Perit Informàtic Forense
La informàtica forense és la pràctica de la recopilació, anàlisi i presentació d’informes sobre les dades digitals d’una manera que sigui legalment admissible. Es pot utilitzar en la detecció i prevenció del delicte i en qualsevol controvèrsia en què l’evidència s’emmagatzema digitalment. Aquesta disciplina segueix un procés similar al d’altres disciplines forenses, i s’enfronta a problemes similars.
Hi ha poques àrees de la delinqüència o de litigis en què no es pugui aplicar la informàtica forense. Les forces de seguretat han estat entre els usuaris més antics i més intensius de la informàtica forense i en conseqüència han estat sovint a l’avantguarda dels avenços en el camp.
Els equips informàtics poden constituir una «escena del crim», per exemple, amb la pirateria o atacs de denegació de servei, o poden aportar proves en forma de correus electrònics, historial d’Internet, documents o altres arxius relacionats amb delictes com l’assassinat, segrest, frau, tràfic de drogues, pornografia infantil, etc.
Què es pot analitzar?
- Equips informàtics (servidors i equips personals)
- Comptes de correus electrònics i missatges associats
- Dispositius d’emmagatzematge extern: memòries USB, targetes SD, CD, DVD
- Telèfons mòbils, smartphones, tauletes, PDA…
- Sistemes de bases de dades
- Fòrums i xarxes socials
- Llocs web desapareguts davant l’amenaça d’una investigació
- Sistemes de programari complexos (ERP, CRM, solucions de comptabilitat, etc.)
No és només el contingut dels correus electrònics, documents i altres arxius que pot ser d’interès per als investigadors, sinó també allò que el perit informàtic forense dona a conèixer amb el nom de metadades. Aquestes metadades es troben associades als arxius.
Més recentment, les organitzacions comercials han utilitzat la informàtica forense en el seu benefici en una varietat de casos, com ara:
- El robatori de la Propietat Intel·lectual
- L’espionatge industrial
- Disputes en un entorn laboral
- Investigacions de frau
- Falsificacions
- Investigacions de fallida
- Ús de correu electrònic de manera inapropiada i ús d’Internet al lloc de treball
- Compliment de normatives
Consulta l’apartat de serveis oferts dins de la cartera de perit informàtic i informàtica forense.
Protocol
Perquè una prova digital sigui admissible ha de ser fiable i no perjudicial, cosa que significa que en totes les etapes d’un equip forense, l’admissibilitat de la investigació ha de ser prioritària en el treball del forense informàtic.
Els quatre principis fonamentals per a una anàlisi forense feta per un perit informàtic són:
- Cap acció no ha de canviar les dades en poder d’un equip o mitjans d’emmagatzematge que després es podran impugnar davant dels tribunals.
- En els casos en què una persona es veu obligada a accedir a les dades originals guardades en un ordinador o mitjans d’emmagatzematge, aquesta persona ha de ser competent per fer-ho i ser capaç de donar proves que aclareixin la rellevància i les conseqüències de les seves accions.
- S’ha de mantenir un registre fidedigne de les auditories i altres registres efectuats sobre tots els processos que s’apliquen a les proves electròniques en un sistema informàtic. Una tercera persona independent ha de ser capaç d’examinar els processos i obtenir el mateix resultat.
- La persona al capdavant de la investigació té la responsabilitat global de garantir que la llei i aquests principis es compleixin.
Fases de treball del forense informàtic
Més informació sobre la presentació
Aquesta etapa generalment implica l’elaboració d’un informe estructurat en què es respon a les qüestions inicials, juntament amb les troballes fetes a posteriori per l’examinador. També cobriria qualsevol altra informació que l’examinador consideri pertinent per a la investigació.
L’informe ha d’estar escrit amb el lector final en ment; en molts casos el lector no té un perfil tècnic, per la qual cosa la terminologia ha de ser adequada al lector. No s’ha de confondre això últim com una justificació per no conèixer i emprar el llenguatge tècnic, ja que l’informe ha de satisfer també les exigències tècniques suficients perquè les conclusions siguin probatòries.
