Que Metodologia o pasos se siguen en la Informatica Forense!!!!

El pasado día 1 de marzo de 2008, las autoridades colombianas llevaron a cabo una operación en el campamento de las Fuerzas Armadas Revolucionarias de Colombia (FARC) situado en Ecuador, en una zona fronteriza con Colombia, consecuencia de la cual resultó muerto el portavoz internacional de las FARC, Raúl Reyes, y al menos otros 16 rebeldes. En esa operación, las autoridades colombianas decomisaron en el campamento una serie de pruebas instrumentales de carácter informático, a saber, tres ordenadores portátiles, dos discos duros externos y tres llaves USB. Dichos ordenadores constituían unas pruebas importantísimas, dado que eran susceptibles de contener una información muy valiosa sobre las FARC, sus campamentos, agentes, planes, etc.
En un primer momento, debido al desconocimiento y a cierta precipitación, los agentes arrancaron dichos ordenadores e insertaron las llaves USB y discos duros externos, con los que estuvieron trabajando durante unos días en busca de información que pudiera resultar de interés. Al cabo de tres días, las autoridades colombianas se dieron cuenta de que no estaban gestionando correctamente las pruebas y pidieron ayuda independiente a Interpol para que se ocupase correctamente del tratamiento de dichas evidencias electrónicas y determinar si se habían introducido nuevos archivos de usuario o se habían modificado o eliminado los ya existentes, después del decomiso efectuado por las autoridades colombianas realizado unos días atras.
Interpol envió al lugar a dos agentes expertos en informática forense, que es como se denomina a una de las disciplinas menos conocidas de la informática, que se ocupa principalmente de estudiar las pruebas informáticas para responder a las preguntas de cómo y quién hizo qué, a partir del estudio de los rastros digitales que toda actividad deja en los sistemas informáticos.
¿Qué hicieron dichos agentes? Lo primero de todo, hacerse cargo de la cadena de custodia de dichas evidencias electrónicas, es decir, identificar y registrar todos los elementos, tanto a nivel externo o físico (marca, modelo y números de serie de los ordenadores y sus discos duros) así como a nivel interno o lógico, identificando de manera inequívoca la información contenida en todos los soportes digitales mediante el cálculo de hashes.
El primer paso de todo proceso forense es la adquisición de la información, es decir, la realización de copias exactas de todos los dispositivos. A este proceso se le llama copia espejo (o "imaging") y es diferente de una copia selectiva de archivos o de una clásica copia de respaldo (backup), ya que la copia espejo se realiza a bajo nivel (bit a bit), sin tener en cuenta el sistema de ficheros del disco.

Es muy habitual utilizar software especializados (no necesitan instalar, se ejecutan desde el CD o DVD) no utilizan el espacio de disco escenario del crimen. Tan sólo leen datos, garantizándose la asepsia en la recogida de pruebas.
Sea como fuere, son todas bastante parecidas, y casi todas tienen las mismas herramientas:
En este proceso hay que tratar de evitar, para no violar las prescripciones ITIL ni las de cualquier otro código de buenas prácticas al respecto, que la máquina esté sin servicio más tiempo del estrictamente necesario. Es imperativo que el personal al cargo de la máquina esté informado de la interrupción del servicio y la duración de la interrupción con carácter previo a la actuación.
La recolección de pruebas se centrará en los servicios que sospechemos estén o hayan sido comprometidos. No está de más recoger pruebas genéricas y de servicios aparentemente no comprometidos, todo dependerá de la ventana de tiempo asignada para la recuperación de la máquina analizada. Para estos menesteres, las distribuciones forenses están repletas de herramientas libres de análisis.
Reanimación cautelar
Una vez detectadas las fuentes de problemas, se procede a subsanar y a reanimar los servicios. A veces es necesario reactivar la máquina antes de subsanar, por cuestiones de tiempo. Sea como fuere, el análisis de campo debe concluir con la puesta en servicio de la máquina comprometida habiéndose aplicado las medidas cautelares de prevención estimadas como necesarias para garantizar que la máquina puede entrar en operación de un modo seguro.
El trabajo de gabinete
Con los registros y las evidencias, pasamos al trabajo de gabinete, eso sí, mirando de reojo la máquina reactivada, para verificar que las medidas de prevención funcionan y para ver si la actividad sospechosa ha finalizado o no. El trabajo de despacho concluye con el informe o análisis forense, un documento que debe contener, al menos:
Descripción detallada de las condiciones de contorno antemortem
Descripción de la situación del sistema postmortem
Descripción de los datos recolectados, metodologías y herramientas aplicadas
Descripción de las medidas cautelares de recuperación y garantías obtenidas
Informe final de incidencias, causas y medidas de corrección
Análisis completo de servicios y estado de vulnerabilidad global
Proposición de mejoras y conclusiones

