¿Qué es el análisis forense digital?
El forense digital o ciencia forense digital es una rama de la ciberseguridad centrada en la recuperación e investigación de material encontrado en dispositivos digitales y ciberdelitos. El análisis forense digital se utilizó originalmente como sinónimo de análisis forense informático, pero se ha ampliado para abarcar la investigación de todos los dispositivos que almacenan datos digitales.
A medida que la sociedad aumenta su dependencia de los sistemas informáticos y la computación en la nube, el análisis forense digital se convierte en un aspecto crucial de las agencias de aplicación de la ley y las empresas. La ciencia forense digital se ocupa de la identificación, preservación, examen y análisis de pruebas digitales, utilizando procesos científicamente aceptados y validados, para su uso dentro y fuera de un tribunal de justicia.
Si bien sus raíces se remontan a la revolución de la computación personal a fines de la década de 1970, el análisis forense digital comenzó a tomar forma en la década de 1990 y no fue hasta principios del siglo XXI que países como Estados Unidos comenzaron a implementar políticas nacionales.
Hoy en día, el aspecto técnico de una investigación se divide en cinco ramas que abarcan la incautación, las imágenes forenses y el análisis de medios digitales.
¿Cuál es el propósito del análisis forense digital?
El uso más común del análisis forense digital es para respaldar o refutar una hipótesis en un tribunal penal o civil:
- Casos penales: Implican la investigación de cualquier actividad ilegal por parte de los ciberdelincuentes. Estos casos suelen ser llevados a cabo por las fuerzas del orden y los examinadores forenses digitales.
- Casos civiles: Los relacionados con la protección de los derechos y la propiedad de las personas o las disputas contractuales entre entidades comerciales eran una forma de análisis forense digital llamada descubrimiento electrónico (eDiscovery).
El sector privado también contrata a expertos en análisis forense digital como parte de los equipos de ciberseguridad y seguridad de la información para identificar la causa de las violaciones de datos, las fugas de datos, los ciberataques y otras amenazas cibernéticas.
El análisis forense digital también puede formar parte de la respuesta a incidentes para ayudar a recuperar o identificar cualquier dato confidencial o información de identificación personal (PII) que se haya perdido o robado en un delito cibernético.
¿Para qué se utiliza el análisis forense digital?
El análisis forense digital se utiliza tanto en investigaciones criminales como privadas.
Tradicionalmente, se asocia con el derecho penal donde se recopilan pruebas para respaldar o negar una hipótesis ante el tribunal. Las pruebas recopiladas pueden utilizarse como parte de la recopilación de información de inteligencia o para localizar, identificar o detener otros delitos. Como resultado, los datos recopilados pueden estar sujetos a un estándar menos estricto que el análisis forense tradicional.
En casos civiles, los equipos forenses digitales pueden ayudar con el descubrimiento electrónico (eDiscovery). Un ejemplo común es después de una intrusión no autorizada en la red. Un examinador forense intentará comprender la naturaleza y el alcance del ataque, así como tratar de identificar al atacante.
A medida que el cifrado se generaliza, la investigación forense se vuelve más difícil, debido a las leyes limitadas que obligan a las personas a revelar las claves de cifrado.
¿Qué es el proceso de investigación forense digital?
Existen una serie de metodologías para el proceso forense, que definen cómo los examinadores forenses deben recopilar, procesar, analizar y extraer datos. Las investigaciones forenses digitales suelen constar de cuatro etapas:
- Incautación: Antes del examen real, se incauta el medio digital. En los casos penales, esto será realizado por el personal encargado de hacer cumplir la ley para preservar la cadena de custodia.
- Adquisición: Una vez que se incautan los activos, se crea un duplicado forense de los datos, utilizando un duplicador de disco duro o una herramienta de imagen de software. A continuación, la unidad original se devuelve a un almacenamiento seguro para evitar la manipulación. La imagen adquirida se verifica con funciones hash SHA-1 o MD5 y se verificará de nuevo a lo largo del análisis para verificar que la evidencia aún está en su estado original.
- Análisis: Después de la adquisición de las evidencias, se analizan los expedientes para identificar las evidencias que apoyan o contradicen una hipótesis. El analista forense suele recuperar el material de pruebas utilizando una serie de métodos (y herramientas), que a menudo comienzan con la recuperación de la información eliminada. El tipo de datos analizados varía, pero generalmente incluirá correo electrónico, registros de chat, imágenes, historial de Internet y documentos. Los datos se pueden recuperar del espacio en disco accesible, el espacio eliminado o la caché del sistema operativo.