Més informació sobre la preparació
És una etapa crítica i de vital importància i que moltes vegades es passa per alt en el procés d’examen. Aquesta etapa pot incloure, per exemple, l’educació o formació dels clients (empreses) sobre la preparació del sistema; per exemple, els exàmens forenses proporcionaran evidències de més consistència i valor si les característiques o opcions d’auditoria d’un dispositiu s’han activat abans de qualsevol incident que es produeixi; per exemple fent ús dels arxius de log. Per tant, el perit forense informàtic té com a tasca també donar a conèixer als seus clients les opcions existents dels sistemes involucrats en les infraestructures IT d’una empresa.
Més informació sobre l’avaluació
L’etapa d’avaluació inclou la recepció d’instruccions, l’aclariment d’aquestes instruccions i l’assignació de funcions i recursos. L’anàlisi de riscos per a l’aplicació de la normativa pot incloure una avaluació de la probabilitat d’amenaça física en entrar a la propietat d’un sospitós i la millor manera de contrarestar-la. Les organitzacions comercials, administració i clients particulars també han de ser conscients dels problemes de salut i seguretat, conflictes d’interessos i dels possibles riscos financers — i per a la seva reputació — en l’acceptació d’un projecte en particular.
L’avaluació ha de ser un procés meticulós en què el perit informàtic ha de conèixer amb la major exactitud possible els antecedents i l’objecte de l’anàlisi pericial o auditoria a realitzar.
Més informació sobre la col·lecció
Si l’adquisició es duu a terme al lloc i no en un laboratori d’informàtica forense, aleshores aquesta etapa inclouria la identificació de dispositius que poden emmagatzemar les evidències i assegurar l’escena de la recollida d’aquestes proves. Les entrevistes o reunions amb personal que pugui disposar d’informació pertinent per a l’examen (usuaris finals dels equips, el director, la persona responsable de la prestació de serveis informàtics, …) en general es duen a terme en aquesta etapa.
L’etapa de col·lecció també inclou l’etiquetatge i l’embossat d’elements probatoris al lloc, per ser segellats en bosses o sobres a prova de manipulacions. A Forenlab comptem amb material de protecció per a discos, targetes i dispositius USB a prova de cops, aigua, etc., per tal de garantir el transport del material utilitzat fins al nostre laboratori forense.
Més informació sobre l’anàlisi
L’anàlisi depèn de les característiques específiques de cada treball. El perit informàtic normalment proporciona informació al client durant l’anàlisi i d’aquest diàleg l’anàlisi pot prendre un camí diferent o ser reduïda a àrees específiques. L’anàlisi ha de ser precisa, completa, imparcial, registrada i repetible.
Hi ha múltiples eines disponibles per a l’anàlisi forense. Els principals requisits d’una eina informàtica forense són que faci el que se suposa que ha de fer, i l’única manera que els examinadors se n’assegurin és posar-la a prova regularment i calibrar les eines en què es basa l’anàlisi. És conegut al sector l’existència de pseudoprofessionals la feina dels quals es basa únicament en l’execució d’una eina automàtica que proporciona informes estàndard sense saber en què es basen els resultats obtinguts. Objectivament, aquest tipus de proves sempre porten resultats nefastos per als sol·licitants ja que en l’interrogatori de la vista, si s’arriba a l’obertura d’un procés judicial, el perit ha de tenir la capacitat d’afrontar totes les preguntes que se li facin, justificant els resultats.
Per a la verificació del funcionament correcte d’una eina s’utilitza el procés de doble ús (si amb l’eina «A» de l’examinador es troba l’artefacte «X» a la posició «Y», aleshores l’eina «B» ha de replicar aquests resultats).
Més informació sobre la revisió
Igual que en l’etapa de preparació, l’etapa de revisió sovint es passa per alt. Això pot ser degut als costos percebuts de fer una feina que no és facturable, o la necessitat de «seguir endavant». No obstant això, la incorporació de la revisió en cada pericial informàtica pot ajudar a estalviar diners i, sobretot, augmentar el nivell de qualitat de l’informe presentat pel perit informàtic.
Una revisió d’una anàlisi pot ser simple, ràpida i pot començar durant qualsevol de les etapes anteriors. Qualsevol lliçó apresa en aquesta etapa s’ha d’aplicar a l’examen següent i introduir-se a l’etapa de preparació.