Ordenar información para informes efectivos

Clase 44 de 49 • Curso de Informática Forense

De manera similar al reto del módulo anterior, en este reto deberás ordenar la información que obtuviste como parte del análisis. Recuerda publicar tus resultados en la sección de comentarios, para que podamos discutir acerca de las dudas o sugerencias que tengas sobre lo que crees que vale la pena incluir en un informe de este tipo.

En la siguiente sección estaremos dándole la forma final a nuestros informes.

Comentarios

Diana Sisley Reinoso Caicedo

student•

Ejercicio INFORME DE ANÁLISIS PRELIMINAR DE UN ENTORNO A PARTIR DE LA EVIDENCIA PRESERVADA Realizado por: Diana Sisley Reinoso Caicedo. Introducción al caso: Se requiere conocer la información existente en la memoria volátil (RAM) de un computador portátil YOGO Lenovo. Con las siguientes características de interés de su sistema: Windows 10 Home, 64 bits, RAM instalada 4 GB (3.8 GB para usar). Inventario de evidencia identificada: Para la adquisición de la información existente en la memoria volátil, se utilizó FTK imager v.4.7.1.2. del desarrollador Access data, versión libre. Se procedió utilizar la opción “capture memory”, y se dieron los parámetros para el proceso técnico, entre éstos, en la unidad donde se almacena. Reportes de adquisición de evidencia: Se generan los hashes MD5 y SHA1 para garantizar la integridad. MD5: 504d986bf63b86ec670d3974afd068c3 SHA1: f1e9779eeb84ae02bc70023756391a5065a64cb5 Información general de los sistemas preservados: La evidencia obtenida se almacena en un disco DVR con su respectivo registro de cadena de custodia y se lleva un locker de seguridad. Información encontrada en las imágenes forenses: Se requiere la interpretación encontrada en formato hexadecimal. (anterior) Para ampliar la información forense y hacer un análisis completo, se personalizó una imagen con las siguientes carpetas: Memoria SAM Software La imagen personalizada se hizo en la herramienta FTK imager. MD5 checksum: c7372d9157b040021c88c3081bbee637 : verified SHA1 checksum: dbac037b5cf11d2bbb4ddb5e1dd7763e7db42034 : verified Luego se utiliza Fred (forensic Registry Editor). También se hizo el ejercicio de buscar un archivo de log. Ubicado en Windows/system32/winevtlogs. Una vez ubicado se exportó a Excel por la dificultad de instalar Regyster. Hallazgos preliminares, si existen: La personalización y las otras herramientas aumentan las perspectivas de análisis y respuesta forense que se requiere.

Angel Perez

student•

Introducción al caso: El incidente se encuentra asociado a un hecho delictivo tratado desde la teoría del caso de la defensa donde se pretende incorporar como evidencia digital una información específica contenida en un equipo terminal móvil puesto a nuestra disposición.

Resumen general: Ante todo, se tuvo contacto con la persona objeto de investigación a fin de validar las condiciones en que se encuentra el equipo terminal móvil, la calidad de propietario y usuario del mismo, así como la información contenida útil y pertinente para su defensa. Efectivamente se verificó que el equipo terminal móvil se encuentra en buen estado de funcionamiento y contiene información relevante para su defensa.

Inventario de evidencia identificada: Equipo terminal móvil marca OPPO A77, modelo CPH2388, serial número TQMPSAKM7STMBYZ, con capacidad de 128 GB, el cual presenta display averiado, sin sim card, sin micro SD, sin cargador. Este elemento material probatorio es importante para la estrategia de defensa.

Reportes de adquisición de evidencia: Ante todo, se procede a identificar fotográficamente y con testigo métrico el equipo terminal móvil, sus características externas e internas.

Se verifica que el equipo terminal móvil no tenga incorporada la sim card y micro SD, que las opciones de wifi y bluetooth se encuentren deshabilitadas y que esté en modo avión.

Se conecta al equipo forense con el adaptador y los cables recomendados para tal fin.

Se detecta el modelo del equipo terminal móvil, el cual es configurado con las indicaciones dadas por la herramienta forense (UFED) y se selecciona el método de extracción File Full Sistema, que permite la obtención de información de aplicaciones y sistema de archivos.

Se logra la adquisición de información del equipo terminal móvil, la cual se consolida en una carpeta y archivo codificado.

Posteriormente con la herramienta forense Physical Analyzer, se verifican las sumas de verificación de la fuente y el destino, obteniendo el hash SHA256, lo que da cuenta de la integridad de la información obtenida:

aaec664a46e9facbc87e98eadd639e0457b9cafdf8189dfc845dafb132ee16ec

Con esta herramienta se procede a la decodificación, análisis, filtro y obtención de la información relevante para el caso, obteniendo un reporte incluido en una carpeta que se constituye en la evidencia digital que se hará valer en juicio.