- Informes: Una vez que se completa la investigación, la información se recopila en un informe al que pueden acceder personas no técnicas. Puede incluir información de auditoría u otra metadocumentación.
¿Cuál es la historia del análisis forense digital?
Antes de la década de 1970, no había leyes específicas para hacer frente a los delitos cibernéticos. Todos los delitos cibernéticos que se cometieron se trataron como delitos normales con las leyes existentes.
Los primeros delitos cibernéticos se reconocieron en la Ley de Delitos Informáticos de Florida de 1978. La Ley de Delitos Informáticos de Florida de 1978 incluía legislación contra la modificación o eliminación no autorizada de datos. A medida que aumentaba la gama de delitos informáticos, se aprobaron leyes estatales para hacer frente a los derechos de autor, la privacidad, el acoso y la pornografía infantil.
En la década de 1980, las leyes federales comenzaron a incorporar delitos informáticos. Canadá fue el primer país en aprobar una legislación en 1983, seguido por Estados Unidos en 1986, Australia en 1989 y la Ley de Uso Indebido de Computadoras de Gran Bretaña en 1990.
Análisis forense digital en las décadas de 1980 y 1990
El crecimiento de la delincuencia digital en las décadas de 1980 y 1990 obligó a los organismos encargados de hacer cumplir la ley a establecer grupos especializados a nivel nacional para encargarse de las investigaciones técnicas. En 1984, el FBI lanzó un Equipo de Análisis y Respuesta Informática y en 1985, la Policía Metropolitana Británica lanzó un departamento de delitos informáticos.
Uno de los primeros ejemplos prácticos de análisis forense digital fue la búsqueda de Markus Hess por parte de Cliff Stoll en 1986. Hess es mejor conocido por hackear redes de computadoras militares e industriales con sede en los Estados Unidos, Europa y el este de Asia. Luego vendió la información a la KGB soviética por 54.000 dólares. Stoll no era un experto forense digital, pero utilizó técnicas forenses informáticas y de redes para identificar a Hess.
En la década de 1990 hubo una gran demanda de recursos forenses digitales y la presión sobre las unidades centrales llevó a grupos regionales o incluso locales a manejar la carga. Esto llevó a que la ciencia del análisis forense digital madurara de un conjunto ad-hoc de herramientas y técnicas a una disciplina más desarrollada.
En 1992, la "informática forense" se utilizó en la literatura académica en un artículo de Collier y Spaul que intentaba justificar la informática forense digital como una nueva disciplina. Dicho esto, el análisis forense digital siguió siendo una disciplina desordenada debido a la falta de estandarización y capacitación.
A finales de la década de 1990, los teléfonos móviles estaban más disponibles y avanzaban más allá de los simples dispositivos de comunicación. A pesar de esto, el análisis digital de los teléfonos celulares se ha quedado atrás de los medios informáticos tradicionales debido a la naturaleza propietaria de los dispositivos.
Rápido crecimiento de la ciberdelincuencia en la década de 2000
Desde el año 2000, diversos organismos y agencias han publicado directrices para el análisis forense digital en respuesta a la necesidad de estandarización. La normalización se hizo más importante a medida que los organismos encargados de hacer cumplir la ley se alejaron de las unidades centrales para pasar a las unidades regionales o incluso locales para tratar de satisfacer la demanda.
Por ejemplo, en 2001 se creó la Unidad Nacional Británica de Delitos de Alta Tecnología para proporcionar una infraestructura nacional contra los delitos informáticos, con personal ubicado en el centro de Londres y con las diversas fuerzas policiales regionales.
En 2002, el Grupo de Trabajo Científico sobre Evidencia Digital (SWGDE, por sus siglas en inglés) elaboró las mejores prácticas para la informática forense.
El Convenio sobre la Ciberdelincuencia, un tratado internacional liderado por Europa, entró en vigor en 2004 con el objetivo de reconciliar las leyes nacionales sobre delitos informáticos, las técnicas de investigación y la cooperación internacional. El tratado ha sido firmado por 43 naciones (incluidos Estados Unidos, Canadá, Japón, Sudáfrica, Reino Unido y otras naciones europeas) y ratificado por 16.
