Ing. DANIEL RICARDO TORRES
TORRES-SEQRITYINFFORENSE-ESIES- 11
2015
 CONVENCIÓN EUROPEA SOBRE PROTECCIÓN DE
LOS INDIVIDUOS RESPECTO AL TRATAMIENTO
AUTOMATIZADO DE DATOS PERSONALES
• Excepciones
• Vigilantes: autoridades independientes y
especializadas
• Aplicación mas allá de las fronteras
• Futuro del programa de protección
• Por qué se deben proteger los datos?
• Qué tipo de datos se protegen?
• Qué sectores abarca el programa de protección?
• Cómo se protegen los datos?
• Cuáles son los derechos del usuario?

Ing. DANIEL RICARDO TORRES

TORRES-SEQRITYINFFORENSE-ESIES- 12
2015
 QUÉ ES LA IF??
• Ciencia>>adquirir, preservar, obtener,
analizar y presentar
• Datos procesados
• Disciplina auxiliar
• Orígenes 1984>>Federal Bureau
Investigation (FBI)
• Computación forense>>disciplina
relacionada con evidencia digital para
descubrir e interpretar
• Network Forensics>>comprender conjugación
de protocolos y correlación de eventos
• Digital Forensics>>aplicar ciencia
forense tradicional a medios informáticos
Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 13
 POR QUÉ ES IMPORTANTE??
• Alto índice de ciber-crímenes e
incidentes
• Riesgo de pérdida
• Posibilidad de recuperación
• Determinar responsables
• Investigar modus operandi
• Determinar vulnerabilidades

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 14

 OBJETIVOS
• Compensar
• Perseguir
• Judicializar
• Prevenir

OBJETIVOS IF=
identificar+recolectar+analizar

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 15

 USOS
• Persecución criminal
• Litigios civiles
• Investigación de seguros
• Temas corporativos
• Órdenes judiciales

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 16

 CIENCIA FORENSE &
EVIDENCIA DIGITAL

Ciencia Principios
Forense PROPORCIONA +
Técnicas

FACILITAR

Investigación

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 17

 CIENCIA FORENSE &
EVIDENCIA DIGITAL
• Procedimientos:
• Recolección y examen
• Recuperación
• Obtener imagen bit-bit
• MD5-SHA1
• Firmas digitales
• Ciencia forense tradicional>>
• Reconstruye y encuentra
• Analiza
• Formula hipótesis
• Triangulación de posibilidades
Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 18
 PRINCIPIO DE LOCCARD

ESCENA DEL CRIMEN

EVIDENCIA

SOSPECHOSO
VÍCTIMA

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 19

 PRINCIPIO DE LOCCARD
• “Cada contacto deja un rastro”
• Objetos presentes en la escena
• Se deja y se lleva rastro
• EVIDENCIA>>se demuestra presencia
del sospechoso

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 20

 TIPOS DE EVIDENCIAS FÍSICAS
• Transitoria>>es temporal
• Curso o Patrón>>por contacto
• Condicional>>acción o evento en la
escena
• Transferida>>por contacto. Concepto
de relación
• Por rastro
• Por huella

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 21

 INTERCAMBIO DE LOCCARD
• Concepto de relación entre
sospechoso, víctima y escena
• Concepto de relación>>interrelación
entre componentes
• Transferencia de evidencias:
• Directa
• Indirecta
• ‘Todo puede ser evidencia’

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 22

 EVIDENCIA DIGITAL
• “Cualquier datos que puede establecer
que un crimen se ha ejecutado o puede
proporcionar un enlace entre un
crimen y su víctima o un crimen y su
autor”
Cassey

• “Cualquier información que sujeta a

una intervención humana u otra
semejante, ha sido extraída de un
medio informático”
H. Bit
Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 23
 EVIDENCIA DIGITAL
• Frágil
• Identidad inalterable
• Potencial de copias
• *No alterar copias de evidencias*
• Verificar checksum o HASH MD5
• Intención de alteración de
evidencia

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 24

 EVIDENCIA DIGITAL
• Características:
• Duplicidad exacta
• Comparar copia Vs. Original
• Facilidad en recuperación post-
formateo
• Existencia de otras copias

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 25

 EVIDENCIA DIGITAL
• Clasificación
• Registros
generados>>inalterables
• Registros No
generados>>almacenados,
identidad del generador
• Registros
híbridos>>combinación humano-
logs
Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 26
 MANIPULACIÓN DE LA
EVIDENCIA DIGITAL
• Esterilidad
• Mantener la integridad
• Evitar contaminación
• Personal autorizado
• Rotulación, preservación y control
• Responsabilidad en manipulación
• Garantizar principios

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 27

 CADENA DE CUSTODIA

1. Presencia de equipo
2. Mantener inalterabilidad PRINCIPIOS
BÁSICOS DE
3. Sustentar y soportar LA CADENA
DE CUSTODIA
4. Documentar>>Bitácora
5. Aplicar normatividad

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 28

 PRINCIPIOS DEL PERITAJE
FORENSE DIGITAL
1. Objetividad
2. Autenticidad y conservación
3. legalidad
4. Idoneidad
5. Inalterabilidad
6. Documentación

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 29

 RECONOCIMIENTO DE LA
EVIDENCIA DIGITAL
 Relacionar>>tipo de delito-tipo de
investigación
 Discriminar EV-ELECTRÓNIA vs. EV-
DIGITAL
 Se crea paralelo en 2 escenas

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 30

EV.ELECTRÓNICA vs. EV.DIGITAL
HARDWARE SOFTWARE

Pueden
ser:

FRUTO

INSTRUMENTO

EVIDENCIA
Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 31
 CLASE DE EQUIPOS
INFORMÁTICOS Y ELECTRÓNICOS

 Dispositivos electrónicos
contienen evidencia digital
 EVIDENCIA= núcleo de la
investigación
Identificar fuentes de evidencia

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 32

CLASIFICACIÓN DE LAS FUENTES
DE EVIDENCIA DIGITAL

a) Sistemas de computación abiertos

b) Sistemas de comunicación
c) Sistemas convergentes de
computación

Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 33

 UBICUIDAD DE
LA EVIDENCIA DIGITAL
MEDIO INFORMÁTICO
ATACANTE

MENSAJE DE DATOS
TRASMITIDO
DELITO ó INVESTIGADOR
ANALIZA
FORENSE
INCIDENTE

MEDIO INFORMÁTICO
VÍCTIMA
Ing. DANIEL RICARDO TORRES TORRES-SEQRITYINFFORENSE-ESIES-2015 34