Si quieres saber m\u00e1s sobre este apasionante mundo, en este art\u00edculo recopilatorio de multitud de fuentes expertas se intentar\u00e1 dar un poco m\u00e1s de luz al tema.<\/p>\n
<\/p>\n
<\/p>\n
INTRODUCCI\u00d3N A LA INFORM\u00c1TICA FORENSE<\/strong><\/h2>\n\u00bfQue es la Inform\u00e1tica Forense?<\/strong><\/em><\/h3>\nPartiendo de la definici\u00f3n de que es la \u00abInform\u00e1tica\u00bb, <\/em>que la RAE define como un \u00abConjunto de conocimientos cient\u00edficos y t\u00e9cnicas que hacen posible el tratamiento autom\u00e1tico de la informaci\u00f3n por medio de computadoras\u00bb<\/em>, pasamos a la segunda definici\u00f3n de \u00abCiencia Forense\u00bb<\/em> que se define as\u00ed: \u00abEs la aplicaci\u00f3n de pr\u00e1cticas cient\u00edficas dentro del proceso legal\u201d<\/em>.<\/p>\nAhora realizando una conjunci\u00f3n de las anteriores definiciones, podemos hacerlos la pregunta de que es la \u00abInform\u00e1tica Forense<\/strong>\u00ab<\/em> y darnos una respuesta clara: \u00abLa Inform\u00e1tica Forense es la aplicaci\u00f3n de t\u00e9cnicas cient\u00edficas y anal\u00edticas especializadas en la infraestructura tecnol\u00f3gica que permiten identificar, preservar, analizar y presentar datos que sean v\u00e1lidos dentro de un proceso legal<\/strong>\u201d<\/em>.<\/p>\nComo inciso en el proceso forense, no podemos dejar de nombrar a Edmon Locard, criminalista franc\u00e9s considerado uno de los principales pioneros de esta ciencia. Es famoso por enunciar el conocido \u00abPrincipio de intercambio de Locard\u00bb en donde especifica que \u201cSiempre que dos objetos entran en contacto transfieren parte del material que incorporan al otro objeto\u201d. Una lectura recomendable es el \u00abManual de T\u00e9cnica Polic\u00edaca\u00bb de Locard.<\/p>\n
Es muy importante disponer de una metodolog\u00eda de trabajo bien definida y apuntar cada paso realizado, de tal forma que se puedan volver a reproducirse todas las acciones realizadas para llegar al mismo resultado en el caso de que nos lo pidieran realizar de nuevo.<\/p>\n
Hay que tener en cuenta que los medios presentados como prueba digital podr\u00edan convertirse posteriormente en importantes evidencias para procesos judiciales donde un Juez las pueda tener en cuenta para dictar sentencia.<\/p>\n
En algunos casos nos vamos a poder encontrar con medios a analizar que tengan ciertas barreras criptogr\u00e1ficas que ser\u00e1n laboriosas de analizar.<\/p>\n
Cuando se realiza un proceso inform\u00e1tico forense hay que realizar un desglose para comprender cada una de sus acciones, hay que introducirse en el momento, el entorno, la causa y el medio inform\u00e1tico al cual hay que realizarle el proceso forense. Dependiendo de cada caso se aplicar\u00e1 una metodolog\u00eda u otra para a partir de lo adquirido llegar a las conclusiones finales.<\/p>\n
Tras conocer todos estos pre\u00e1mbulos fundamentales, vamos a establecer seg\u00fan nuestro criterio, los pasos que debe seguir un perito inform\u00e1tico en una investigaci\u00f3n dentro de la Inform\u00e1tica Forense:<\/p>\n
\n- Estudio preliminar<\/strong>
\nSe trata de registrar toda la mayor informaci\u00f3n posible sobre los dispositivos objeto del an\u00e1lisis y generar su documentaci\u00f3n correspondiente. Conviene apuntar las marcas, modelos, n\u00fameros de serie, descripciones lo m\u00e1s completas posibles as\u00ed como todos los datos posibles desde la compra del dispositivo hasta el momento de la entrega, e incluso quien ha tenido acceso al mismo, si se necesita acceso por usuarios y contrase\u00f1as, ubicaci\u00f3n f\u00edsica y un completo registro fotogr\u00e1fico de todos los dispositivos objeto del estudio.<\/li>\n- Adquisici\u00f3n de datos<\/strong>
\nSi ese paso ha de realizarse cuando a\u00fan el dispositivo se encuentra encendido, y una vez detectado el problema de seguridad y lo que ha sido afectado, es importante que el investigador encargado de realizar el an\u00e1lisis forense decida apagar el equipo o no. Se trata de una decisi\u00f3n dif\u00edcil debido a que si el equipo es apagado, pueden existir evidencias que todav\u00eda est\u00e9n en la memoria vol\u00e1til, usuarios conectados, procesos en ejecuci\u00f3n, conexiones existentes, logs del sistema, etc que se perder\u00edan con el apagado. Por lo tanto, y a modo preventivo es interesante y muy \u00fatil hacer un volcado de todo ello con las herramientas apropiadas en cada caso antes de apagar el equipo.
\nSi trabajamos sobre un dispositivo desconectado de corriente, tenemos que saber que nunca se ha de trabajar sobre los dispositivos originales, antes de empezar se ha de apuntar sus claves \u00abhash\u00bb en s\u00f3lo modo lectura y despu\u00e9s proceder al clonado bit a bit de esos dispositivos con herramientas de an\u00e1lisis forense que no monten esos dispositivos en el sistema para no modifiquen ni un s\u00f3lo bit.
\nSi la clonaci\u00f3n ha sido exitosa, podemos realizar una verificaci\u00f3n por medio de las funciones hash, aplicando algoritmos de cifrado de datos como MD5 o SHA, que nos generar\u00e1 un c\u00f3digo hexadecimal que se ha de comparar con el del disco original y verificar si es el mismo, lo que nos confirmar\u00e1 que se ha realizado una copia exacta del dispositivo y que no se ha cambiado su contenido.
\nLas clonaciones forenses se deben realizar sobre dispositivos preferentemente nuevos y formateados previamente a bajo nivel para eliminar restos de datos anteriores si los hubiera. Lo recomendable es utilizar sistemas de clonado hardware independientes o si no fuera posible alguna distribucion linux Live CD de software forense como Helix, CAINE, ForLEX, EnCase, DEFT Linux, \u2026<\/li>\n- An\u00e1lisis e investigaci\u00f3n<\/strong>
\nEs la etapa donde se lleva a cabo la investigaci\u00f3n de las evidencias digitales iniciales obtenidas. En primer lugar se recolectar\u00e1 informaci\u00f3n sobre los registros de los sistemas analizados, como detectores de intrusi\u00f3n, cortafuegos y ficheros del sistema como carpetas personales.
