protocolo forense presentación · soporta discos ide y sata funciones avanzadas - cálculo hash...

Unidad Orgánica Policía Judicial Pontevedra

EQUIPO DE INVESTIGACIÓN TECNOLÓGICA

PROTOCOLO FORENSEEN

PRUEBAS ELECTRÓNICAS

VENTAJAS vs INCONVENIENTES Evidencia Digital

VENTAJA:

Posibilidad de reproducir las evidencias de forma íntegra y todas las veces que sea necesario.

INCONVENIENTES:

Personal correctamente formado.

Facilidad para invalidar evidencias:- Mala praxis en la manipulación de originales.- Manipulaciones o lugares de depósito en malas condiciones.



OBTENCIÓN DE EVIDENCIAS

OBTENCIÓN EVIDENCIAS

¿Dónde puedo encontrar datos archivados?



CADENA DE CUSTODIA

Y

VOLCADO FORENSE DE DATOS

CADENA DE CUSTODIA

LA CUSTODIA ELECTRÓNICA

Proceso que procura "guardar con cuidado y vigilancia" los documentos electrónicos, como define el diccionario de la lengua española el término "custodiar".

Está unida a la preservación digital y al uso de la firma electrónica avanzada (HASH) por la necesidad de dar validez a largo plazo a los documentos electrónicos.

CADENA DE CUSTODIA

LOS OBJETIVOS

- Garantizar su integridad, que impida cualquier cambio sobre el original.

- Garantizar su autenticidad, permitiendo contrastar su origen y ofrecer certeza sobre su autoría.

- Garantizar la posibilidad de localización, facilitando las búsquedas y sin depender de relaciones externas entre la referencia y el contenido.

- Garantizar el control de acceso.

- Garantizar la trazabilidad de los accesos y del ciclo de vida.

- Garantizar su preservación a largo plazo.

CADENA DE CUSTODIA

ETAPAS DE LA CADENA DE CUSTODIA

• Resoluciones y actos previos.• Hallazgo y custodia del escenario (Aislar la

escena)• Inspección preliminar y búsqueda de indicios de

interés.• Fijación de la evidencia (ubicación, fotografía /

video, actas, reseñas).• Recolección de los indicios (con garantías de NO

alteración)• Embalaje de la evidencia (precintos y bolsas).• Transporte y entrega al Juzgado competente.• Análisis pericial (Informe Técnico-Policial).• Final Procedimiento: Devolución o destrucción.

IDENTIDAD - INTEGRIDAD (HASH)

Un resumen digital o hash forense es un proceso que utiliza una función matemática de un único sentido y la aplica a todos los bits contenidos en un dispositivo o un archivo. El valor hash de resultado es un identificador único del dispositivo que se adquiere o del archivo (similar a una secuencia de ADN o una huella digital de los datos).

Un resumen digital está caracterizado por tres parámetros:

-El algoritmo criptográfico utilizado: MD5, SHA1, SHA256, etc.-La cantidad de bytes procesados: El tamaño total del dispositivo o archivo.-El resultado con una longitud constante: 128 bits (32 caracteres hexadecimales en MD5), 160 bits (40 caracteres en SHA1), 256 bits (64 caracteres en SHA256), etc.

Ejemplo: Un resumen digital SHA1 de un disco de 80 GB.

FEA23101BF947E67D37CA059A7039C900272E3A2 para 80.025.280.000 bytes.

UTILIDAD DE LOS “HASH”

Un resumen digital o hash forense permite identificar unívocamente el contenido de un archivo o de un dispositivo.

-Con independencia del nombre y su ubicación, se utiliza para comparar distintos archivos.

-Para esta comparación no se precisa interpretar el contenido del archivo (ver la imagen, el video o examinar un determinado documento).

-Permite detectar si un archivo o dispositivo ha sido o no modificado, aunque no nos dirá en cuanto. La modificación de un único bit daría distintos valores hash.

UN POCO DE REALIDAD

¿CÓMO REALIZAR UN CLONADO FORENSE?

•AUTORIZACIÓN JUDICIAL

•ACTA SECRETARIO JUDICIAL

REQUISITOS:

FINALIDAD:•OBTENCIÓN DE UNA COPIA EXACTA DEL ORIGINAL

•CONDICIONES:- Sin modificar, añadir o borrar archivos.- Sin arrancar el sistema operativo.

