๐ป El proceso informรกtico forense puede ser dividido en tres pasos.
โ ๐ด๐ ๐๐ ๐๐๐๐๐๐ ๐๐๐๐, ๐๐ ๐๐๐๐๐๐๐๐๐ ๐๐ ๐๐๐๐๐๐๐๐ ๐ข ๐๐ ๐๐๐๐๐๐๐๐ ๐๐๐ฬ๐๐๐๐๐.
โ ๐ด๐ ๐๐ ๐๐๐๐๐๐๐ ๐๐๐๐, ๐๐ ๐๐๐๐๐๐๐๐๐ ๐๐ ๐๐๐๐๐๐ฃ๐.
โ E๐ ๐๐ ๐๐๐๐๐๐ ๐๐๐๐, ๐๐ ๐๐๐๐ ๐๐ ๐๐๐๐๐๐๐, ๐๐๐ ๐๐๐๐ ๐๐๐ ๐๐๐๐๐๐๐๐๐๐๐๐ ๐๐๐๐๐๐๐ ๐๐๐๐ ๐๐๐ ๐๐๐๐๐๐๐๐ ๐๐๐ ๐๐๐๐๐๐๐๐๐๐๐๐๐ ๐๐ฬ๐๐๐๐๐๐.
๐จ๐๐๐๐ ๐๐๐๐, ๐๐๐๐๐๐๐ ๐๐๐๐๐๐ ๐๐ ๐๐๐๐ ๐๐ ๐๐๐ ๐ ๐๐๐ ๐ ๐ ๐๐๐๐๐ ๐๐๐๐ ๐๐๐๐๐.โโ
๐๐ ๐๐๐ฃ๐๐ ๐ก๐๐๐๐๐๐ ๐๐๐๐๐๐ ๐ ๐ก๐๐๐๐ ๐๐ข๐ ๐๐๐๐๐๐ ๐๐ ๐๐๐๐ ๐๐ ๐๐๐๐ข๐๐๐๐ ๐๐ ๐๐ฃ๐๐๐๐๐๐๐ ๐๐ข๐ ๐๐๐๐ข๐ง๐๐ ๐๐ ๐๐ฬ๐๐๐๐ ๐๐ ๐๐ฬ๐๐๐๐๐ ๐๐ ๐๐๐ก๐๐ . ๐ด๐ ๐ฬ ๐๐๐ ๐๐, ๐๐๐๐๐๐ฬ ๐๐๐ข๐๐๐ ๐ก๐๐๐ ๐๐ ๐๐ฃ๐๐๐๐๐๐๐ ๐๐ข๐ ๐ ๐๐ ๐ฃ๐๐๐๐๐๐๐๐๐๐๐๐ก๐ ๐๐๐๐ก๐๐๐๐๐ก๐, ๐ฆ ๐๐๐๐ก๐๐๐๐ ๐๐ ๐๐๐ก๐๐๐๐๐๐๐ ๐๐ ๐๐๐ ๐๐๐๐๐๐๐๐๐๐ , ๐๐๐๐๐๐๐ ๐๐๐๐๐๐ , ๐ฆ ๐ ๐๐๐๐๐๐ ๐๐๐๐๐๐ฬ ๐ก๐๐๐๐๐๐๐ ๐๐ ๐๐๐ ๐๐๐๐๐๐ ๐๐ข๐๐๐ ๐๐ ๐๐๐ ๐๐๐๐๐๐๐๐๐๐ .
