ReYDeS's blog

Durante muchos años los clientes han solicitado los sistemas operativos y aplicaciones proporcionen cada vez más funcionalidades. Los proveedores continuamente se apresuran a satisfacer este requerimiento, mientras también intentan incrementar las ganancias y su participación en el mercado. Esta combinación de competir en el mercado y mantener una ventaja competitiva, ha resultado en software conteniendo fallas, fallas las cuales abarcan desde las únicamente molestas, hasta críticas y peligrosas vulnerabilidades las cuales directamente afectan el nivel de protección del cliente.

En algunas investigaciones, las actividades de impresión correspondientes a un sospechoso pueden ser relevantes. Como se podría esperar, la impresión también puede dejar algunos rastros para el profesional forense. Probablemente se ha percibido un ligero retraso después de mandar la impresión. Este retraso es un indicador de un proceso denominado “spooling” o mandar hacia un cola de impresión, este proceso almacena el trabajo hasta pueda ser imprimido en el momento más conveniente para la impresora. Durante este procedimiento, Windows crea un par de archivos complementarios.

El registro de Windows tiene un rol crucial en la operación de una computadora. Microsoft define el registro de Windows, como simplemente una base de datos para archivos de configuración. También se le podría describir como el sistema nervioso central del sistema. En este contexto, se puede percibir cuan crítico es el registro para una computadora Windows.

Las computadoras algunas veces necesitan descansar, y pueden tomar una siesta como los seres humanos. A través de este proceso de “ciber siesta”, se pueden generar más potenciales pruebas, dependiendo de cuan “profunda” la computadora vaya a dormir. Los modos de “Dormir” o hibernación, guardan datos hacia el dispositivo de almacenamiento, en lugar de simplemente mantenerlo en la memoria RAM. Como se conoce, los datos escritos hacia el dispositivo de almacenamiento por si mismo, son más persistentes y pueden ser recuperados.

Para un usuario “normal” o promedio, el presionar la tecla “borrar” proporciona un sentido satisfactorio de seguridad. Con el clic de un ratón, se piensa los datos se han borrado por siempre, nunca más volviendo a aparecer. Contrariamente a la creencia de muchas personas, el presionar la tecla “borrar”, no hace nada con los datos por si mismo. El archivo no se va a ninguna parte. El “borrar” un archivo únicamente le indica a la computadora, el espacio ocupado por un archivo está disponible si la computadora lo necesita. Los datos borrados residirán allí hasta otro archivo lo sobrescriba.

Existe una frase la cual expresa; “Los ojos son las ventanas del alma”, pero para el profesional forense, las ventanas son el alma de la computadora. Son muy altas las probabilidades para los profesionales forenses, de encontrarse frecuentemente con sistemas operativos Windows cuando realizan sus investigaciones. La buena noticia es la posibilidad de utilizar Windows como una herramienta para la recuperación de datos, y rastrear las huellas dejadas por los usuarios.

Al concluir el análisis forense, el profesional generará un reporte final detallando todo lo realizado, aquello encontrado, y los hallazgos. Idealmente los reportes necesitan ser elaborados, teniendo en consideración a la audiencia prevista. En realidad, muchos reportes se leen como su fuesen un manual de usuario de un transbordador espacial. No únicamente estos reportes pueden ser difíciles de leer, también pueden resultar intimidatorios.

¿Cómo es posible saber si la imagen forense creada, es un duplicado exacto del dispositivo de almacenamiento original conteniendo evidencia?. La respuesta viene en la forma de un valor “Hash”. Un Hash es un valor único generado por un algoritmo criptográfico. Los valores Hash (funciones) son utilizados en una diversidad de maneras, incluyendo integridad de la evidencia y criptografía. Los valores Hash son comúnmente referidos como una “huella digital” o un “ADN digital”. Cualquier cambio en el dispositivo de almacenamiento, incluso un sólo bit, resultará en valor Hash diferente.

Esta etapa del proceso forense requiere aún mayor concentración comparado con las etapas previas. Una vez se inicia, se debe trabajar ininterrumpidamente hasta el proceso sea completado. De otra manera, esto es una invitación para cometer errores. Antes de comenzar, se debe acopiar todo lo necesario; formularios de reporte, lapiceros, herramientas para la captura de memoria, entre otros artículos requeridos. Cada interacción con la computadora debe ser anotada. Se puede utilizar las perspectiva de acción y respuesta, es decir “Se realiza tal acción y la computadora realizó tal acción”.

El realizar una recolección forense desde un sistema en funcionamientos no es un procedimiento rudimentario. A continuación un ejemplo sobre un escenario donde debe aplicarse. Al encontrarse con una computadora funcionando en la escena de un incidente, se necesita inicialmente responder dos preguntas. Primero; ¿La potencial evidencia a ser recuperada merece el esfuerzo y tiempo?. En algunos casos la respuestas puede ser “no”. En casos los cuales involucran Malware o software malicioso, la memoria RAM es de vital importancia.