La Evidencia Digital en la Informática Forense

Tema 2. La evidencia digital

Introducción y objetivos

• En este tema, se analiza la importancia de la evidencia digital como elemento fundamental de la informática forense, tanto a nivel legal como tecnológico.
• Se busca entender la importancia de la prueba en un procedimiento judicial.
• Además, se busca comprender y clasificar las evidencias según su volatilidad para su correcta adquisición.

¿Qué es una evidencia digital?

• La presunción de inocencia es base del derecho en países democráticos, recogido en la Constitución Española (art. 24.2) y en el art. 11.1 de la Declaración Universal de los Derechos Humanos.
• Se requiere de pruebas para demostrar un delito, lo que se conoce como «la carga de la prueba».
• El juez debe explicar las razones por las que otorga valor a una prueba.
• El principio de intercambio de Locard es fundamental en ciencias forenses: al cometer un crimen, se dejan rastros y se llevan indicios.
• La prueba debe permitir dirimir un hecho controvertido en un juicio y ser reconocida legalmente.
• Es esencial garantizar que la evidencia se haya recabado legalmente.
• Existen dos estrategias de defensa: sobre la forma (procedimientos legales) y sobre el fondo (validez de la evidencia).
• La libre valoración de la prueba otorga al juez la potestad de valorar si una prueba es suficiente para demostrar un hecho.
• La prueba debe ser obtenida por procedimientos adecuados y sin vulnerar la ley, sólida y consistente para su valoración positiva.
• La ISO/IEC 27037 define la evidencia digital como información almacenada o transmitida digitalmente que puede ser utilizada como medio de prueba.
• La evidencia son los datos digitales en cualquier formato, utilizables como prueba.
• El contenedor es el dispositivo que almacena o transmite la evidencia, mientras que la evidencia es la información que contiene.
• En informática forense, se habla de «evidencias digitales».

Características de la evidencia digital

• Según la ISO 27037, las evidencias digitales deben ser relevantes, confiables y suficientes.
• Relevancia: La evidencia debe estar relacionada con el hecho a probar y servir para demostrar la culpabilidad o inocencia. Debe ser clara y comprensible para los jueces.
• Confianza: La evidencia debe ser auténtica, real, relacionada con el incidente y no haber sido alterada. No debe haber dudas sobre su autenticidad y veracidad.
• Suficiencia: La evidencia debe contener toda la información necesaria para constatar el hecho investigado, dependiendo de la experiencia del perito para determinar qué es suficiente.
• Adquisición «suficiente» de evidencias: En casos como la determinación de la fecha de creación de archivos, es crucial asegurar la correcta adquisición de la información, ya que la hora del sistema puede ser alterada, invalidando la evidencia.

Ejemplos de evidencias digitales

• No se debe confundir la evidencia digital con el contenedor.
• La evidencia digital es información digital, el contenedor es el dispositivo que la contiene.
• Ejemplos comunes de evidencias digitales:
  • Volcado de información de un dispositivo de almacenamiento.
  • Archivos independientes:
    • Archivos de texto u ofimáticos: cartas con amenazas, hojas de cálculo fraudulentas.
    • Archivos de imagen o de vídeo: fotografías de acciones ilícitas, vídeos de seguridad, grabaciones de móviles.
  • Logs de aplicaciones: ficheros de texto que registran la actividad de las aplicaciones.
  • Registros del sistema operativo: información sobre dispositivos USB conectados, encendido/apagado, cambios de hora.
  • Cookies del explorador: información de páginas visitadas e interacciones.
  • Registros de tráfico de red: información sobre conexiones a Internet y a otras máquinas.
• Para que un archivo sea considerado evidencia digital, debe permitir probar un hecho determinado.
• Fotografías genéricas no son evidencia a menos que muestren un hecho delictivo.

Adquisición de evidencias digitales

• Las evidencias digitales tienen dos características únicas: no es necesario alterar la escena del crimen para adquirirlas y no es necesario modificarlas o destruirlas para analizarlas.
• La adquisición de evidencias digitales consiste en realizar copias exactas de la información original sin alterar la escena del crimen.

Volatilidad

• La volatilidad determina la facilidad con la que las evidencias se modifican con el tiempo.
• Las evidencias se agrupan en volátiles y no volátiles.
• Las evidencias volátiles cambian con mayor facilidad, como la memoria RAM. Desaparecen al apagar el equipo y deben adquirirse antes de que se pierdan.
• Las evidencias no volátiles varían más despacio y mantienen la información al apagar el equipo, como dispositivos flash USB.
• Es fundamental comenzar por las evidencias volátiles, capturando su estado antes de que cambien o se pierdan al interrumpir la corriente.
• El orden de volatilidad determina el orden en que las evidencias deben ser obtenidas: de mayor a menor volatilidad.
• Las evidencias no volátiles (que no cambian fácilmente y no desaparecen al apagar el equipo) incluyen:
  • Dispositivos de almacenamiento removibles.
  • Configuración física y de red del equipo.
  • Datos almacenados en remoto.
  • Discos duros.
• Las evidencias volátiles (que cambian fácilmente y se pierden al apagar el equipo) incluyen:
  • Archivos temporales.
  • Memoria RAM (tablas de enrutamiento, procesos en ejecución, archivos abiertos).
• No tiene sentido intentar adquirir los registros y la caché del procesador debido a su alta volatilidad y la complejidad de su análisis.