\nEl acceso a la informaci\u00f3n contenida en los dispositivos se puede analizar de forma f\u00edsica, que no es interpretada por el sistema operativo y de forma l\u00f3gica que es interpretada por el sistema operativo, como puede ser la estructura de directorios, ficheros almacenados y eliminados, horas y fechas de creaci\u00f3n o modificaci\u00f3n, tama\u00f1o, etc.<\/li>\n- Emisi\u00f3n del informe pericial inform\u00e1tico<\/strong>
\nLa redacci\u00f3n de un informa pericial es donde se recogen todas las evidencias, indicios y pruebas recabadas. Estas deben ser redactadas de una manera clara y sencilla, donde aquel que no sea profesional de la inform\u00e1tica pueda entender claramente lo que se est\u00e1 explicando.
\nEste informe es el instrumento que se utiliza como medio de prueba cuando los jueces quieren conocer, interpretar y valorar lo que en el se expresa.El Informe Pericial viene definido en el Cap\u00edtulo VII de la Ley de Enjuiciamiento Criminal (Real Decreto de 14 de Septiembre de 1882) a trav\u00e9s de los art\u00edculos 456 al 485.
\nUn Juez acordar\u00e1 el Informe Pericial cuando, para conocer o apreciar alg\u00fan hecho o circunstancia importante en el sumario, fueran necesarios o convenientes conocimientos cient\u00edficos o art\u00edsticos (art. 456).
\nLos Peritos pueden ser o no titulares.\u00a0Son Peritos Titulares los que tienen t\u00edtulo oficial de una ciencia o arte cuyo ejercicio est\u00e9 reglamentado por la Administraci\u00f3n<\/strong>. Son peritos no titulares los que, careciendo de t\u00edtulo oficial, tienen sin embargo, conocimientos o pr\u00e1cticas especiales en alguna ciencia o arte (art. 457).
\nEl Juez se valdr\u00e1 de Peritos Titulares con preferencia a los que no tuviesen t\u00edtulo (art. 458).<\/strong>No podr\u00e1n prestar Informe Pericial acerca del delito las personas ofendidas, es decir, toda aquella que seg\u00fan el art\u00edculo 416 no est\u00e1n obligadas a declarar como testigos. Si un Perito presentara Informe Pericial y estuviera comprendido en alguno de los casos citados en el mencionado art\u00edculo, y lo hiciera sin poner antes esa circunstancia en conocimiento del Juez que le hubiese nombrado incurrir\u00eda en una multa de 200 a 5.000 euros, a no ser que el hecho diera lugar a responsabilidad criminal (art. 464).
\nAntes de darse principio al acto pericial, todos los peritos, as\u00ed nombrados por el Juez como los que lo hubieran sido por las partes, prestar\u00e1n juramento, conforme al art\u00edculo 434, de proceder bien y fielmente en sus operaciones, y de no proponerse otro fin mas que el de descubrir y declarar la verdad (art. 474).Tenemos que tener en cuenta, que por lo general, los jueces tienen las visiones que les aportan la Fiscal\u00eda y la Defensa, pero ambas est\u00e1n sesgadas por sus respectivos objetivos de acusar y defender. Por lo tanto, requieren una opini\u00f3n exterior que les aporte objetividad sobre el tema a debatir en el juicio.\u00a0 Es por ello que, en estos casos, es el especialista en peritaje quien se encarga de realizar una evaluaci\u00f3n de los hechos desde su campo de conocimiento y especialidad aportando datos objetivos que pueden o no beneficiar a las partes implicadas.El Informe Pericial comprender\u00e1 siempre que sea posible<\/strong>:<\/li>\n<\/ol>\n\n- Descripci\u00f3n de la persona o cosa que sea objeto del mismo<\/strong>, en el estado o del modo en que se halle. El Secretario extender\u00e1 esta descripci\u00f3n, dict\u00e1ndola los peritos y suscribi\u00e9ndola todos los concurrentes.<\/li>\n
- Relaci\u00f3n detallada de todas las operaciones practicadas por los peritos y de su resultado<\/strong>, extendida y autorizada en la misma forma que la anterior.<\/li>\n
- Las conclusiones que en vista de tales datos formulen los peritos<\/strong>, conforme a los principios y reglas de su ciencia o arte (art. 478).Por otra parte, el Juez podr\u00e1, por su propia iniciativa o por reclamaci\u00f3n de las partes presentes o de sus defensores, hacer a los peritos, cuando obtengan sus conclusiones, las preguntas que estime pertinentes y pedirles las aclaraciones necesarias. Las contestaciones de los peritos se considerar\u00e1n como parte de su informe, seg\u00fan contempla el art\u00edculo 483.
\nCabe recordar que a nivel nacional (Espa\u00f1a), la norma UNE 197010:2015, de \u00abCriterios generales para la elaboraci\u00f3n de informes y dict\u00e1menes periciales sobre Tecnolog\u00edas de la Informaci\u00f3n y las Comunicaciones (TIC)\u00bb publicada por AENOR, define la forma en que debe redactarse un informe pericial inform\u00e1tico.Hay que recordar que\u00a0la principal caracter\u00edstica que se busca en un Informe Pericial es la objetividad del mismo en grado m\u00e1ximo que emana, obviamente, de la objetividad del Perito.<\/strong><\/li>\n<\/ul>\n <\/p>\n
<\/p>\n
En la preservaci\u00f3n de los medios que vayamos adquiriendo durante el proceso es esencial mantener la integridad de los mismos, de otro modo se estar\u00eda contaminando la evidencia y la misma no tendr\u00eda valor alguno judicialmente.<\/p>\n
Por \u00faltimo, se encuentra la acci\u00f3n de presentar Informes Periciales, uno m\u00e1s resumido que tenga un vocabulario adecuado para ser comprendido por personas no expertas en la materia, como pueden ser jueces o jurados y otro informe pericial m\u00e1s t\u00e9cnico y profesional que pueda seguramente ser\u00e1 comprendido por expertos en inform\u00e1tica forense.<\/p>\n
<\/p>\n
