Qué es el análisis forense digital

El análisis forense digital (Digital Forensics) es el término general para las técnicas y métodos de recopilar, preservar, analizar y reportar datos digitales en computadoras y redes como evidencia legalmente válida. Se utiliza en una amplia gama de situaciones, incluyendo investigaciones de ciberdelitos, determinación de causas en la respuesta a incidentes y presentación de evidencia electrónica en litigios (eDiscovery).

Los objetos de investigación forense son diversos: discos duros, SSD, memoria, tráfico de red, dispositivos móviles, entornos en la nube, dispositivos IoT, etc. A través de la recuperación de archivos eliminados, el análisis de metadatos, la reconstrucción de líneas temporales y el análisis del comportamiento de malware, se aclara "qué, cuándo, por quién y cómo se realizó".

La característica principal del análisis forense digital es que la investigación se lleva a cabo manteniendo la integridad de la evidencia. Si no se puede demostrar que la evidencia no ha sido alterada, pierde su valor probatorio legal.

Los 4 pasos de la investigación forense

El proceso de investigación del análisis forense digital se compone de 4 pasos reconocidos internacionalmente.

1. Recopilación (Collection): Se identifican y recopilan los datos digitales que constituyen evidencia. Se crea una imagen bit a bit del disco (imagen forense) y se obtiene un volcado de memoria. Lo más importante en esta etapa es recopilar primero los datos de alta volatilidad (memoria, conexiones de red, procesos en ejecución).

2. Preservación (Preservation): Para garantizar la integridad de la evidencia recopilada, se calcula y registra el valor hash (SHA-256, etc.). Todo análisis posterior se realiza sobre copias, sin tocar el original. Se documenta la cadena de custodia (Chain of Custody) para hacer rastreable el historial de manejo de la evidencia.

3. Análisis (Analysis): Se analizan los datos preservados con herramientas especializadas. Se realizan análisis del sistema de archivos, recuperación de archivos eliminados, investigación del registro, análisis de correlación de registros, reconstrucción de líneas temporales, etc.

4. Informe (Reporting): Los resultados de la investigación se resumen en un informe comprensible incluso para no técnicos. Se describen claramente los hallazgos, los métodos de análisis, las herramientas utilizadas y las conclusiones. Si se utiliza en procedimientos legales, también se registra en detalle el proceso de manejo de la evidencia.

Principales técnicas de análisis y objetivos

Forense de disco: Analiza todos los sectores del almacenamiento e investiga la estructura del sistema de archivos, archivos eliminados, datos en áreas no asignadas y marcas de tiempo de archivos. Mediante técnicas de file carving, también se pueden recuperar datos cuya información de gestión del sistema de archivos se ha perdido.

Forense de memoria: Analiza el contenido de la RAM para identificar procesos en ejecución, conexiones de red, claves de cifrado y código de malware. Es una técnica indispensable para detectar malware sin archivos que no deja rastros en el disco.

Forense de red: Analiza capturas de paquetes y datos de flujo para identificar comunicaciones no autorizadas, extracción de datos y comunicaciones con servidores C2 (Command and Control). El análisis de correlación con los registros del SIEM también es importante.

Forense en la nube: Como desafío específico de los entornos en la nube, el acceso al almacenamiento físico está restringido. La investigación se centra en los registros de API, registros de acceso y registros de auditoría del proveedor de nube. En investigaciones de brechas de datos, el historial de cambios de configuración de IAM y los patrones de acceso a recursos son pistas importantes.

Requisitos legales y consideraciones de la investigación forense

Para utilizar los resultados de la investigación forense digital en procedimientos legales, se requieren procedimientos estrictos que garanticen la confiabilidad de la evidencia.

Integridad de la evidencia: Se demuestra que la evidencia no ha sido alterada desde el momento de la recopilación mediante la comparación de valores hash. Si los valores hash no coinciden antes y después del análisis, la confiabilidad de la evidencia se ve comprometida.

Cadena de custodia: Se registra cronológicamente quién, cuándo y cómo manejó la evidencia. Ambas partes firman al transferir la evidencia, garantizando la continuidad de la gestión.

Reproducibilidad: Se requiere que un tercero pueda obtener los mismos resultados utilizando los mismos métodos y herramientas. Registra en detalle la versión de las herramientas utilizadas, la configuración y los procedimientos.

Cuando el CSIRT realiza una investigación forense como parte de la respuesta a incidentes, es importante cumplir con los procedimientos de preservación de evidencia desde la etapa inicial, teniendo siempre en mente la posibilidad de que se desarrolle en procedimientos legales. Si la preservación de evidencia es insuficiente, puede resultar en una situación donde el valor probatorio no sea reconocido cuando se intente tomar medidas legales posteriormente.

Conceptos erróneos comunes

Los archivos eliminados no se pueden recuperar ni con investigación forense: Aunque se elimine un archivo, los datos en sí a menudo permanecen en el almacenamiento y pueden recuperarse con herramientas forenses. Sin embargo, si se ha ejecutado la función TRIM del SSD o un proceso de eliminación segura, la recuperación se vuelve difícil.
La investigación forense solo se usa en investigaciones criminales: El análisis forense digital se utiliza en una amplia gama de situaciones, no solo en investigaciones criminales, sino también en respuesta a incidentes empresariales, investigación de fraude interno, presentación de evidencia electrónica en litigios y auditorías de cumplimiento.

Análisis forense digital