En 2005, se publicó una norma ISO para análisis forense digital en ISO 17025, Requisitos generales para la competencia de los laboratorios de ensayo y calibración.
>Fue entonces cuando la formación en forense digital comenzó a recibir más atención, y las empresas comerciales empezaron a ofrecer programas de formación forense certificados.
El campo de la ciencia forense digital todavía enfrenta problemas. Un artículo de 2009, Digital Forensic Research: The Good, the Bad and the Unaddressed, identificó un sesgo hacia los sistemas operativos Windows en la investigación forense digital a pesar del uso generalizado de teléfonos inteligentes, UNIX y sistemas operativos basados en Linux.
En 2010, Simson Garfinkel señaló el creciente tamaño de los medios digitales, el cifrado generalizado, la creciente variedad de sistemas operativos y formatos de archivo, el mayor número de personas que poseen varios dispositivos y las limitaciones legales como riesgos clave para las investigaciones forenses digitales. En el documento también se señalaron los problemas de capacitación y el alto costo de ingresar al campo como cuestiones clave. Otros temas clave incluyen el cambio hacia la delincuencia en Internet, la guerra cibernética y el terrorismo cibernético.
¿Qué herramientas utilizan los examinadores forenses digitales?
En la década de 1980, existían muy pocas herramientas forenses digitales, lo que obligaba a los investigadores forenses a realizar análisis en vivo, utilizando las herramientas de administración de sistemas existentes para extraer pruebas. Esto conllevaba el riesgo de modificar los datos del disco, lo que daba lugar a reclamaciones de manipulación de pruebas.
La necesidad de software para abordar este problema se reconoció por primera vez en 1989 en el Centro Federal de Capacitación para la Aplicación de la Ley y dio lugar a la creación de IMDUMP y SafeBack. DIBS, una solución de hardware y software, se lanzó comercialmente en 1991.
Estas herramientas crean una copia exacta de un medio digital para trabajar en ella mientras dejan el disco original intacto para su verificación. A finales de la década de 1990, la demanda de pruebas digitales hizo que se desarrollaran herramientas más avanzadas como EnCase y FTK, que permitían a los analistas examinar copias de los medios sin necesidad de análisis forenses en directo.
Ahora existe una tendencia hacia el análisis forense de memoria en vivo utilizando herramientas como WindowsSCOPE y herramientas para dispositivos móviles.
Hoy en día, existen herramientas de código abierto de un solo propósito como Wireshark, un rastreador de paquetes, y HashKeeper, una herramienta para acelerar el examen de los archivos de la base de datos. Así como plataformas comerciales con múltiples funciones y capacidades de reporte como Encase o CAINE, una distribución completa de Linux diseñada para programas forenses.
En general, las herramientas se pueden dividir en las siguientes diez categorías:
- Herramientas de captura de discos y datos
- Visores de archivos
- Herramientas de análisis de archivos
- Herramientas de análisis de registros
- Herramientas de análisis de Internet
- Herramientas de análisis de correo electrónico
- Herramientas de análisis de dispositivos móviles
- Herramientas de análisis de Mac OS
- Herramientas forenses de red
- Herramientas forenses de bases de datos
¿Cuáles son las consideraciones legales del análisis forense digital?
El examen de los medios digitales está cubierto por la legislación nacional e internacional. En el caso de las investigaciones civiles, las leyes pueden restringir lo que se puede examinar. Las restricciones contra el monitoreo de la red o la lectura de las comunicaciones personales son comunes.
Del mismo modo, las investigaciones penales pueden verse limitadas por leyes nacionales que dictan cuánta información puede incautarse. Por ejemplo, la incautación de pruebas por parte de las fuerzas del orden se rige por la ley PACE en el Reino Unido. La ley de uso indebido de computadoras de 1990 legisla contra el acceso no autorizado a material informático, lo que dificulta la labor de los investigadores civiles en el Reino Unido.
Una de las consideraciones comunes que en gran medida no se han decidido es el derecho de las personas a la privacidad. La Ley de Privacidad de las Comunicaciones Electrónicas de EE. UU. (ECPA, por sus siglas en inglés) limita la capacidad de las fuerzas del orden y los investigadores civiles para interceptar y acceder a pruebas.
La ley hace una distinción entre la comunicación almacenada (por ejemplo, archivos de correo electrónico) y la comunicación transmitida (por ejemplo, VOIP). La comunicación transmitida se considera más una invasión de la privacidad y es más difícil obtener una orden judicial.