Glosario de t\u00e9rminos en Inform\u00e1tica Forense<\/strong><\/em><\/h3>\nEn algunas causas judiciales algunos letrados suelen emplear la frase en lat\u00edn \u00abut supra\u00bb<\/em>, que significa literalmente \u00abcomo arriba\u00bb y se emplea en ciertos documentos para referirse a una fecha, cl\u00e1usula o frase escrita m\u00e1s arriba y evitar su repetici\u00f3n.<\/p>\nMedios, Artefactos<\/em>: son objetos obtenidos sobre el proceso de adquisici\u00f3n forense.<\/p>\nPrueba digital<\/em>: parte de la Documental presentada en una Causa Judicial, la cual deber\u00e1 ser constatada por un Perito Inform\u00e1tico.<\/p>\nEvidencia digital<\/em>: prueba que ha sido constatada por un experto, en donde se tiene una certeza clara y manifiesta de la que no se puede dudar.<\/p>\nCriptograf\u00eda<\/em>: arte y t\u00e9cnica de escribir con procedimientos y claves secretas o no tan secretas, de tal forma que lo escrito solamente sea inteligible para quien sepa y posea de la\/s clave\/s necesaria\/s para descifrarlo.\u00a0Existe la Criptograf\u00eda Sim\u00e9trica y la Asim\u00e9trica. Ejemplos de la primera podr\u00edan ser los algoritmos 3DES y AES, los cuales utilizan la misma clave tanto para cifrar como para descifrar. Por el lado de los algoritmos criptogr\u00e1ficos Asim\u00e9tricos se encuentran RSA y DSA, en este caso se utiliza una clave para cifrar y otra para descifrar.<\/p>\nHASH<\/em>: se trata de un algoritmo criptogr\u00e1fico bastante particular, debido a que, el mismo no tiene una funci\u00f3n de retorno, esto quiere decir que de un objeto (por ejemplo un archivo) aplic\u00e1ndole un algoritmo de hash obtendr\u00edamos el hash de dicho objeto pero desde este resultado ser\u00e1 imposible obtener el objeto original.\u00a0Este algoritmo va a tener un gran valor en cuestiones forenses, ya que, con el mismo podremos asegurar la integridad de los artefactos desde el momento de la adquisici\u00f3n hasta el momento de la entrega del Informe Pericial.<\/p>\nCadena de Custodia<\/em>: concepto muy importante dentro de la Inform\u00e1tica Forense y es la manera en que se asegura la NO alteraci\u00f3n de los artefactos recolectados desde su adquisici\u00f3n hasta la presentaci\u00f3n de la evidencia.<\/p>\n <\/p>\n
LA ADQUISICI\u00d3N EN LA INFORM\u00c1TICA FORENSE<\/h2>\n
Uno de los puntos m\u00e1s importantes en la Inform\u00e1tica Forense es la recolecci\u00f3n de la Evidencia<\/strong>, tambi\u00e9n conocido como Adquisici\u00f3n Forense, ya que, si al momento de tomar la evidencia no se cumplen ciertos requisitos puede echarse a perder todo el an\u00e1lisis posterior. Es tan importante hacer hincapi\u00e9 en este proceso ya que la m\u00ednima alteraci\u00f3n de la evidencia podr\u00e1 llevar a cabo la invalidez de toda una investigaci\u00f3n.<\/p>\nIntroducci\u00f3n<\/strong><\/em><\/h3>\nEn este art\u00edculo se explicar\u00e1 principalmente c\u00f3mo recolectar los datos de un disco r\u00edgido sin la alteraci\u00f3n de los mismos utilizando herramientas OpenSource y gratuitas.<\/p>\n
En este caso se usar\u00e1 la distribuci\u00f3n Linux DEFT Zero, la cual dispone de todas las herramientas necesarias para realizar la toma de evidencia. Para la misma utilizaremos una herramienta muy sencilla y \u00fatil a la vez: dd.<\/p>\n
Buenas Pr\u00e1cticas antes de comenzar la recolecci\u00f3n<\/em><\/h3>\nSeg\u00fan las Buenas Pr\u00e1cticas del Servicio Secreto de Estados Unidos, estos son algunos puntos importantes a tener en cuenta al momento de comenzar con la recolecci\u00f3n de la evidencia dentro del \u00e1mbito de la Inform\u00e1tica Forense:<\/p>\n
\n- No utilizar el mismo computador ni intentar buscar evidencias con el.<\/li>\n
- Fotografiar los equipos desde todos los \u00e1ngulos, donde se vea su estado, con cables y dispositivos conectados.<\/li>\n
- Si el computador se encuentra apagado, nunca encenderlo.<\/li>\n
- Si el computador se encuentra encendido y en la pantalla se muestra algo, sacar unas fotograf\u00edas a la misma.<\/li>\n
- Desconectar el cable de alimentaci\u00f3n del equipo para apagarlo. Si se trata de un port\u00e1til\/notebook y no se apaga, extraer la bater\u00eda para que se apague.<\/li>\n
- Etiquetar los computadores, dispositivos y cables de tal manera que se identifiquen como van conectados.<\/li>\n
- Desconectar todos los cables y dispositivos.<\/li>\n
- Documentar todo el procedimiento realizado.<\/li>\n
- Mantener absolutamente todos los medios lejos de imanes, radiotransmisores y otros elementos potencialmente da\u00f1inos.<\/li>\n<\/ul>\n
<\/p>\n
Identificando unidades<\/em><\/h3>\nTal Y como se dijo al principio del art\u00edculo, lo m\u00e1s importante es que al momento de la recolecci\u00f3n la evidencia no sea alterada. Por tal motivo, es indispensable que el sistema con el que trabajemos no monte las unidades conectadas de manera autom\u00e1tica, ya que si el mismo es montado la evidencia se altera. La versi\u00f3n de DEFT Zero que utilizaremos no monta las unidades autom\u00e1ticamente.<\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-01.jpg\")
<\/p>\n
<\/p>\n
En este caso, sabemos que contamos con 2 unidades de disco. Ambos de tecnolog\u00eda SATA, por lo tanto, el sistema los reconocer\u00e1 como sd. El que contiene la evidencia a recolectar tiene un tama\u00f1o de 100MB y el otro de 1GB. Para ver c\u00f3mo los reconoce el sistema es necesario ver los logs.<\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-02.jpg\")
<\/p>\n
<\/p>\n
En donde identificamos ambos discos. En el caso de la evidencia el sistema lo detect\u00f3 como sda y el otro como sdb. Por lo tanto, para guardar la evidencia necesitaremos montar nuestro disco, en particular la unidad l\u00f3gica del mismo (sdb1).<\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-03.jpg\")
<\/p>\n
<\/p>\n
Recolectando la evidencia<\/em><\/h3>\nLa recolecci\u00f3n de evidencia se puede hacer por partici\u00f3n o por disco. Es recomendable trabajar con el disco completo, ya que si eligi\u00e9semos trabajar con particiones y fuese necesario buscar informaci\u00f3n borrada en el disco no estaremos analizando las partes que no se encuentren particionadas. Durante todo el post se realizar\u00e1n copias de disco completo, o como se lo conoce: Adquisici\u00f3n F\u00edsica.<\/p>\n
El comando \u00abdd\u00bb<\/em><\/h3>\nEs un comando de la familia de los Sistemas Operativos Unix\/Linux que permite copiar a bajo nivel (bit a bit o bloque a bloque) cualquier archivo dentro del sistema. Es importante recordar que para este tipo de Sistemas Operativos todo es un archivo. Uno de los puntos fuertes de dd es que copia los datos en crudo (raw data) y otro punto muy importante es que viene por defecto con todas las distribuciones de Unix\/Linux.<\/p>\n
