Unidad 2

Autenticidad: Para que una evidencia digital sea auténtica, se debe cumplir:

1.    Probar que esta evidencia ha sido generada y registrada en el lugar de  los hechos.

2.    Demostrar que los medios de la evidencia no han sido modificados, que los registros, archivos, fechas y atributos sean correspondientes a la realidad.

Esto se debe a que los medios digitales, presentan la posibilidad y capacidad de ser manipulados, por esta razón es importante verificar y garantizar la autenticidad de las pruebas.

Confiabilidad: Los registros de una evidencia digital son confiables si vienen de fuentes verificables y creíbles. Para garantizar esto, se debe contar con equipos de análisis en correcto funcionamiento y con una arquitectura computacional sólida, que sea segura y que genere datos confiables y verificables. También es confiable si el sistema que dio los resultados no es penetrado o hackeado al momento de la generación de la prueba.

Suficiencia: La prueba realizada debe ser completa, en ningún momento debe permitir resultados parciales, esto debido a que puede haber algún tipo de manipulación de los datos, y la interpretación de los resultados y pruebas son vitales para dar un veredicto sobre el acusado.

Respeto por las leyes y el poder judicial: Todo análisis realizado debe ir dentro del marco de las leyes y estatutos legales del país, ya que en caso contrario puede ser descartada la evidencia.

Adicionalmente, es importante hacer uso de medios forenses estériles para realizar las copias de la información, ya que la evidencia encontrada se debe mantener intacta, manteniendo la integridad de este. Además, al momento que la evidencia se encuentre en poder de una persona natural, este debe ser un profesional forense, y es responsable legalmente, de las alteraciones sobre esta.

La evidencia digital debe ser meticulosamente analizada y recopilada, para posteriormente cumplir con los requisitos de admisibilidad en una corte.

ü  Que estrategias se usaron para la recolección de las pruebas electrónicas

Estrategias para la recolección de pruebas electrónicas

Llevar un orden de recopilación de información

Si la recolección de datos se realiza correctamente y de una manera ordenada, es mucho más útil en la detención del atacante y, como tal, tiene una posibilidad mucho mayor de ser admisible en un proceso judicial. El orden de recopilación debe llevarse a cabo siguiendo los siguientes pasos básicos:

Buscar la evidencia.

Determinar dónde puede estar la evidencia que se esta buscando y si esta se encuentra almacena en el sistema atacado, para ello se hace necesario hacer una listado de verificación que puede ayudar en el proceso de recolección, comprobando que todo lo que se está buscando este en el sistema.

Determinar la relevancia de los datos.

Al descubrir la evidencia, se debe decidir qué partes de ella son relevantes para el caso, para estar seguro, se debe recopilar toda la información necesaria y no excluir ninguna prueba que tenga afinidad con el caso reportado, es necesario trabajar rápido y no perder tiempo recogiendo información que no será de utilidad para el caso.

Al adquirir y tratar la evidencia electrónica, los elementos que deben regir el trabajo del perito informático son: la no alteración de la prueba y el principio de imparcialidad. En este sentido y con el fin de garantizar la autenticidad y seguridad de la información que constituye la prueba, la IOCE (International Organization on Computer Evidence) propone cinco principios sobre la adquisición y el tratamiento de la evidencia electrónica:

1.               Las acciones llevadas a cabo para adquirir la evidencia electrónica no deben modificarla.

2.    Las personas que accedan a la evidencia electrónica original deben estar formadas especialmente para ello.

3.    Toda aquella actividad referente a la adquisición, acceso, almacenamiento o transferencia de la evidencia electrónica, debe ser totalmente documentada, almacenada y debe estar disponible para revisión.

4.    Un individuo es responsable de todas las acciones llevadas a cabo con respecto a la evidencia electrónica mientras ésta está en su posesión.

5.    Cualquier organismo que sea responsable de la adquisición, acceso, almacenamiento o transferencia de la evidencia electrónica debe cumplir estos principios.

ü Que indicios fueron tenidos en cuenta para la recolección de evidencias.

Lo primero que se debe buscar son los archivos eliminados, ya que, a pesar de creer que se elimina el archivo, queda rastro de la acción y del archivo mismo. La conservación de los archivos es vital para la investigación del caso, ya que posiblemente es la información que el acusado querría ocultar. Posteriormente, hacer una búsqueda de archivos por atributos ya que en este caso, al tener datos sobre el acusado, y de la investigación del caso, se puede hacer uso de la ingeniería social para hacer análisis de la información.

ü Los cuidados tenidos en cuenta al tener evidencia volatilidad, se necesitase extraer del computador incautado.

·         Eliminar la interferencia exterior.

Es importante no alterar los datos originales, ya que la información alterada no es fuente confiable de evidencia por lo cual es necesario impedir cualquier contaminación, evitando que atacantes puedan instalar un interruptor que puede borrar evidencia una vez el equipo se desconecta de la red o de Internet.

·         Recoger la evidencia.

Para iniciar el proceso de recolección se pueden utilizar las herramientas de software disponibles para esta tarea. Examinar los elementos recogidos anteriormente y revisar que elementos en el listado pueden faltar para inspeccionar nuevamente la escena.

·         Documentar todas las acciones realizadas.

En los litigios legales cualquier método de recolección de evidencia que se presenta podrá ser puesto en duda, por lo cual es indispensable mantener un registro de todo lo que se hace en el proceso de recolección. Las marcas de tiempo, las firmas digitales, y las declaraciones firmadas sirven para validar el proceso de recolección de evidencia.

·         Cantidad de Información recolectada.

Incautar  sólo lo mínimo necesario para efectuar una investigación seleccionando la información potencialmente importante para no incurrir en demandas por dañar o alterar el sistema informático.

·         Cuidados al Hardware

El hardware es uno de los elementos que se debe tener en cuenta a la hora de la recolección de evidencia, debido a que puede ser usado como instrumento, como objetivo del crimen, o como producto del crimen.

·         No apague el sistema hasta que haya completado todos los procedimientos de recolección de pruebas para pruebas volátiles

·         Se recomienda hacer una lista de elementos con prioridad de apagado para conservarlos activos mientras dure la indagación

·         No confiar en los programas activos en el sistema.

·         Ejecutar los programas de obtención de pruebas (software forense) en los medios de comunicación debidamente protegidos.

·         No ejecute programas que modifican el tiempo de acceso de todos los archivos en el sistema (por ejemplo tar o xcopy).

Sistema Operativo Windows 95

- Características

·         El botón de inicio tiene un símbolo de Windows.

- Procedimientos de cierre

·         Fotografiar la pantalla y anotar los programas en ejecución.

·         Retire cable de alimentación de la pared

ü  Recordar jerarquía de evidencia digital:

o   Datos Volátiles

§  Registros del Procesador

§  Contenido de Memoria Caché

§  Contenido de Memoria RAM

§  Conexiones de Red

§  Procesos activos

o   Datos No Volátiles

§  Contenido del Sistema de Archivos y Medios de Almacenamiento Fijos

§  Contenido Medios de Almacenamiento Removibles