Fundamentos de la evidencia digital · Lección 3 de 3
El proceso forense
6 min de lectura
La informática forense sigue un proceso. Las distintas normas y los manuales lo representan con diagramas diferentes, pero coinciden en lo esencial: localizar las evidencias, preservarlas, copiarlas de forma verificable, examinarlas, interpretar su significado y comunicar los resultados para que otras personas puedan comprobarlos. Esta lección recorre esas fases, las normas que las describen y las reglas que se aplican desde el primer paso hasta el último.
Un proceso, varias descripciones
Encontrará varios modelos. Describen el mismo trabajo con distintos niveles de detalle.
| Referencia | Qué describe |
|---|---|
| ISO/IEC 27037 | Identificación, recolección, adquisición y preservación de evidencias digitales |
| ISO/IEC 27041 | Aseguramiento de que los métodos y las herramientas utilizados sean idóneos y adecuados (validación) |
| ISO/IEC 27042 | Análisis e interpretación de evidencias digitales |
| ISO/IEC 27043 | El proceso general de investigación que integra todos estos elementos |
| NIST SP 800-86 | Cuatro fases: recolección, examen, análisis y presentación de informes |
Este curso utiliza seis fases que combinan estas referencias. Conocer las correspondencias entre ellas le ayudará a comprender cualquier procedimiento, independientemente del modelo que siga.
Antes de la primera fase: preparación
Las buenas investigaciones comienzan antes de que ocurra nada. La preparación, que ISO/IEC 27043 aborda como disposición para investigar, incluye personal capacitado, herramientas validadas, medios de almacenamiento limpios, formularios para notas y cadena de custodia, y procedimientos acordados. Para una organización, también implica conservar durante el tiempo suficiente los registros que necesitará una investigación y saber quién puede autorizar un examen. Un equipo que tenga que improvisar estos elementos el mismo día perderá tiempo y cometerá errores evitables.
Las preguntas guían el proceso
Cada examen responde a preguntas concretas, y esas preguntas determinan cada fase. «¿Copió esta cuenta la lista de clientes a un medio extraíble entre el 1 y el 15 de marzo?» indica al examinador qué dispositivos identificar, qué datos adquirir, qué artefactos examinar y qué debe responder el informe. Una solicitud vaga, como «revise la computadora portátil», debe transformarse en preguntas precisas con la persona que solicitó el examen antes de comenzar el trabajo. Las preguntas claras también mantienen el trabajo dentro del alcance autorizado y facilitan determinar cuándo ha finalizado el examen.
Las seis fases
| Fase | Objetivo | Resultado habitual |
|---|---|---|
| Identificación | Reconocer dónde puede haber datos relevantes: dispositivos, cuentas, registros y personas que los conocen | Una lista de posibles fuentes y prioridades |
| Recolección y adquisición | Recoger los elementos o crear copias verificadas de los datos, dentro del alcance autorizado | Elementos incautados, imágenes forenses y valores hash |
| Preservación | Mantener los originales y las copias sin modificaciones y bajo control | Elementos sellados y etiquetados, registros de cadena de custodia y almacenamiento seguro |
| Examen | Extraer los datos y hacerlos legibles: interpretar estructuras de sistemas de archivos, recuperar elementos eliminados, filtrar y buscar | Archivos extraídos, artefactos y líneas de tiempo |
| Análisis | Interpretar los resultados para responder a las preguntas del caso, poniendo a prueba explicaciones alternativas | Hallazgos, cada uno con su fundamento y grado de confianza |
| Presentación de informes | Comunicar con claridad el método, los hallazgos y las limitaciones a personas que no son especialistas | Un informe escrito que otras personas puedan revisar |
¿Recolección o adquisición?
ISO/IEC 27037 distingue dos conceptos que se confunden fácilmente. La recolección consiste en recoger los elementos físicos que pueden contener evidencias digitales, como tomar una computadora portátil bajo custodia. La adquisición consiste en crear una copia de los datos, como una imagen forense de la unidad de almacenamiento de esa computadora. A veces solo es posible realizar la adquisición: en lugar de retirar un servidor de una empresa que debe seguir funcionando, o los datos alojados por un proveedor de servicios en la nube, se realiza una copia. El módulo 3 aborda la incautación y el módulo 4, la adquisición.
¿Examen o análisis?
El examen hace que los datos estén disponibles: convierte una imagen de disco en una lista de archivos, recupera registros eliminados y extrae artefactos como el historial del navegador. El análisis plantea qué significan los datos para el caso. Detectar que un archivo se copió a una unidad USB es examen; concluir, tras comprobar otras explicaciones, que una cuenta concreta lo copió en un momento determinado es análisis. ISO/IEC 27042 aborda este paso interpretativo. Una buena práctica consiste en considerar hipótesis alternativas e indicar el grado de confianza del examinador en cada conclusión.
Reglas que se aplican a todas las fases
- Trabaje con copias verificadas. Examine imágenes forenses, no los originales, y confirme mediante valores hash que las copias coincidan con la fuente.
- Documente a medida que avanza. Registre las acciones, las horas, las herramientas y sus versiones, así como los motivos de las decisiones, en el momento en que se produzcan (módulo 5).
- Mantenga la cadena de custodia. Se registra cada transferencia de un elemento o una copia para que no haya vacíos en su historial.
- Utilice métodos y herramientas validados. Conozca qué hace una herramienta, cuáles son sus limitaciones y cómo se comprobaron sus resultados (ISO/IEC 27041).
- Manténgase dentro del alcance autorizado. Examine únicamente lo que cubra la autorización y requieran las preguntas (módulo 2).
- Separe los hechos de la interpretación. Indique qué muestran los datos y, después, qué deduce de ellos y con qué grado de certeza.
Un breve ejemplo paso a paso
Un empleador sospecha que un ingeniero que va a dejar la empresa copió archivos de diseño a una unidad USB personal. Siguiendo el proceso:
- Identificación: la computadora portátil de la empresa asignada al ingeniero, el servidor de archivos que contiene los archivos de diseño, los registros de acceso del servidor y cualquier unidad USB que devuelva el ingeniero.
- Recolección y adquisición: se toma la computadora portátil bajo custodia y se crea una imagen forense; se exportan los registros pertinentes del servidor; se registran los valores hash de cada imagen y cada exportación.
- Preservación: se sellan y almacenan los originales; se verifica cada imagen y se registra en la cadena de custodia.
- Examen: se procesa la imagen para enumerar los dispositivos USB que se conectaron, los archivos abiertos recientemente y la actividad del sistema de archivos.
- Análisis: el examinador construye una línea de tiempo, la compara con los registros del servidor y pone a prueba otras explicaciones, como una copia de seguridad automática u otro usuario de la computadora portátil.
- Presentación de informes: el informe indica qué se examinó, cómo se hizo, qué se encontró, qué no pudo determinarse y qué grado de confianza tiene el examinador en cada hallazgo.
Observe que el orden no es estrictamente lineal. El análisis puede revelar una nueva fuente, como una cuenta en la nube, que lleve al examinador de nuevo a la identificación. El proceso aporta una disciplina para cada paso; no es una cinta transportadora de sentido único.
Puntos clave para el examen: Conozca las seis fases y su orden, así como su correspondencia con ISO/IEC 27037 (identificación, recolección, adquisición y preservación), ISO/IEC 27042 (análisis e interpretación), ISO/IEC 27041 (validación), ISO/IEC 27043 (proceso general) y NIST SP 800-86 (recolección, examen, análisis y presentación de informes). Debe ser capaz de distinguir la recolección de la adquisición y el examen del análisis, y enumerar las reglas que se aplican a todas las fases.