Curso de Peritajes CPIICyL 09 INFORMÁTICA FORENSE

Presentación del tema: "Curso de Peritajes CPIICyL 09 INFORMÁTICA FORENSE"— Transcripción de la presentación:

1 Curso de Peritajes CPIICyL 09 INFORMÁTICA FORENSE janguas@gmail.com

2 bloque 4: marco pericial 07 Deontología y procedimientos básicos 08 Método y discurso bloque 5: informática forense 09 Informática forense 10 Recapitulación bloque 6: casos prácticos 11 Caso práctico informática forense 12 Caso práctico implantación Curso de Peritajes CPIICyL

3 janguas@gmail.com Objetivo de la sesión Dar una primera aproximación a las técnicas de informática forense. Curso de Peritajes CPIICyL 09 Informática forense

4 janguas@gmail.com Informática forense Conjunto de técnicas orientadas a la adquisición, preservación y análisis de indicios informáticos de forma verificable. Utilizadas por: peritos, fuerzas y cuerpos de seguridad, equipos de gestión de seguridad, auditores, etc. Curso de Peritajes CPIICyL 09 Informática forense

5 janguas@gmail.com Ingeniería informática Aunque se trata de un conjunto de técnicas utilizadas por diferentes perfiles profesionales, la formación reglada en ingeniería informática ofrece un marco de contraste de gran valor. Curso de Peritajes CPIICyL 09 Informática forense

6 janguas@gmail.com Empirismo Comúnmente asociadas a funcionalidades o circunstancias de los sistemas poco conocidos. Permite un análisis a un nivel semántico más bajo y con un contexto de coherencia mayor. Curso de Peritajes CPIICyL 09 Informática forense

7 janguas@gmail.com Cadena de custodia La cadena de custodia convencional incluiría la gestión de la integridad y el control de acceso. En el caso informático la segunda acepción queda poco cubierta. Curso de Peritajes CPIICyL 09 Informática forense

8 janguas@gmail.com Herramientas y dispositivos Bloqueadores de escritura, clonadoras, dispositivos y programas de adquisición de teléfonos, herramientas de análisis, etc… Curso de Peritajes CPIICyL 09 Informática forense

9 janguas@gmail.com Distribuciones forenses Distribuciones (live) que se comportan de una manera respetuosa con los medios que se conectan y que incluyen herramientas forenses. Curso de Peritajes CPIICyL 09 Informática forense

10 janguas@gmail.com Distribuciones forenses (II) SIFT http://digital- forensics.sans.org/community/downloads CAINE http://www.caine-live.net/ DEFT http://www.deftlinux.net/ Curso de Peritajes CPIICyL 09 Informática forense

11 janguas@gmail.com Distribuciones forenses (III) Falta de homogeneidad y continuidad. Dependen de esfuerzo voluntario. Se espera que se estabilicen con el tiempo. Curso de Peritajes CPIICyL 09 Informática forense

12 janguas@gmail.com Acciones -Copia forense de medios, -Gestión de integridad y -Análisis. Curso de Peritajes CPIICyL 09 Informática forense

13 janguas@gmail.com Copia forense La copia forense incluye todo el espacio del medio de almacenamiento. De disco a disco -> clonado, de disco a fichero -> imagen forense. Curso de Peritajes CPIICyL 09 Informática forense

14 janguas@gmail.com Copia forense (II) Hardware (clonadora) Software (programas, dd y derivados –dc3dd, dcfldd-) Curso de Peritajes CPIICyL 09 Informática forense

15 janguas@gmail.com Copia forense (III) Situaciones atípicas: disco con errores (ddrescue) o medio flash. Se debe realizar una copia con las máximas garantías y considerar dicha copia como en nuevo original. Curso de Peritajes CPIICyL 09 Informática forense

16 janguas@gmail.com Gestión de integridad Ver http://en.wikipedia.org/wiki/Cryptographic_hash_function Propiedades: sensible a la entrada, no reversible, equidistribuida. Diferentes funciones: md5 (32 hex), sha1 (40 hex), sha256 (64 hex) Curso de Peritajes CPIICyL 09 Informática forense

