Tema 3.2: Acotando la escena del crimen

Tema 3. Adquisición de evidencias digitales

• El tema trata sobre la adquisición de evidencias, uno de los puntos más importantes dentro del análisis forense.
• La invalidación de una prueba es el principal problema, debido a cuestiones de procedimiento.
• Las notas se basan en la recomendación ISO/IEC 27037:2016.
• Los alumnos deberán comprender el procedimiento de adquisición de evidencias según la norma, entender la casuística específica en los diferentes tipos de adquisición, realizar la adquisición de manera práctica con herramientas forenses, iniciar una cadena de custodia, y acotar debidamente la escena del crimen.

3.2. Acotando la escena del crimen

• Lo primero es determinar sobre qué equipos o dispositivos se debe actuar.
• El modo de trabajo es apersonarse en las instalaciones, acompañados de un fedatario público o testigos.
• Se debe analizar exactamente qué se va a tener que adquirir y qué elementos no son necesarios; esto se denomina "acotar la escena del crimen".
• En los casos vinculados a empresas, un escenario habitual de trabajo es el puesto de un empleado relacionado con el caso y su equipo (ordenador personal, pendrives USB o discos duros).
• El ordenador está conectado a un servidor corporativo que se utiliza para almacenar ficheros o, incluso, para acceder a algún tipo de aplicación corporativa que centraliza su información en un servidor de bases de datos.
• El correo probablemente esté en un servicio de la nube como Google Workspace o Microsoft Office 365.
• Para acotar la escena del crimen, se debe responder a dos preguntas: ¿qué equipos han sufrido de manera directa el incidente? y ¿qué otros equipos sin haber sufrido el incidente pueden estar relacionados?
• En un incidente por la infección por algún tipo de malware en una organización, los equipos infectados serían los que han sufrido directamente el incidente, así como los dispositivos externos infectados; otros equipos relacionados serían el servidor de correo electrónico y los equipos de seguridad.

3.3. Funciones hash

• Una función o algoritmo hash es una función matemática computable mediante un algoritmo que tiene como entrada un conjunto de elementos y que genera como salida un conjunto de elementos de longitud finita.
• A nivel práctico, se aplica la función hash a una cierta cantidad de información digital (un archivo, el contenido de un disco duro, una cadena de texto, etc.) y se obtiene una cadena hexadecimal con una longitud fija.
• Las principales propiedades de una función hash a nivel forense son: bajo coste computacional, compresión, inyectividad, unidireccionalidad, determinista y resistente (o casi) a colisiones.
• Las funciones hash se utilizan en análisis forense para comparar dos archivos u otros elementos de información y ver si son exactamente iguales.
• Comparando hashes se puede descartar/señalar archivos conocidos, señalar archivos relevantes, buscar archivos duplicados, y garantizar la no modificación de la evidencia o de las muestras obtenidas.
• Algunos de los algoritmos de hashing más comunes son MD5 (128 bits), SHA-1 (160 bits), SHA-2 (224, 256, 384 o 512 bits) y SHA-3 (224, 256, 384 o 512 bits).