1. FIRMA DIGITAL: DEL DISCO DURO ORIGINAL

2. COPIA BIT A BIT ORIGEN: DISCO DURO

FICHERO IMAGEN OTRO DISCO DURO

3. FIRMA DIGITAL: DEL DISCO DESTINO ó DE LA IMAGEN DESTINO

4. CONTRASTE DE LAS FIRMAS DIGITALES (INTEGRIDAD COMPROBADA)

5. SE UTILIZA SIEMPRE UNA COPIA DEL ORIGINAL PARA MANIPULAR O REALIZAR ANALISIS Y POSTERIOR INFORME

— NUNCA EL ORIGINAL —

DESTINO:


* Identidad (FIRMA DIGITAL)

* Exploración y Búsqueda de archivos de interés

* Recuperación de Archivos Borrados

* Integridad (FIRMA DIGITAL) - Verificación

* Duplicado (BIT A BIT)

* Esteganografía y Criptografía

CLONADO

ESTUDIO

* Análisis del Software existente

* Localización y Recogida de Evidencias



EJEMPLO: HD SATA O IDE -> HD SATA O IDE


DISCO DURO DESTINO:

• La tecnología del disco receptor es indiferente (IDE-SATA).

• Tamaño del disco receptor > ó = al original

• Borrado mediante WIPE


DISCO DURO DESTINO:ORIGINAL

COPIA

0 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 00 0 0 0 0 0 0

WIPE

0 0 0 0 0 0 00 0 0 0 0 0 0

EXCESO

DESTINO

? ? ? ? ? ?? ? ? ? ? ?

• COPIA BIT A BIT / SECTOR A SECTOR (CUALQUIER SISTEMA DE FICHEROS Y SISTEMA OPERATIVO)

• NECESIDAD DE UN DISCO DURO DEL MISMO TAMAÑO O MAYOR (DESPERDICIO DEL ESPACIO SOBRANTE SI EL DISCO ES MAYOR)

• LOS DOS DISCOS SON IGUALES EN CONTENIDO Y PARTICIONES PERO NO EN TAMAÑO

• SOLO PODEMOS UTILIZAR EL DISCO DESTINO PARA VOLCAR UN DISCO

CARACTERISTICAS


- SISTEMAS -


SOFTWARE: LINUX

•“dd” Sintaxis dd if=/dev/hda of=/dev/hdb

- SISTEMAS -


- SISTEMAS -


LINUX•“dd”

Sintaxis dd if=/dev/hda of=/dev/hdb

•“hdparm” man hdparm

- SISTEMAS -


HARDWARE - CLONADORA VOOM HARDCOPY II/III

UNA ENTRADA - LECTURAUNA SALIDA - ESCRITURA/LECTURASOPORTA DISCOS IDE Y SATA

FUNCIONES AVANZADAS

- Cálculo HASH (MD5 o SHA256) disco original y destino- WIPE



BÚSQUEDA

DE

EVIDENCIAS

BÚSQUEDA DE EVIDENCIAS

Principios básicos

• Principio de Locard

Alguien que entra en la escena de un crimen siempre se lleva algo de dicha escena

y deja algún rastro tras él en su salida

Evidencia

Escena

VíctimaSospechoso


Obtención de la evidencia (Características)

• La evidencia debe ser:

Admisible: Obtenida “legalmente”

Relevante: Tener relación completa o parcialmente

Valida: Autenticada / Fiable / Creíble “Salvaguardar la Cadena de custodia”

• Objetivo demostrar

MOM: Medios/Oportunidad/Motivos


Proceso de obtención (¿Por qué?)

• Objetivo 1: Preservar el estado original à Validez de la prueba • Objetivo 2: Documentar todo el proceso à Argumentación de las conclusiones

• Objetivo 3: Establecer un claro ‘timeline’ à Averiguar que ha ocurrido


FASES:

•ENTORNOS ESTÉRILES-Vmware (www.vmware.com)-Sin salida a Internet.-Equipo con herramientas de análisis forense.


FASES:

•SOBRE EL PROPIO EQUIPO-Trabajo sobre el propio S.O.-Salida a Internet controlada.


ENCASEwww.guidancesoftware.com


WEB HISTORIANhttp://www.red-cliff.com/


F.I.R.E. (FORENSIC and INCIDENT RESPONSE ENVIROMENT)http://biatchux.dmzs.com/

Seminario de informática xudicial, peritaxe técnicae proba electrónica

Gonzalo Sotelo Seguín

[email protected]

986.807.900 Ext.- 258

GRACIAS POR SU ATENCIÓN

protocolo forense presentación · soporta discos ide y sata funciones avanzadas - cálculo hash...

Documents