17 janguas@gmail.com Análisis Fundamentación de hechos relevantes y contraste con un contexto de coherencia amplio. Influenciado por el posible ánimo de ocultación. Curso de Peritajes CPIICyL 09 Informática forense

18 janguas@gmail.com Previo smartctl –i dd // dcfldd //dc3dd ddrescue Curso de Peritajes CPIICyL 09 Informática forense

19 janguas@gmail.com Copia de medios sudo dc3dd if=/dev/sdc1 conv=sync,noerror progress=on | tee >(dc3dd of=/media/sdd1/sdc1.dd hash=sha1 hashlog=/media/sdd1/hash_sdc1.sha1) | dc3dd of=/media/sda2/sdc1.dd hash=sha1 hashlog=/media/sda2/hash_sdc1.sha1 Curso de Peritajes CPIICyL 09 Informática forense

20 janguas@gmail.com Copia de medios (II) ddrescue -f -n /dev/hda /dev/hdb logfile ddrescue -d -f -r3 /dev/hda /dev/hdb logfile Curso de Peritajes CPIICyL 09 Informática forense

21 janguas@gmail.com Copia de ficheros cp –p rsync –a xcopy /k Robocopy (http://www.microsoft.com/en- us/download/details.aspx?id=17657) Curso de Peritajes CPIICyL 09 Informática forense

22 janguas@gmail.com Integridad md5sum / sha1sum md5deep / sha1deep fciv (http://www.microsoft.com/en- us/download/details.aspx?id=11533) Curso de Peritajes CPIICyL 09 Informática forense

23 janguas@gmail.com Recuperación de datos testdisk fatback photorec ntfsundelete Curso de Peritajes CPIICyL 09 Informática forense

24 janguas@gmail.com Búsquedas grep Autopsy/The Sleuth Kit Curso de Peritajes CPIICyL 09 Informática forense

25 janguas@gmail.com Búsquedas ¡Términos relevantes! Curso de Peritajes CPIICyL 09 Informática forense

26 janguas@gmail.com Metadatos exiftool Curso de Peritajes CPIICyL 09 Informática forense

27 janguas@gmail.com “Artifacts” lnkinfo rip (RegRipper) Curso de Peritajes CPIICyL 09 Informática forense

28 janguas@gmail.com “Carving” Foremost Scalpel Bulk Extractor Curso de Peritajes CPIICyL 09 Informática forense

29 janguas@gmail.com Líneas temporales log2timeline fls Curso de Peritajes CPIICyL 09 Informática forense

30 janguas@gmail.com Navegación Pasco Galleta Curso de Peritajes CPIICyL 09 Informática forense

31 janguas@gmail.com Teléfonos SQLiteBrowser iPBA Curso de Peritajes CPIICyL 09 Informática forense

32 janguas@gmail.com Análisis en caliente DART (DEFT) Win-UFO (CAINE) Curso de Peritajes CPIICyL 09 Informática forense

33 janguas@gmail.com Otros: borrado seguro DBAN Wipe Shred Eraser (http://eraser.heidi.ie/) Curso de Peritajes CPIICyL 09 Informática forense

34 janguas@gmail.com Otros: cifrado Bitlocker FileVault Hardware (WD My Passport Ultra) TCNext (https://truecrypt.ch/) Curso de Peritajes CPIICyL 09 Informática forense

35 janguas@gmail.com Herramientas comerciales EnCase FTK X-Ways Curso de Peritajes CPIICyL 09 Informática forense

36 janguas@gmail.com Mostrar elementos de seguridad física, bloqueadores, etc. Curso de Peritajes CPIICyL 09 Informática forense

37 janguas@gmail.com Enlaces NIST-CFTT (prueba de herramientas) http://www.cftt.nist.gov/ NIST-CFReDS (conjuntos de datos de referencia) http://www.cfreds.nist.gov/ Open Source Digital Forensics http://www2.opensourceforensics.org/ Curso de Peritajes CPIICyL 09 Informática forense

38 janguas@gmail.com ¿PREGUNTAS? Curso de Peritajes CPIICyL 09 Informática forense