3.4. Fase de preparación

• Previo a la adquisición, se deben analizar los pasos previos a tener en cuenta, como el bloqueo contra escritura del equipo a adquirir y el borrado seguro del dispositivo sobre el que se va a adquirir.
• Un bloqueador contra escritura es una herramienta (hardware o software) que impide la escritura sobre un dispositivo de almacenamiento.
• Los bloqueadores contra escritura por hardware son dispositivos que se conectan al equipo mediante USB, Firewire o algún otro tipo de conexionado de alta velocidad, y que hacen de puente entre el elemento a bloquear y el equipo.
• Ejemplos de bloqueadores contra escritura por software son WiebeTech - CRU (https://www.cru-inc.com/products/wiebetech/) y Tableau (https://www.guidancesoftware.com/tableau).
• Los bloqueadores contra escritura por software son programas o pequeños scripts que impiden al sistema operativo escribir sobre un determinado dispositivo o puerto.
• Las distribuciones Linux forenses incluyen un modo de arranque en el que el sistema operativo no monta los dispositivos conectados al equipo y, por lo tanto, no puede escribir sobre ellos.
• Ejemplos de distribuciones Linux que se pueden utilizar para bloquear la escritura son Kali Linux (https://www.kali.org/), Parrot Security OS (https://www.parrotsec.org/) y Tsurugi Linux (https://tsurugi-linux.org/).
• El borrado seguro es un método que sobrescribe la información original de forma que no pueda ser recuperada.
• El método más común consiste en la sobreescritura de la información original con ceros, aunque también es posible sobrescribirla con cualquier otro valor o valores aleatorios.
• Se puede realizar un borrado seguro sobre todo un dispositivo (con software específico), sobre una partición concreta (con un simple formateo lento) o sobre el espacio libre.
• Como forenses se realiza un borrado seguro cuando se desecha un dispositivo, cuando un dispositivo utilizado para almacenar información sobre un caso va a ser reutilizado en un nuevo caso, y cuando se vaya a utilizar un dispositivo como destino de un clonado.
• Programas para realizar borrado seguro: Encase Forensics Imager (Windows), dd / dc3dd (Linux y MacOS), R-Wipe & Clean (Windows y MacOS), y HDShredder (Windows).

3.5. Conceptos previos

• La adquisición de evidencias digitales consiste en la copia de estas, esta copia se puede obtener en dos formatos diferentes: la imagen forense y el clonado forense.
• Una imagen forense es una copia exacta de un dispositivo físico que es almacenada en un archivo, el cual puede ser guardado en cualquier tipo de dispositivo capaz de almacenar archivos.
• Un clonado es una copia exacta (“bit a bit”) de un dispositivo físico en otro dispositivo físico similar.
• Una imagen forense es más versátil que un clonado ya que es más fácil de distribuir, copiar, etcétera.
• Además, la imagen forense permite añadir metadatos y es posible almacenar imágenes en un solo dispositivo.
• Se necesitan dispositivos individuales para cada clonado que se quiera realizar, además el tamaño de dicho dispositivo deberá ser mayor o igual que el original, y deber encontrarse borrado mediante borrado seguro.
• El clonado no necesita ningún tipo de programa para cargarlo, y se puede utilizar exactamente el mismo hardware original en la investigación si fuera necesario.
• Los clonados se suelen utilizar cuando se trata de hardware muy específico como, por ejemplo, sistemas de CCTV (circuito cerrado de televisión).
• La adquisición en frío (post-mortem o Traditional Acquisition) se realiza cuando el dispositivo a analizar se encuentra apagado o desconectado.
• La adquisición en caliente (Live Response Acquisition) se realiza cuando el dispositivo a analizar se encuentra encendido.
• Las evidencias volátiles, por su propia naturaleza, solo se pueden adquirir en caliente.
• Si se atiende a la estructura lógica del dispositivo a adquirir, se puede realizar una adquisición física o una adquisición lógica.
• Cuando se mantiene la estructura lógica completa, se copia exactamente igual del origen al destino, decimos que hemos realizado una adquisición física.
• En una adquisición a nivel físico del primer al último bit almacenado en el dispositivo serán copiados.
• Cuando la copia realizada se limita a un volumen o a una parte de este, decimos que hemos realizado una adquisición lógica.
• Una adquisición lógica únicamente se puede hacer en formato imagen forense, nunca clonado.