Un ejemplo de c\u00f3mo utilizar el comando puede ser el siguiente:<\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-04.jpg\")
<\/p>\n
<\/p>\n
Para determinar este tipo de tama\u00f1o es importante saber si la unidad se encuentra da\u00f1ada o no, ya que de estarlo es preferible utilizar bloques m\u00e1s peque\u00f1os de manera de reducir la cantidad de datos corruptos. En el caso de encontrar errores en la unidad tambi\u00e9n es recomendable utilizar las opciones conv=noerror,sync. La opci\u00f3n noerror permite continuar despu\u00e9s de encontrar errores y la opci\u00f3n sync permite rellenar los errores encontrados con 0\u2019s.<\/p>\n
Si bien con ambos archivos se crean en momentos diferente y se utiliza el par\u00e1metro bs distinto, se puede ver que los HASH\u2019s tanto del dispositivo y de las evidencias tomadas son iguales.<\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-06.jpg\")
<\/p>\n
<\/p>\n
Una buena metodolog\u00eda para corroborar la integridad de la evidencia es tomando los HASHs de los mismos. En este post se utilizaremos SHA256, esto es debido a que MD5 y SHA1 son algoritmos que se encuentran rotos.<\/p>\n
Problemas de espacio
\nDebido a que en la actualidad los discos r\u00edgidos son muy grandes y en el hipot\u00e9tico caso de que necesitemos partir el archivo, podemos utilizar el comando split (tambi\u00e9n incorporado en todos los sistemas Linux)<\/p>\n
\nsplit -d -b 50m artefacto01.dd artefacto-partido<\/code><\/pre>\n<\/div>\nCuando necesitemos volver a ensamblarlo podemos utilizar el comando cat de la siguiente manera:<\/p>\n
\ncat artefacto-partido* >> artefacto-reensamblado.dd<\/code><\/pre>\n<\/div>\nSiempre tenemos que tener presente comprobar que el HASH sea el mismo que el original, hay que recordar que estamos manejando evidencia y que la misma tiene que ser integra y consistente.<\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-07.jpg\")
<\/p>\n
<\/p>\n
Otra manera de reducir el tama\u00f1o de la evidencia es comprimir el archivo al momento de generarlo utilizando el comando gzip<\/span><\/p>\n![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-08.jpg\")
<\/p>\n
<\/p>\n
Claramente el tama\u00f1o del archivo comprimido es muy inferior, pero no debemos olvidar de corroborar su integridad comparando los HASH\u2019s.<\/span><\/p>\n![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-09.jpg\")
<\/p>\n
<\/p>\n
Adquisici\u00f3n Indirecta<\/em><\/h3>\nEn el caso que estemos imposibilitados de realizar la copia en el mismo equipo (Adquisici\u00f3n directa), podemos enviar la evidencia por la red a alg\u00fan equipo donde podamos almacenar el archivo. Para este proceso podemos utilizar el comando nc.<\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-10.jpg\")
<\/p>\n
<\/p>\n
Nuevamente corroboramos que tanto el origen como el destino tienen el mismo contenido.<\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-11.jpg\")
<\/p>\n
<\/p>\n
Una de las contras de dd es que no muestra progreso y que todas las comprobaciones deben realizarse de forma manual, aunque podemos utilizar las siguientes alternativas:<\/p>\n
Utilizando el comando kill, el cual viene con todas las distribuciones Linux podremos ver el estado de nuestra copia bit a bit.<\/p>\n
Ojo que si lo utilizamos mal podr\u00edamos matar el proceso de copia y no queremos volver a empezar.<\/p>\n
Para que nos diga el estado de dd le pasaremos el par\u00e1metro -USR1, tambi\u00e9n es necesario pasarle el PID. Nos quedar\u00e1 algo por el estilo algo por el estilo:<\/p>\n
\nkill -USR1 $(ps -ef | fgrep .dd | grep -v grep | awk '{print $2}')<\/code><\/pre>\n<\/div>\nEl comando ps -ef | fgrep .dd | grep -v grep | awk ‘{print $2}’ nos permite extraer el PID, siempre y cuando hayamos utilizado la extensi\u00f3n .dd.<\/p>\n
La ejecuci\u00f3n del kill nos dar\u00e1 la siguiente pantalla:<\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-12.jpg\")
<\/p>\n
Tambi\u00e9n podr\u00edamos utilizar otra herramienta que nos mantenga al tanto de lo que hace dd, como por ejemplo pv.<\/p>\n
pv no viene por defecto con esta distro, con lo cual hay que instalarla desde el repo<\/p>\n
\napt-get update\r\napt-get install pv<\/code><\/pre>\n<\/div>\n <\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-13.jpg\")
<\/p>\n
<\/p>\n
Como no pod\u00eda ser de otra manera, tenemos que corroborar el HASH de nuestra copia.<\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-03-14.jpg\")
<\/p>\n
<\/p>\n
Bueno, hemos hecho un largo recorrido con el copiado bit a bit de la mano del comando dd. Tambien suelen utilizarse otros comandos para realizar adquisiciones bit a bit como pueden ser:<\/p>\n
dc3dd, dd_rescue, ewfadquire y para los que les gusta el entorno gr\u00e1fico Guymager.<\/p>\n
<\/p>\n
<\/p>\n
DISTRIBUCIONES LINUX DEDICADAS A LA INFORM\u00c1TICA FORENSE<\/h2>\n
Lo primero que hay que destacar es que el software utilizado en inform\u00e1tica forense solamente es v\u00e1lido si la herramienta utilizada no altera e<\/em><\/span>l medio a analizar<\/em><\/span>.<\/p>\nA continuaci\u00f3n vamos a rese\u00f1ar algunas de las herramientas GRATUITAS disponibles para realizar an\u00e1lisis forenses como la identificaci\u00f3n, preservaci\u00f3n y an\u00e1lisis. Existen muchas m\u00e1s, gratuitas o de pago, pero estas son las de uso gratuito m\u00e1s recomendables.<\/p>\n
Casi todas surgen de distribuciones Linux, como pueden ser DEFT, Huemul, SIFT y Santoku. Ya que no todas estas herramientas son utilizadas para realizar la misma tarea, hay que saber cual conviene usar para cada caso ya que cada una tiene sus caracter\u00edsticas particulares.<\/p>\n
DEFT<\/strong><\/h3>\nEs el acr\u00f3nimo de Digital Evidence & Forensic Toolkit, tiene 2 distribuciones: DEFT 8.2 y DEFT Zero rc1<\/p>\n
DEFT 8.2<\/strong><\/p>\nSe encuentra basada en Lubuntu 12.10, tiene un tama\u00f1o de 3.1 GB y dispone de una gran variedad de herramientas para realizar nuestras labores forenses, tanto para la adquisici\u00f3n como para el an\u00e1lisis del mismo. Como vemos en la siguiente imagen, en DEFT tenemos distribu\u00eddas las aplicaciones en los siguientes grupos: Analysis, Antimalware, Data Recovery, Hashing, Imaging, Mobile Forensics, Network Forensics, OSINT, Password recovery y Reporting tools.<\/p>\n