Las pruebas digitales se rigen por las mismas directrices legales que otras pruebas.
En general, las leyes que se ocupan de las pruebas digitales se refieren a:
- Integridad: Asegurar que el acto de incautación y adquisición de medios digitales no modifique la evidencia (ya sea el original o la copia).
- Autenticidad: La capacidad de confirmar la integridad de la información. La cadena de custodia desde la escena del crimen hasta el análisis y, en última instancia, hasta el tribunal, en forma de pista de auditoría, es una parte importante para establecer la autenticidad de las pruebas.
Cada rama de la ciencia forense tiene sus propias pautas sobre cómo realizar investigaciones y manejar los datos.
¿Cuáles son las diferentes ramas del análisis forense digital?
El análisis forense digital ya no es sinónimo de análisis forense informático. Está cada vez más preocupado por los datos de otros dispositivos digitales como tabletas, teléfonos inteligentes, unidades flash e incluso computación en la nube.
En general, podemos dividir el análisis forense digital en cinco ramas:
- Informática forense
- Análisis forense de dispositivos móviles
- Análisis forense de redes
- Análisis de datos forenses
- Análisis forense de bases de datos
¿Qué es la informática forense?
La informática forense o informática forense es una rama de la informática forense digital que se ocupa de las pruebas encontradas en ordenadores y medios de almacenamiento digital. El objetivo de la informática forense es examinar los datos digitales con el objetivo de identificar, preservar, recuperar, analizar y presentar hechos y opiniones sobre la información digital.
Se utiliza tanto en delitos informáticos como en procedimientos civiles. La disciplina tiene técnicas y principios similares a la recuperación de datos, con pautas y prácticas adicionales diseñadas para crear una pista de auditoría legal con una cadena de custodia clara.
Las pruebas de las investigaciones forenses informáticas están sujetas a las mismas directrices y prácticas que otras pruebas digitales.
¿Qué es el análisis forense de dispositivos móviles?
El análisis forense de dispositivos móviles es una rama del análisis forense digital centrada en la recuperación de pruebas digitales de dispositivos móviles utilizando métodos forenses sólidos.
Si bien la frase dispositivo móvil generalmente se refiere a los teléfonos móviles, puede relacionarse con cualquier dispositivo que tenga memoria interna y capacidad de comunicación, incluidos los dispositivos PDA, los dispositivos GPS y las tabletas.
Si bien el uso de teléfonos móviles en la delincuencia ha sido ampliamente reconocido durante años, el estudio forense de los teléfonos móviles es un campo nuevo, que comenzó a finales de la década de 1990.
La creciente necesidad de análisis forense de dispositivos móviles está impulsada por:
- Uso de teléfonos móviles para almacenar y transmitir información personal y corporativa
- Uso de teléfonos móviles en transacciones en línea
Dicho esto, el análisis forense de dispositivos móviles es particularmente desafiante debido a:
- Desafíos técnicos y probatorios, como el análisis del sitio celular, que permite determinar aproximadamente la zona del sitio celular desde la que se realizó o recibió una llamada, pero no una ubicación específica, como una dirección.
- Cambios en los factores de forma de los teléfonos móviles, los sistemas operativos, el almacenamiento de datos, los servicios, los periféricos e incluso los conectores y cables de clavijas
- Crecimiento de la capacidad de almacenamiento
- Su carácter patentado
- Comportamiento de hibernación en el que los procesos se suspenden cuando el dispositivo está apagado o inactivo
Como resultado de estos desafíos, existen muchas herramientas para extraer evidencia de los dispositivos móviles. Pero ninguna herramienta o método por sí solo puede adquirir todas las pruebas de todos los dispositivos. Esto ha obligado a los examinadores forenses, especialmente a aquellos que desean ser testigos expertos, a someterse a una amplia capacitación para comprender cómo cada herramienta y método adquiere evidencia, cómo mantiene la solidez forense y cómo cumple con los requisitos legales.
¿Qué es el análisis forense de redes?
El análisis forense de redes es una rama del análisis forense digital centrada en la supervisión y el análisis del tráfico de la red informática para la recopilación de información, pruebas legales o la detección de intrusiones.
A diferencia de otras ramas de la ciencia forense digital, los datos de red son volátiles y dinámicos. Una vez transmitido, desaparece, por lo que el análisis forense de redes suele ser una investigación proactiva.