Tras la copia espejo, se calculan los hashes, que permiten saber si la copia realizada es exacta al original y, al mismo tiempo, identifica la información contenida en cada uno de los dispositivos. De manera que, a partir del momento en que se ha calculado el hash, siempre se podrá saber si la información original o cualquiera de sus copias es idéntica y si ha sido alterada.
Posteriormente al proceso de imaging y cálculo de los hashes, se comienza a trabajar en el análisis de las copias espejo (imágenes) realizadas. Siempre se trabaja tomando la precaución de no escribir sobre dichas imágenes, ya que no deben alterarse nunca. Para este tipo de análisis se utiliza software especializado que, por una parte, permite trabajar sin que se altere la información de partida y, por otra parte, proporciona un conjunto de herramientas para realizar el análisis forense correspondiente.
Un análisis forense suele ser un proceso técnicamente muy complejo, que requiere de unos conocimientos informáticos muy avanzados, principalmente de los sistema de ficheros y funcionamiento a bajo nivel del sistema operativo. En el análisis forense llevado a cabo por los expertos de Interpol, se realizó en primer lugar un estudio de la línea de actividad de los dispositivos, la denominada en el argot forense "timeline", con el objeto de conocer si se había producido una alteración significativa de la información contenida en los discos duros y memorias USB, causada por el uso de los mismos por parte de los agentes que intervinieron el material en los días posteriores a la incautación.
El simple hecho de que los ordenadores fueran arrancados sin utilizar ninguna precaución de bloqueo de escritura es suficiente para que se haya producido una alteración de los ficheros del sistema, habiéndose creado, copiado y movido diferentes ficheros del sistema y de las aplicaciones arrancadas. Con el estudio, siempre complejo y delicado, de la "timeline", los expertos forenses pudieron conocer qué había sucedido en los días posteriores a la intervención con los ficheros del ordenador. De este modo, pudieron determinar, si además de algunos ficheros del sistema y de aplicación, los ficheros de usuario (ficheros de texto, hojas de cálculo, etc.) habían sido alterados, llegando a la conclusión de que no hubo ninguna alteración de este tipo de ficheros en los días posteriores a la intervención y que ningún archivo de usuario había sido eliminado o añadido.

¿Que es Informatica Forense????

La ciencia forense es metódica y se basa en acciones premeditadas para reunir pruebas y analizarlas. La tecnología, en caso de análisis forense en sistemas informáticos, son aplicaciones que hacen un papel importante en reunir la información y pruebas necesarias. La escena del crimen es el ordenador y la red a la cual éste está conectado.

Objetivos

El objetivo es realizar un proceso de búsqueda detallada para reconstruir a través de todos los medios los acontecimientos que tuvieron lugar desde el momento cuando el sistema estuvo en su estado integro hasta el momento de detección de delito.
Esa tarea debe ser llevada a cabo con máxima cautela, asegurándose que se conserva intacta, a la mayor medida posible, la información contenida en el disco de un sistema comprometido, de forma similar que los investigadores policiales intentan mantener la escena del crimen intacta, hasta que se recogen todas las pruebas posibles.

Alcance y Supuestos

Cada uno de los incidentes es único, por lo tanto, la involucraron de un investigador forense externo es diferente en cada caso. Algunas veces el trabajo puede estar limitado a colaborar con las agencias del gobierno como Departamento de Delitos Telemáticos de Guardia Civil y/o Brigada Investigación Tecnológica, proporcionándoles el equipo íntegro para que sea analizado en sus instalaciones y por sus expertos.
Otras veces será necesario previamente realizar una recolección de información del sistema informático: analizar ficheros log, estudiar el sistema de ficheros (FS) del equipo comprometido y reconstruir la secuencia de eventos para tener una imagen clara y global del incidente.
El análisis termina cuando el forense tiene conocimiento de cómo se produjo el compromiso (1), bajo qué circunstancias (2), la identidad de posible/s atacador/es (3), su procedencia y origen (4), fechas de compromiso (5), objetivos del/los atacador/es (6) así como, cuando ha sido reconstruida completamente la línea temporal de los eventos (7).
Cuando un investigador forense empieza el análisis de la situación nunca sabe con lo que va a enfrentarse. Al principio puede ser que no encuentre a simple vista ninguna huella ni prueba de que el equipo ha sido comprometido, especialmente si hay un "rootkit" [1] instalado en la máquina. Puede encontrar procesos extraños ejecutándose con puertos abiertos. También es frecuente que vea una partición ocupada 100% de su capacidad, pero cuando la verifica a través de du, el sistema muestra otro porcentaje de ocupación. Puede encontrar una saturación de tráfico de red desde un host específico. Es posible encontrar aplicaciones que están consumiendo un porcentaje elevado de del CPU pero no haya ningún indicio de un programa con ese nombre en el sistema de ficheros.

Analisis Forense

Este teme lo he escogido por que es de mi interes para mi tesis
hoy en dia ante el boom de la tecnologico en el mundo todos quieren adaptarse a estos cambios , por lo que las empresasno se escapan por que necesitan adaptarse rapidamente si quiere subsistir en el mercado.

Internet,E-learning , E-commerce todo estos tipos de negocios de las distintas empresas necesariamente tiene que tener una bd(donde se guardan toda la informacion).

Utilizando estas tecnologias las empresas compiten en el mercado y elevan la competencia y dan un buen producto ante las necesidades de los clientes, pero tambien hay un lado oscuro en todos siempre ha ocurrido robos y hoy en dia no es una exepcion ha estos robos se le denomina delitos informaticos los mas comunes son los hackers,sabotajes y robo de informacion.

Me voy a enfocar en los delitos informaticos. basicamente realizare un investigacion de que debe hacer una empresa cuando se haya producido un delito informatico (robo de informacion, alterar informacion) realizar una metodologia estandar de pasos que debe seguir para reducir los tiempos de respuesta en las acciones ha tomar pero no solo de la empresa donde se producio el delito si no tambien en las autoridades encargadas de resolver dichos delitos (DININCRI) realizar una nueva metodologia de todos sus procesos para que de esta manera poder resolver cualquier delito y en un tiempo corto y de esta manera las empresas estaran mas seguras.