Descargar DEFT 8.2<\/a><\/p>\n![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-02-01.jpg\")
<\/p>\n
<\/p>\n
DEFT Zero rca<\/strong><\/p>\nEs una distribuci\u00f3n Linux reducida de 403 MB dedicada \u00fanicamente para realizar la adquisici\u00f3n forense y despu\u00e9s utilizar otras herramientas que consideremos oportunas.<\/span><\/p>\nDescargar DEFT Zero<\/a><\/p>\n![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-02-03.jpg\")
<\/p>\n
<\/h3>\nDART<\/strong><\/h3>\nAcr\u00f3nimo de Digital Advanced Response Toolkit, DART es un conjunto de herramientas que trabaja bajo entornos Microsoft. Posee \u00abtools\u00bb\u00b7 de Adquisici\u00f3n entre las que cabe destacar la aplicaci\u00f3n FTK Imager, herramienta gratuita perteneciebte a una empresa lider en el \u00e1mbito forense. Data Recovery, Forensics, Incident Response, Networking, Password, Visualize y Utility son otros de los t\u00f3picos dentro de DART.<\/p>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-02-02.jpg\")
<\/p>\n
Huemul<\/strong><\/h3>\nEs una distro Linux argentina basada en Debian, dise\u00f1ada de tal manera que tiene un men\u00fa separado en Etapas, adquisici\u00f3n, clonaci\u00f3n y an\u00e1lisis. Tambi\u00e9n est\u00e1n las opciones de Borrado seguro, Celulares y Cifrado. En cada opci\u00f3n del men\u00fa aparece una breve descripci\u00f3n de cada una.<\/p>\n
Partiendo de la definici\u00f3n de que es la \u00abInform\u00e1tica\u00bb, <\/em>que la RAE define como un \u00abConjunto de conocimientos cient\u00edficos y t\u00e9cnicas que hacen posible el tratamiento autom\u00e1tico de la informaci\u00f3n por medio de computadoras\u00bb<\/em>, pasamos a la segunda definici\u00f3n de \u00abCiencia Forense\u00bb<\/em> que se define as\u00ed: \u00abEs la aplicaci\u00f3n de pr\u00e1cticas cient\u00edficas dentro del proceso legal\u201d<\/em>.<\/p>\n Ahora realizando una conjunci\u00f3n de las anteriores definiciones, podemos hacerlos la pregunta de que es la \u00abInform\u00e1tica Forense<\/strong>\u00ab<\/em> y darnos una respuesta clara: \u00abLa Inform\u00e1tica Forense es la aplicaci\u00f3n de t\u00e9cnicas cient\u00edficas y anal\u00edticas especializadas en la infraestructura tecnol\u00f3gica que permiten identificar, preservar, analizar y presentar datos que sean v\u00e1lidos dentro de un proceso legal<\/strong>\u201d<\/em>.<\/p>\n Como inciso en el proceso forense, no podemos dejar de nombrar a Edmon Locard, criminalista franc\u00e9s considerado uno de los principales pioneros de esta ciencia. Es famoso por enunciar el conocido \u00abPrincipio de intercambio de Locard\u00bb en donde especifica que \u201cSiempre que dos objetos entran en contacto transfieren parte del material que incorporan al otro objeto\u201d. Una lectura recomendable es el \u00abManual de T\u00e9cnica Polic\u00edaca\u00bb de Locard.<\/p>\n Es muy importante disponer de una metodolog\u00eda de trabajo bien definida y apuntar cada paso realizado, de tal forma que se puedan volver a reproducirse todas las acciones realizadas para llegar al mismo resultado en el caso de que nos lo pidieran realizar de nuevo.<\/p>\n Hay que tener en cuenta que los medios presentados como prueba digital podr\u00edan convertirse posteriormente en importantes evidencias para procesos judiciales donde un Juez las pueda tener en cuenta para dictar sentencia.<\/p>\n En algunos casos nos vamos a poder encontrar con medios a analizar que tengan ciertas barreras criptogr\u00e1ficas que ser\u00e1n laboriosas de analizar.<\/p>\n Cuando se realiza un proceso inform\u00e1tico forense hay que realizar un desglose para comprender cada una de sus acciones, hay que introducirse en el momento, el entorno, la causa y el medio inform\u00e1tico al cual hay que realizarle el proceso forense. Dependiendo de cada caso se aplicar\u00e1 una metodolog\u00eda u otra para a partir de lo adquirido llegar a las conclusiones finales.<\/p>\n Tras conocer todos estos pre\u00e1mbulos fundamentales, vamos a establecer seg\u00fan nuestro criterio, los pasos que debe seguir un perito inform\u00e1tico en una investigaci\u00f3n dentro de la Inform\u00e1tica Forense:<\/p>\n <\/p>\n <\/p>\n En la preservaci\u00f3n de los medios que vayamos adquiriendo durante el proceso es esencial mantener la integridad de los mismos, de otro modo se estar\u00eda contaminando la evidencia y la misma no tendr\u00eda valor alguno judicialmente.<\/p>\n Por \u00faltimo, se encuentra la acci\u00f3n de presentar Informes Periciales, uno m\u00e1s resumido que tenga un vocabulario adecuado para ser comprendido por personas no expertas en la materia, como pueden ser jueces o jurados y otro informe pericial m\u00e1s t\u00e9cnico y profesional que pueda seguramente ser\u00e1 comprendido por expertos en inform\u00e1tica forense.<\/p>\n <\/p>\n En algunas causas judiciales algunos letrados suelen emplear la frase en lat\u00edn \u00abut supra\u00bb<\/em>, que significa literalmente \u00abcomo arriba\u00bb y se emplea en ciertos documentos para referirse a una fecha, cl\u00e1usula o frase escrita m\u00e1s arriba y evitar su repetici\u00f3n.<\/p>\n Medios, Artefactos<\/em>: son objetos obtenidos sobre el proceso de adquisici\u00f3n forense.<\/p>\n Prueba digital<\/em>: parte de la Documental presentada en una Causa Judicial, la cual deber\u00e1 ser constatada por un Perito Inform\u00e1tico.<\/p>\n Evidencia digital<\/em>: prueba que ha sido constatada por un experto, en donde se tiene una certeza clara y manifiesta de la que no se puede dudar.<\/p>\n Criptograf\u00eda<\/em>: arte y t\u00e9cnica de escribir con procedimientos y claves secretas o no tan secretas, de tal forma que lo escrito solamente sea inteligible para quien sepa y posea de la\/s clave\/s necesaria\/s para descifrarlo.\u00a0Existe la Criptograf\u00eda Sim\u00e9trica y la Asim\u00e9trica. Ejemplos de la primera podr\u00edan ser los algoritmos 3DES y AES, los cuales utilizan la misma clave tanto para cifrar como para descifrar. Por el lado de los algoritmos criptogr\u00e1ficos Asim\u00e9tricos se encuentran RSA y DSA, en este caso se utiliza una clave para cifrar y otra para descifrar.