3.6. Recolección y adquisición de evidencias digitales

• Para todo el procedimiento de recolección y adquisición, se debe trabajar según la normativa ISO 27037:2016.
• La ISO 27037 proporciona una serie de directrices para la identificación, recolección, adquisición y preservaciones de evidencias digitales.
• La recolección es el proceso de recopilación de los elementos físicos que pueden contener una potencial evidencia digital.
• La adquisición es la obtención de la información contenida en esos contendores de evidencias digitales.
• La norma analiza cinco escenarios diferentes: recolección en frío y en caliente, adquisición en frío y en caliente, y supuestos especiales.
• Para cada uno de ellos marca un flujo de trabajo distinto en función de las circunstancias que nos encontremos.
• La recolección en frío se dará cuando encontremos un equipo apagado; si el dispositivo funciona con batería, esta se debe desconectar para mantener el estado, así como desconectar el cable de alimentación del dispositivo.
• Se debe analizar a continuación si existen otros medios relacionados y, si ya hemos terminado la recolección, pasaremos al momento de la adquisición.
• Los procedimientos de recolección en caliente son más complejos que los de recolección en frío, ya que ahora deberemos tener en cuenta, además, las evidencias volátiles.
• Primero hay que ver si existen datos volátiles que se deban recopilar; si no hay datos volátiles se procede a un apagado forense, que consiste en desconectar directamente la batería o el cable de alimentación.
• Se desconectan el resto de los cables, etiquetando y fotografiando todo convenientemente para poder recuperar todas las conexiones si fuera necesario y documentando todo el proceso realizado.
• La adquisición es una copia exacta del contenido de un medio de almacenamiento, en el caso de tener que adquirir dispositivos apagados, se extrae el dispositivo de almacenamiento del equipo contenedor, se prepara el disco destino, y se realiza la imagen o clonado.
• En la adquisición en caliente y en el caso de que no existan datos que queramos adquirir, se mira si existen datos encriptados y en este caso se debe realizar adquisición en vivo primero de datos encriptados volátiles y, luego, de los datos encriptados no volátiles.
• Si los datos no se encuentran encriptados, buscaremos información volátil para adquirir y la adquirimos, y posteriormente se adquieren los datos no volátiles o se analiza si queremos llevarnos el dispositivo.
• Una vez tenidas todas las evidencias necesarias extraídas, se sellan los dispositivos usados para la adquisición, se documenta todo el proceso, se adjunta de nuevo la documentación a dichos dispositivos y se custodia el conjunto.
• Para preservar las evidencias hay que garantizar que aquello que vamos a analizar sea exactamente igual a lo que nos encontramos en origen y que no haya sufrido ninguna alteración desde el punto de la adquisición hasta el del análisis.
• Para verificar que lo analizado es una copia exacta de la evidencia original se utilizan las funciones hash.
• En frío, la información a adquirir permanece inalterada tras la adquisición, ya que podemos utilizar dispositivos para proteger contra escritura.
• En caliente, se debe realizar hash al resultado de la adquisición y utilizar dicho hash como referencia para compararlo y evitar futuras alteraciones.

3.7. Procedimientos especiales de adquisición

• La normativa ISO/IEC 27037 diferencia entre dos tipos distintos de adquisición y también hace referencia a supuestos especiales en los que los procedimientos de adquisición y/o recolección no tienen por qué seguir las directrices indicadas.
• Los supuestos especiales son: los dispositivos críticos, las adquisiciones parciales y los dispositivos de almacenamiento.
• La ISO/IEC 27037 identifica la adquisición parcial de información como un supuesto especial dentro de los tipos de adquisición, esta puede ser necesaria cuando el tamaño (almacenamiento) del dispositivo a adquirir es muy elevado, cuando el sistema es crítico, cuando solo parte de la información es relevante para la investigación, y cuando legalmente se limita el alcance de la adquisición.
• Cuando es necesario realizar una adquisición parcial, se identifican los archivos, las carpetas o demás elementos que contienen la información relevante y se realiza una adquisición lógica de estos elementos.
• La norma identifica la adquisición de dispositivos críticos como un supuesto especial dentro de los tipos de adquisición; en algunos casos los dispositivos no pueden ser apagados dada su criticidad, por lo que se siguen las directrices explicadas para la adquisición de dispositivos encendidos o la adquisición parcial de información.
• Por último, identifica la adquisición de los dispositivos de almacenamiento como un supuesto especial dentro de los tipos de adquisición; para el tratamiento de este tipo de dispositivos se debe documentar la ubicación del dispositivo, los datos identificativos de este, decidir si recolectar o adquirir en el momento el dispositivo, y etiquetar el dispositivo y los distintos elementos que pudieran estar asociados a él.