๐๐๐ ๐๐ก๐๐ ๐๐๐๐ก๐, ๐๐๐๐๐๐ฬ ๐๐ฃ๐๐ก๐๐ ๐๐ ๐๐๐ ๐ก๐๐ข๐๐๐๐ฬ๐ ๐๐ ๐๐๐ ๐๐๐ก๐๐ ๐ฃ๐๐๐ฬ๐ก๐๐๐๐ , ๐๐๐ ๐๐๐ก๐๐ ๐๐ข๐ ๐๐๐๐ก๐๐ ๐๐๐ฬ๐ก๐๐๐๐ , ๐๐ ๐๐๐ก๐๐๐๐๐๐ฬ๐ ๐๐ ๐๐๐ ๐๐๐๐๐๐ ๐๐ ๐ก๐๐๐๐๐, ๐ข๐ก๐๐๐๐ง๐๐๐๐ ๐๐๐๐๐๐๐๐ ๐๐ ๐๐๐๐๐๐๐๐ง๐ ๐ โ๐๐๐๐๐๐๐๐๐ก๐๐ , ๐ฆ ๐ ๐๐๐๐๐๐ ๐๐๐๐๐๐ฬ ๐๐๐ข๐ ๐ก๐๐ ๐๐ ๐ ๐๐ ๐ก๐๐๐ ๐๐๐ก๐๐ ๐๐ ๐๐ ๐๐๐๐๐ข๐ก๐๐๐๐ฬ๐ ๐๐ ๐๐ ๐๐ฃ๐๐๐๐๐๐๐ ๐ ๐ก๐๐๐ฃ๐ฬ๐ ๐๐ ๐๐๐๐โ๐๐ ๐ ๐๐๐ก๐ข๐๐๐๐ง๐๐๐๐๐๐๐ .
โ๐ช๐ญ๐ฌ๐ฏ๐ฑ๐๐ซ๐ฑ๐ข: ๐ฉ๐ ๐ข๐ณ๐ฆ๐ก๐ข๐ซ๐ ๐ฆ๐ ๐ก๐ฆ๐ค๐ฆ๐ฑ๐๐ฉ ๐ก๐ข๐๐ข ๐ฐ๐ข๐ฏ ๐ญ๐ฏ๐ข๐ฐ๐ข๐ฏ๐ณ๐๐ก๐ ๐ข๐ซ ๐ฐ๐ฒ ๐ข๐ฐ๐ฑ๐๐ก๐ฌ ๐ฌ๐ฏ๐ฆ๐ค๐ฆ๐ซ๐๐ฉ.
๐๐ข ๐ญ๐ฆ๐บ ๐ณ๐ฆ๐ฒ๐ถ๐ช๐ฆ๐ณ๐ฆ ๐ฒ๐ถ๐ฆ ๐ญ๐ข ๐ฆ๐ท๐ช๐ฅ๐ฆ๐ฏ๐ค๐ช๐ข ๐ด๐ฆ๐ข ๐ข๐ถ๐ต๐ฆฬ๐ฏ๐ต๐ช๐ค๐ข ๐บ ๐ด๐ช๐ฏ ๐ข๐ญ๐ต๐ฆ๐ณ๐ข๐ค๐ช๐ฐ๐ฏ๐ฆ๐ด ๐ฑ๐ข๐ณ๐ข ๐ฒ๐ถ๐ฆ ๐ด๐ฆ๐ข ๐ข๐ฅ๐ฎ๐ช๐ด๐ช๐ฃ๐ญ๐ฆ ๐ข๐ฏ๐ต๐ฆ ๐ถ๐ฏ ๐ต๐ณ๐ช๐ฃ๐ถ๐ฏ๐ข๐ญ ๐ฅ๐ฆ ๐ซ๐ถ๐ด๐ต๐ช๐ค๐ช๐ข.
โโโข โโคโโโโโโโข โโโขโ
Estas son utilizadas por los investigadores forenses de dos maneras.
๐ En primer lugar, para verificar positivamente que una unidad de archivo o todo el disco no ha sido alterado, comparando el mensaje de una copia con el mensaje del original.
๐ En segundo lugar, para verificar que los archivos, discos duros, y sus copias estรกn intactos, y no han cambiado durante la investigaciรณn.
โฌ Para ello deberรก hacer una copia de flujo de bits: una imagen de bits, bit a disco duro de todos los sectores. Esta se realiza en el nivel del disco duro, no a nivel de sistema de archivos.
โฌ Luego se copian los metadatos y los bloques de datos en su totalidad, independientemente de si estรกn asignados a un archivo activo o no y tambiรฉn copia el espacio de holgura.