<\/p>\n HASH<\/em>: se trata de un algoritmo criptogr\u00e1fico bastante particular, debido a que, el mismo no tiene una funci\u00f3n de retorno, esto quiere decir que de un objeto (por ejemplo un archivo) aplic\u00e1ndole un algoritmo de hash obtendr\u00edamos el hash de dicho objeto pero desde este resultado ser\u00e1 imposible obtener el objeto original.\u00a0Este algoritmo va a tener un gran valor en cuestiones forenses, ya que, con el mismo podremos asegurar la integridad de los artefactos desde el momento de la adquisici\u00f3n hasta el momento de la entrega del Informe Pericial.<\/p>\n Cadena de Custodia<\/em>: concepto muy importante dentro de la Inform\u00e1tica Forense y es la manera en que se asegura la NO alteraci\u00f3n de los artefactos recolectados desde su adquisici\u00f3n hasta la presentaci\u00f3n de la evidencia.<\/p>\n <\/p>\n Uno de los puntos m\u00e1s importantes en la Inform\u00e1tica Forense es la recolecci\u00f3n de la Evidencia<\/strong>, tambi\u00e9n conocido como Adquisici\u00f3n Forense, ya que, si al momento de tomar la evidencia no se cumplen ciertos requisitos puede echarse a perder todo el an\u00e1lisis posterior. Es tan importante hacer hincapi\u00e9 en este proceso ya que la m\u00ednima alteraci\u00f3n de la evidencia podr\u00e1 llevar a cabo la invalidez de toda una investigaci\u00f3n.<\/p>\n En este art\u00edculo se explicar\u00e1 principalmente c\u00f3mo recolectar los datos de un disco r\u00edgido sin la alteraci\u00f3n de los mismos utilizando herramientas OpenSource y gratuitas.<\/p>\n En este caso se usar\u00e1 la distribuci\u00f3n Linux DEFT Zero, la cual dispone de todas las herramientas necesarias para realizar la toma de evidencia. Para la misma utilizaremos una herramienta muy sencilla y \u00fatil a la vez: dd.<\/p>\n Seg\u00fan las Buenas Pr\u00e1cticas del Servicio Secreto de Estados Unidos, estos son algunos puntos importantes a tener en cuenta al momento de comenzar con la recolecci\u00f3n de la evidencia dentro del \u00e1mbito de la Inform\u00e1tica Forense:<\/p>\n <\/p>\n Tal Y como se dijo al principio del art\u00edculo, lo m\u00e1s importante es que al momento de la recolecci\u00f3n la evidencia no sea alterada. Por tal motivo, es indispensable que el sistema con el que trabajemos no monte las unidades conectadas de manera autom\u00e1tica, ya que si el mismo es montado la evidencia se altera. La versi\u00f3n de DEFT Zero que utilizaremos no monta las unidades autom\u00e1ticamente.<\/p>\n <\/p>\n En este caso, sabemos que contamos con 2 unidades de disco. Ambos de tecnolog\u00eda SATA, por lo tanto, el sistema los reconocer\u00e1 como sd. El que contiene la evidencia a recolectar tiene un tama\u00f1o de 100MB y el otro de 1GB. Para ver c\u00f3mo los reconoce el sistema es necesario ver los logs.<\/p>\n <\/p>\n En donde identificamos ambos discos. En el caso de la evidencia el sistema lo detect\u00f3 como sda y el otro como sdb. Por lo tanto, para guardar la evidencia necesitaremos montar nuestro disco, en particular la unidad l\u00f3gica del mismo (sdb1).<\/p>\n <\/p>\n La recolecci\u00f3n de evidencia se puede hacer por partici\u00f3n o por disco. Es recomendable trabajar con el disco completo, ya que si eligi\u00e9semos trabajar con particiones y fuese necesario buscar informaci\u00f3n borrada en el disco no estaremos analizando las partes que no se encuentren particionadas. Durante todo el post se realizar\u00e1n copias de disco completo, o como se lo conoce: Adquisici\u00f3n F\u00edsica.<\/p>\n Es un comando de la familia de los Sistemas Operativos Unix\/Linux que permite copiar a bajo nivel (bit a bit o bloque a bloque) cualquier archivo dentro del sistema. Es importante recordar que para este tipo de Sistemas Operativos todo es un archivo. Uno de los puntos fuertes de dd es que copia los datos en crudo (raw data) y otro punto muy importante es que viene por defecto con todas las distribuciones de Unix\/Linux.<\/p>\n Un ejemplo de c\u00f3mo utilizar el comando puede ser el siguiente:<\/p>\n <\/p>\n Para determinar este tipo de tama\u00f1o es importante saber si la unidad se encuentra da\u00f1ada o no, ya que de estarlo es preferible utilizar bloques m\u00e1s peque\u00f1os de manera de reducir la cantidad de datos corruptos. En el caso de encontrar errores en la unidad tambi\u00e9n es recomendable utilizar las opciones conv=noerror,sync. La opci\u00f3n noerror permite continuar despu\u00e9s de encontrar errores y la opci\u00f3n sync permite rellenar los errores encontrados con 0\u2019s.<\/p>\n Si bien con ambos archivos se crean en momentos diferente y se utiliza el par\u00e1metro bs distinto, se puede ver que los HASH\u2019s tanto del dispositivo y de las evidencias tomadas son iguales.<\/p>\n <\/p>\n Una buena metodolog\u00eda para corroborar la integridad de la evidencia es tomando los HASHs de los mismos. En este post se utilizaremos SHA256, esto es debido a que MD5 y SHA1 son algoritmos que se encuentran rotos.<\/p>\n Problemas de espacio Cuando necesitemos volver a ensamblarlo podemos utilizar el comando cat de la siguiente manera:<\/p>\n Siempre tenemos que tener presente comprobar que el HASH sea el mismo que el original, hay que recordar que estamos manejando evidencia y que la misma tiene que ser integra y consistente.<\/p>\n <\/p>\n Otra manera de reducir el tama\u00f1o de la evidencia es comprimir el archivo al momento de generarlo utilizando el comando gzip<\/span><\/p>\n <\/p>\n Claramente el tama\u00f1o del archivo comprimido es muy inferior, pero no debemos olvidar de corroborar su integridad comparando los HASH\u2019s.<\/span><\/p>\n <\/p>\n En el caso que estemos imposibilitados de realizar la copia en el mismo equipo (Adquisici\u00f3n directa), podemos enviar la evidencia por la red a alg\u00fan equipo donde podamos almacenar el archivo. Para este proceso podemos utilizar el comando nc.<\/p>\n <\/p>\n Nuevamente corroboramos que tanto el origen como el destino tienen el mismo contenido.