El análisis forense de redes tiene dos usos generales:
- Monitoreo de una red en busca de tráfico anómalo e identificación de intrusiones.
- Las fuerzas del orden pueden analizar el tráfico de la red de captura como parte de investigaciones criminales.
¿Qué es el análisis forense de datos?
El análisis de datos forenses (FDA) es una rama de la ciencia forense digital que examina los datos estructurados en relación con incidentes de delitos financieros. El objetivo es descubrir y analizar patrones de actividades fraudulentas. Los datos estructurados son datos de sistemas de aplicaciones o sus bases de datos.
Esto se puede contrastar con los datos no estructurados que se toman de la comunicación, las aplicaciones de oficina y los dispositivos móviles. Los datos no estructurados no tienen una estructura y análisis general, por lo tanto, significa aplicar palabras clave o patrones de mapeo. El análisis de datos no estructurados suele ser realizado por expertos en informática forense o en dispositivos móviles.
¿Qué es el análisis forense de bases de datos?
El análisis forense de bases de datos es una rama del análisis forense digital relacionado con las bases de datos y sus metadatos relacionados. La información almacenada en caché también puede existir en la memoria RAM de un servidor que requiere técnicas de análisis en vivo.
Un examen forense de una base de datos puede estar relacionado con marcas de tiempo que se aplican a la hora de actualización de una fila en una base de datos relacional que se está inspeccionando y probando la validez para comprobar las acciones de un usuario de la base de datos. Alternativamente, puede centrarse en identificar transacciones dentro de una base de datos o aplicación que indiquen evidencia de irregularidades, como fraude.
¿Qué títulos y certificaciones son útiles para el análisis forense digital?
Tradicionalmente, los profesionales del análisis forense digital provenían de una formación general en ciencias de la computación, eran administradores de sistemas experimentados que se sentían cómodos con muchas de las herramientas utilizadas en el análisis forense digital o aprendían en el trabajo en un modelo de aprendiz.
Debido al aumento de la demanda de análisis forense digital y la creciente especialización, las universidades, colegios y proveedores de educación en línea ahora ofrecen títulos o certificaciones en análisis forense digital como:
- El Laboratorio de Ciberseguridad y Medicina Forense de la Universidad de Purdue ofrece una maestría en ciberanálisis forense
- Utica College ofrece una licenciatura en ciberseguridad y aseguramiento de la información con investigaciones de delitos cibernéticos y análisis forense como concentración
- Champlain College ofrece una licenciatura en línea en informática forense
- La Universidad de la Ciudad de Nueva York ofrece un máster online en análisis forense digital y ciberseguridad
- El University of Maryland University College ofrece una maestría en línea en análisis forense digital y ciberseguridad
- SAN ofrece una Certificación Global de Aseguramiento de la Información (GIAC), un Examinador Forense Certificado y un Analista Forense Certificado
¿Qué trabajos están disponibles en Digital Forensics?
Los trabajos en análisis forense digital tienen títulos como investigador, técnico o analista, según la especialización y la antigüedad, y la mayoría de los trabajos en el sector público, como las fuerzas del orden, las agencias estatales o nacionales o los laboratorios criminalísticos.
Dicho esto, debido al creciente riesgo de ciberseguridad, muchas organizaciones van a contratar a sus propios especialistas forenses digitales para ayudar a prevenir e identificar las causas de los ciberataques como el malware, el ransomware como WannaCry o los ataques de ingeniería social como el phishing en las redes sociales. El aumento del uso de proveedores externos significa que la ciberseguridad nunca ha sido más importante.
El análisis forense digital también puede ayudar con la gestión de riesgos de proveedores y la gestión de riesgos de terceros. El riesgo de terceros y el riesgo de terceros nunca han sido tan altos.
El módulo de typosquatting de UpGuard BreachSight puede reducir los riesgos cibernéticos relacionados con el typosquatting y las vulnerabilidades, además de prevenir infracciones, evitar multas regulatorias y proteger la confianza de sus clientes a través de calificaciones de seguridad cibernética y detección continua de exposición.
También podemos ayudarlo a monitorear, calificar y enviar cuestionarios de seguridad continuos a sus proveedores para controlar el riesgo de terceros y mejorar su postura de seguridad, así como crear automáticamente un inventario, aplicar políticas y detectar cambios inesperados en su infraestructura de TI.