โฌ Recuerde que los discos duros almacenan los archivos en grupos de un cierto tamaรฑo, y el espacio de inactividad representa la ubicaciรณn del final de un archivo en un disco.
โฌ En este espacio de holgura, un investigador forense puede encontrar archivos borrados, o al menos los fragmentos de archivos borrados y los datos ocultos.
โฌ Dado que los archivos de registro a menudo se eliminan por los cyber delincuentes, รฉstos pueden aparecer en el espacio de holgura o en el espacio no asignado.
โฌ Cuando se elimina un archivo, el sistema operativo marca la ubicaciรณn como disponible, pero el archivo que se elimina del sistema estรก todavรญa allรญ en el espacio no asignado hasta que el sistema operativo decide utilizar ese lugar para un nuevo archivo.
โฌ Tambiรฉn los datos podrรญan estar ocultos a travรฉs de cรณdigos, dando a los archivos un aspecto inocente o un significado alternativo.
โฅ Una forma de hacer esto es a travรฉs de un proceso conocido como ๐๐๐๐๐๐๐๐๐๐๐๐๐ฬ๐, que oculta los archivos y los datos dentro de otros archivos.
โฅ Los archivos tambiรฉn podrรญan estar ocultos con nombres de archivo o extensiones engaรฑosas, pero esto no va a engaรฑar a las herramientas forenses.
โฅ Las herramientas miran los primeros bytes de un archivo, y en base a estas firmas conocidas, se identifica quรฉ tipo de archivo es, independientemente de la extensiรณn.
๐ญ๐๐๐ ๐
๐ ๐๐๐ฬ๐๐๐๐๐
๐ด๐ ๐๐ ๐๐๐ ๐๐๐๐๐๐๐ ๐๐๐๐๐๐๐๐๐ ๐ ๐๐๐๐๐๐๐ ๐๐ ๐๐ก๐๐๐๐๐๐๐๐ ๐๐ ๐๐ ๐๐๐๐๐๐๐๐๐. ๐ด๐ ๐๐๐๐ ๐๐ ๐๐๐๐๐๐ ๐๐๐๐๐๐๐๐๐ ๐ ๐๐๐ ๐๐๐๐๐๐๐๐๐๐ ๐๐๐๐๐๐๐๐๐:
ยฟ๐๐๐ฬ ๐๐ ๐๐๐๐ ๐๐ ๐๐๐๐ ๐๐๐๐๐๐๐?
ยฟ๐๐๐ฬ ๐๐๐๐ ๐๐ ๐๐๐๐๐๐๐๐๐ ๐๐?
ยฟ๐๐๐ฬ ๐๐๐๐๐๐๐๐ ๐๐๐๐๐๐ ๐๐๐๐๐๐๐๐๐ ๐๐๐๐๐๐๐ ๐ ๐๐๐๐๐๐๐๐๐๐๐๐๐๐?
ยฟ๐ฟ๐๐๐ ๐๐๐ฬ ๐๐ ๐๐๐๐๐๐?
ยฟ๐ด๐ก๐๐๐๐๐ ๐๐๐๐๐๐๐๐ ๐ ๐๐๐๐๐ ๐๐๐๐๐๐๐๐๐๐๐๐ ๐๐๐ฬ๐๐๐๐๐ ๐ ๐๐๐๐๐๐๐๐๐?
ยฟ๐ฒ๐๐ฬ๐ ๐๐ ๐๐ ๐๐๐ฬ๐?
ยฟ๐ฒ๐๐ฬ๐ ๐๐ ๐๐ ๐๐๐๐๐๐๐ ๐๐๐๐๐๐๐๐๐?
๐๐๐ฌ๐ฉ๐ฎ๐ฬ๐ฌ ๐๐ ๐ฅ๐ ๐ข๐ง๐ฏ๐๐ฌ๐ญ๐ข๐ ๐๐๐ข๐จฬ๐ง, ๐ฌ๐ ๐๐ฌ๐๐ซ๐ข๐๐ข๐ซ๐ฬ ๐ฎ๐ง ๐ข๐ง๐๐จ๐ซ๐ฆ๐.