<\/p>\n <\/p>\n Una de las contras de dd es que no muestra progreso y que todas las comprobaciones deben realizarse de forma manual, aunque podemos utilizar las siguientes alternativas:<\/p>\n Utilizando el comando kill, el cual viene con todas las distribuciones Linux podremos ver el estado de nuestra copia bit a bit.<\/p>\n Ojo que si lo utilizamos mal podr\u00edamos matar el proceso de copia y no queremos volver a empezar.<\/p>\n Para que nos diga el estado de dd le pasaremos el par\u00e1metro -USR1, tambi\u00e9n es necesario pasarle el PID. Nos quedar\u00e1 algo por el estilo algo por el estilo:<\/p>\n El comando ps -ef | fgrep .dd | grep -v grep | awk ‘{print $2}’ nos permite extraer el PID, siempre y cuando hayamos utilizado la extensi\u00f3n .dd.<\/p>\n La ejecuci\u00f3n del kill nos dar\u00e1 la siguiente pantalla:<\/p>\n Tambi\u00e9n podr\u00edamos utilizar otra herramienta que nos mantenga al tanto de lo que hace dd, como por ejemplo pv.<\/p>\n pv no viene por defecto con esta distro, con lo cual hay que instalarla desde el repo<\/p>\n <\/p>\n <\/p>\n Como no pod\u00eda ser de otra manera, tenemos que corroborar el HASH de nuestra copia.<\/p>\n <\/p>\n Bueno, hemos hecho un largo recorrido con el copiado bit a bit de la mano del comando dd. Tambien suelen utilizarse otros comandos para realizar adquisiciones bit a bit como pueden ser:<\/p>\n dc3dd, dd_rescue, ewfadquire y para los que les gusta el entorno gr\u00e1fico Guymager.<\/p>\n <\/p>\n <\/p>\n Lo primero que hay que destacar es que el software utilizado en inform\u00e1tica forense solamente es v\u00e1lido si la herramienta utilizada no altera e<\/em><\/span>l medio a analizar<\/em><\/span>.<\/p>\n A continuaci\u00f3n vamos a rese\u00f1ar algunas de las herramientas GRATUITAS disponibles para realizar an\u00e1lisis forenses como la identificaci\u00f3n, preservaci\u00f3n y an\u00e1lisis. Existen muchas m\u00e1s, gratuitas o de pago, pero estas son las de uso gratuito m\u00e1s recomendables.<\/p>\n Casi todas surgen de distribuciones Linux, como pueden ser DEFT, Huemul, SIFT y Santoku. Ya que no todas estas herramientas son utilizadas para realizar la misma tarea, hay que saber cual conviene usar para cada caso ya que cada una tiene sus caracter\u00edsticas particulares.<\/p>\n Es el acr\u00f3nimo de Digital Evidence & Forensic Toolkit, tiene 2 distribuciones: DEFT 8.2 y DEFT Zero rc1<\/p>\n DEFT 8.2<\/strong><\/p>\n Se encuentra basada en Lubuntu 12.10, tiene un tama\u00f1o de 3.1 GB y dispone de una gran variedad de herramientas para realizar nuestras labores forenses, tanto para la adquisici\u00f3n como para el an\u00e1lisis del mismo. Como vemos en la siguiente imagen, en DEFT tenemos distribu\u00eddas las aplicaciones en los siguientes grupos: Analysis, Antimalware, Data Recovery, Hashing, Imaging, Mobile Forensics, Network Forensics, OSINT, Password recovery y Reporting tools.<\/p>\n Descargar DEFT 8.2<\/a><\/p>\n <\/p>\n DEFT Zero rca<\/strong><\/p>\n Es una distribuci\u00f3n Linux reducida de 403 MB dedicada \u00fanicamente para realizar la adquisici\u00f3n forense y despu\u00e9s utilizar otras herramientas que consideremos oportunas.<\/span><\/p>\n Descargar DEFT Zero<\/a><\/p>\n Acr\u00f3nimo de Digital Advanced Response Toolkit, DART es un conjunto de herramientas que trabaja bajo entornos Microsoft. Posee \u00abtools\u00bb\u00b7 de Adquisici\u00f3n entre las que cabe destacar la aplicaci\u00f3n FTK Imager, herramienta gratuita perteneciebte a una empresa lider en el \u00e1mbito forense. Data Recovery, Forensics, Incident Response, Networking, Password, Visualize y Utility son otros de los t\u00f3picos dentro de DART.<\/p>\n Es una distro Linux argentina basada en Debian, dise\u00f1ada de tal manera que tiene un men\u00fa separado en Etapas, adquisici\u00f3n, clonaci\u00f3n y an\u00e1lisis. Tambi\u00e9n est\u00e1n las opciones de Borrado seguro, Celulares y Cifrado. En cada opci\u00f3n del men\u00fa aparece una breve descripci\u00f3n de cada una.<\/p>\n\n
\nSe trata de registrar toda la mayor informaci\u00f3n posible sobre los dispositivos objeto del an\u00e1lisis y generar su documentaci\u00f3n correspondiente. Conviene apuntar las marcas, modelos, n\u00fameros de serie, descripciones lo m\u00e1s completas posibles as\u00ed como todos los datos posibles desde la compra del dispositivo hasta el momento de la entrega, e incluso quien ha tenido acceso al mismo, si se necesita acceso por usuarios y contrase\u00f1as, ubicaci\u00f3n f\u00edsica y un completo registro fotogr\u00e1fico de todos los dispositivos objeto del estudio.<\/li>\n
\nSi ese paso ha de realizarse cuando a\u00fan el dispositivo se encuentra encendido, y una vez detectado el problema de seguridad y lo que ha sido afectado, es importante que el investigador encargado de realizar el an\u00e1lisis forense decida apagar el equipo o no. Se trata de una decisi\u00f3n dif\u00edcil debido a que si el equipo es apagado, pueden existir evidencias que todav\u00eda est\u00e9n en la memoria vol\u00e1til, usuarios conectados, procesos en ejecuci\u00f3n, conexiones existentes, logs del sistema, etc que se perder\u00edan con el apagado. Por lo tanto, y a modo preventivo es interesante y muy \u00fatil hacer un volcado de todo ello con las herramientas apropiadas en cada caso antes de apagar el equipo.
\nSi trabajamos sobre un dispositivo desconectado de corriente, tenemos que saber que nunca se ha de trabajar sobre los dispositivos originales, antes de empezar se ha de apuntar sus claves \u00abhash\u00bb en s\u00f3lo modo lectura y despu\u00e9s proceder al clonado bit a bit de esos dispositivos con herramientas de an\u00e1lisis forense que no monten esos dispositivos en el sistema para no modifiquen ni un s\u00f3lo bit.
\nSi la clonaci\u00f3n ha sido exitosa, podemos realizar una verificaci\u00f3n por medio de las funciones hash, aplicando algoritmos de cifrado de datos como MD5 o SHA, que nos generar\u00e1 un c\u00f3digo hexadecimal que se ha de comparar con el del disco original y verificar si es el mismo, lo que nos confirmar\u00e1 que se ha realizado una copia exacta del dispositivo y que no se ha cambiado su contenido.
\nLas clonaciones forenses se deben realizar sobre dispositivos preferentemente nuevos y formateados previamente a bajo nivel para eliminar restos de datos anteriores si los hubiera. Lo recomendable es utilizar sistemas de clonado hardware independientes o si no fuera posible alguna distribucion linux Live CD de software forense como Helix, CAINE, ForLEX, EnCase, DEFT Linux, \u2026<\/li>\n
\nEs la etapa donde se lleva a cabo la investigaci\u00f3n de las evidencias digitales iniciales obtenidas. En primer lugar se recolectar\u00e1 informaci\u00f3n sobre los registros de los sistemas analizados, como detectores de intrusi\u00f3n, cortafuegos y ficheros del sistema como carpetas personales.
\nEl acceso a la informaci\u00f3n contenida en los dispositivos se puede analizar de forma f\u00edsica, que no es interpretada por el sistema operativo y de forma l\u00f3gica que es interpretada por el sistema operativo, como puede ser la estructura de directorios, ficheros almacenados y eliminados, horas y fechas de creaci\u00f3n o modificaci\u00f3n, tama\u00f1o, etc.<\/li>\n
\nLa redacci\u00f3n de un informa pericial es donde se recogen todas las evidencias, indicios y pruebas recabadas. Estas deben ser redactadas de una manera clara y sencilla, donde aquel que no sea profesional de la inform\u00e1tica pueda entender claramente lo que se est\u00e1 explicando.
\nEste informe es el instrumento que se utiliza como medio de prueba cuando los jueces quieren conocer, interpretar y valorar lo que en el se expresa.El Informe Pericial viene definido en el Cap\u00edtulo VII de la Ley de Enjuiciamiento Criminal (Real Decreto de 14 de Septiembre de 1882) a trav\u00e9s de los art\u00edculos 456 al 485.
\nUn Juez acordar\u00e1 el Informe Pericial cuando, para conocer o apreciar alg\u00fan hecho o circunstancia importante en el sumario, fueran necesarios o convenientes conocimientos cient\u00edficos o art\u00edsticos (art. 456).
\nLos Peritos pueden ser o no titulares.\u00a0Son Peritos Titulares los que tienen t\u00edtulo oficial de una ciencia o arte cuyo ejercicio est\u00e9 reglamentado por la Administraci\u00f3n<\/strong>. Son peritos no titulares los que, careciendo de t\u00edtulo oficial, tienen sin embargo, conocimientos o pr\u00e1cticas especiales en alguna ciencia o arte (art. 457).
\nEl Juez se valdr\u00e1 de Peritos Titulares con preferencia a los que no tuviesen t\u00edtulo (art. 458).<\/strong>No podr\u00e1n prestar Informe Pericial acerca del delito las personas ofendidas, es decir, toda aquella que seg\u00fan el art\u00edculo 416 no est\u00e1n obligadas a declarar como testigos. Si un Perito presentara Informe Pericial y estuviera comprendido en alguno de los casos citados en el mencionado art\u00edculo, y lo hiciera sin poner antes esa circunstancia en conocimiento del Juez que le hubiese nombrado incurrir\u00eda en una multa de 200 a 5.000 euros, a no ser que el hecho diera lugar a responsabilidad criminal (art. 464).
\nAntes de darse principio al acto pericial, todos los peritos, as\u00ed nombrados por el Juez como los que lo hubieran sido por las partes, prestar\u00e1n juramento, conforme al art\u00edculo 434, de proceder bien y fielmente en sus operaciones, y de no proponerse otro fin mas que el de descubrir y declarar la verdad (art. 474).Tenemos que tener en cuenta, que por lo general, los jueces tienen las visiones que les aportan la Fiscal\u00eda y la Defensa, pero ambas est\u00e1n sesgadas por sus respectivos objetivos de acusar y defender. Por lo tanto, requieren una opini\u00f3n exterior que les aporte objetividad sobre el tema a debatir en el juicio.\u00a0 Es por ello que, en estos casos, es el especialista en peritaje quien se encarga de realizar una evaluaci\u00f3n de los hechos desde su campo de conocimiento y especialidad aportando datos objetivos que pueden o no beneficiar a las partes implicadas.El Informe Pericial comprender\u00e1 siempre que sea posible<\/strong>:<\/li>\n<\/ol>\n\n
\nCabe recordar que a nivel nacional (Espa\u00f1a), la norma UNE 197010:2015, de \u00abCriterios generales para la elaboraci\u00f3n de informes y dict\u00e1menes periciales sobre Tecnolog\u00edas de la Informaci\u00f3n y las Comunicaciones (TIC)\u00bb publicada por AENOR, define la forma en que debe redactarse un informe pericial inform\u00e1tico.Hay que recordar que\u00a0la principal caracter\u00edstica que se busca en un Informe Pericial es la objetividad del mismo en grado m\u00e1ximo que emana, obviamente, de la objetividad del Perito.<\/strong><\/li>\n<\/ul>\nGlosario de t\u00e9rminos en Inform\u00e1tica Forense<\/strong><\/em><\/h3>\n
LA ADQUISICI\u00d3N EN LA INFORM\u00c1TICA FORENSE<\/h2>\n
Introducci\u00f3n<\/strong><\/em><\/h3>\n
Buenas Pr\u00e1cticas antes de comenzar la recolecci\u00f3n<\/em><\/h3>\n
\n
Identificando unidades<\/em><\/h3>\n
<\/p>\n<\/p>\n<\/p>\nRecolectando la evidencia<\/em><\/h3>\n
El comando \u00abdd\u00bb<\/em><\/h3>\n
<\/p>\n<\/p>\n
\nDebido a que en la actualidad los discos r\u00edgidos son muy grandes y en el hipot\u00e9tico caso de que necesitemos partir el archivo, podemos utilizar el comando split (tambi\u00e9n incorporado en todos los sistemas Linux)<\/p>\nsplit -d -b 50m artefacto01.dd artefacto-partido<\/code><\/pre>\n<\/div>\ncat artefacto-partido* >> artefacto-reensamblado.dd<\/code><\/pre>\n<\/div>\n<\/p>\n<\/p>\n<\/p>\nAdquisici\u00f3n Indirecta<\/em><\/h3>\n
<\/p>\n<\/p>\nkill -USR1 $(ps -ef | fgrep .dd | grep -v grep | awk '{print $2}')<\/code><\/pre>\n<\/div>\n<\/p>\napt-get update\r\napt-get install pv<\/code><\/pre>\n<\/div>\n<\/p>\n<\/p>\nDISTRIBUCIONES LINUX DEDICADAS A LA INFORM\u00c1TICA FORENSE<\/h2>\n
DEFT<\/strong><\/h3>\n
<\/p>\n<\/p>\n<\/h3>\n
DART<\/strong><\/h3>\n
<\/p>\nHuemul<\/strong><\/h3>\n
![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-02-04.png\")
<\/p>\n![\"\"](\"https:\/\/promocionalia.es\/web\/wp-content\/uploads\/forensic-02-05.jpg\")
<\/p>\n