Los procedimientos paso a paso de la formaciรณn de imรกgenes, los detalles de cada ensayo, las herramientas utilizadas, y los hechos descubiertos deben ser escritos en una forma no tรฉcnica para que los abogados, el juez, y el jurado puedan entender todo lo que el investigador estรก presentando como pruebas.
โ๐ช๐ญ๐ฌ๐ฏ๐ฑ๐๐ซ๐ฑ๐ข: ๐ ๐ฒ๐๐ฉ๐ฎ๐ฒ๐ฆ๐ข๐ฏ ๐ข๐ฏ๐ฏ๐ฌ๐ฏ, ๐ฆ๐ซ๐ ๐ฉ๐ฒ๐ฐ๐ฌ ๐ข๐ซ ๐ฑ๐ขฬ๐ฏ๐ช๐ฆ๐ซ๐ฌ๐ฐ ๐ก๐ข ๐ฉ๐ ๐ฌ๐ฏ๐ฑ๐ฌ๐ค๐ฏ๐๐ฃ๐ฆฬ๐ ๐ฌ ๐ฉ๐ ๐ค๐ฏ๐๐ช๐ฬ๐ฑ๐ฆ๐ ๐, ๐ญ๐ฌ๐ก๐ฏ๐ฆฬ๐ ๐ญ๐ฌ๐ซ๐ข๐ฏ ๐ข๐ซ ๐ก๐ฒ๐ก๐ ๐ฑ๐ฌ๐ก๐ฌ ๐ข๐ฉ ๐ฆ๐ซ๐ฃ๐ฌ๐ฏ๐ช๐ข ๐ถ ๐๐ฏ๐ฏ๐ฒ๐ฆ๐ซ๐๐ฏ ๐ข๐ซ ๐ฐ๐ฒ ๐ฑ๐ฌ๐ฑ๐๐ฉ๐ฆ๐ก๐๐ก ๐ฑ๐ฌ๐ก๐ฌ ๐ข๐ฉ ๐ฑ๐ฏ๐๐๐๐ง๐ฌ ๐ฏ๐ข๐๐ฉ๐ฆ๐ท๐๐ก๐ฌ ๐ข๐ซ ๐ฉ๐ ๐ฃ๐๐ฐ๐ข ๐ก๐ข ๐๐ซ๐ฬ๐ฉ๐ฆ๐ฐ๐ฆ๐ฐ.
Todo lo que se escriba o necesite ser documentado en ese informe, deberรก incluir el fabricante, el modelo, y el nรบmero de serie de los discos duros y componentes del sistema, los dispositivos perifรฉricos conectados al sistema, una descripciรณn de las pruebas, el nรบmero de caso, el nรบmero de etiqueta de elemento de prueba, asรญ como los algoritmos hash y resรบmenes de mensajes de la evidencia digital.
Entre los elementos que deben estar claramente documentados y probados son:
๐ La fecha y la hora โ cuando se recogiรณ la evidencia, el nombre completo y firma de todas las personas que poseen la evidencia, la ubicaciรณn de las pruebas, y toda la recepciรณn y la transferencia de la evidencia. ๐ค
Este proceso de conservaciรณn, conocido como la cadena de custodia, ocurre a lo largo de toda una investigaciรณn, desde la adquisiciรณn de la evidencia a travรฉs del tiempo, hasta que el investigador brinda el testimonio como testigo experto en un tribunal de justicia.
La cadena de custodia se utiliza para mantener un registro de cรณmo se ha manejado la evidencia desde el momento en que se recogiรณ hasta el momento en que se presentรณ en la corte.
ยฟQuiรฉn estuvo en posesiรณn de la evidencia, cรณmo y cuรกndo?
ยฟQuiรฉn tenรญa las llaves de las habitaciones donde se almacenรณ?
ยฟFue almacenada a prueba de falsificaciones?
Si existe alguna discrepancia en las respuestas a estas preguntas o deficiencias en esta cadena de custodia podrรญan causar que la evidencia sea inadmisible.