La citada carpeta es grabada un DVD-R, el cual es embalado, rotulado y se le inicia el registro de continuidad de cadena de custodia. Este DVD-R es guardado en el Almacén de evidencias del Laboratorio Forense de Evidencia Digital.

Información general de los sistemas preservados: La información se encuentra almacenada bajo la estructura de sistema de archivos y presentada en interfaz gráfica de usuario. La zona horaria se encuentra configurada en UTC-5 que corresponde a la hora internacional de Colombia. Se identifican las cuentas de usuario con su nombre, número de teléfono, cuentas de correo electrónico, cuentas de redes sociales, etc.

Se identifican los contactos del usuario y las conversaciones entre ellos y el usuario.

Información encontrada en las imágenes forenses: Se identifican las cuentas de usuario con su nombre, número de teléfono, cuentas de correo electrónico, cuentas de redes sociales, etc. Se identifican los contactos del usuario y las conversaciones entre ellos y el usuario.

Hallazgos: La información encontrada es determinante para la defensa de la persona investigada por cuanto se hallaron conversaciones entre esta persona y la presunta víctima que evidencian la inexistencia del hecho denunciado.

MARIA TERESA PANIAGUA RIVERA

student•

gracias

Lorgio Lazarte Zurita

student•

Done

Yerson Steven Rojas Barragan

student•

Ya casi vamos a terminar, hasta el momento ha sido un curso demasiado interesante!

Vittorio L

student•

Hecho )

David Castellanos

student•

vale

Ordenar información para informes efectivos

Bienvenida y presentación general.

Análisis Forense en Sistemas Windows, Unix y Mac

Etapas del Proceso de Cómputo Forense

Identificación y Preservación en Computo Forense

Análisis y Presentación en Cómputo Forense

Etapa I: Identificación

Elementos Esenciales para la Investigación Forense Digital

Procedimiento de Cadena de Custodia en Investigaciones Forenses

Primer Respondiente en Informática Forense: Roles y Capacitación

Análisis de Imágenes Forenses y Cadena de Custodia

Etapa II: Preservación

Dispositivos de Bloqueo Contra Escritura: Uso y Función

Adquisición de Evidencia con FTK Imager en Informática Forense

Creación de Imágenes Forenses: Proceso y Verificación

Adquisición de Imágenes Forenses con Gaitán Software

Adquisición en Vivo de Memoria RAM para Análisis Forense

Creación de Imágenes Forenses en Linux con Paladín

Creación de Imágenes Forenses con DD y DC3DD en Linux

Adquisición de Imágenes Forenses en Linux con FTK Imager

Creación de Imágenes Forenses con Paladín en Dispositivos Apple

Creación de Imágenes Forenses en Mac con FTK Imager y Modo Target

Algoritmos de Funciones Hash y su Uso en Computación Forense

Adquisición de Imágenes Forenses: Herramientas y Técnicas

Verificación de Imágenes Forenses con Algoritmos Hash

Etapa III: Análisis de Evidencia Pt. 1

"Sistemas de Archivos en Windows: FAT, exFAT y NTFS"

Sistemas de Archivos en Linux y Mac: Funcionamiento y Características

Análisis y Exportación de Imágenes Forenses con FTK Imager

Creación y Gestión de Imágenes Forenses Personalizadas

Análisis Forense de Archivos de Registro en Windows

Análisis Forense de Imágenes de Sistema Operativo Linux

Elaboración de Informes Preliminares en Incidentes Informáticos

Creación de Imágenes Forenses Personalizadas

Elaboración de Informes Preliminares de Investigación

Etapa III: Análisis de Evidencia Pt. 2

Análisis de Archivos SAM con Regripper en Windows

Análisis de Archivos de Registro en Windows con Regripper

Análisis de Logs y Bitácoras en Windows para Monitoreo y Trazabilidad

Análisis Forense del Registro de Windows: Archivos NTUSER.DAT y ShellBags

Ubicaciones clave en el Registro de Windows para la investigación forense

Análisis de Archivos Prefetch en Windows para Investigación Forense

Funcionamiento y Recuperación de Archivos en la Papelera de Reciclaje Windows

Ampliación de Informes de Análisis Forense Digital

Etapa III: Análisis de Evidencia Pt. 3

Diferencias de Configuración y Uso entre Linux y Windows

Proceso de Inicio de Linux: BIOS, GRUB, Kernel e Init

Configuración de Usuarios y Archivos Clave en Linux

Análisis de Archivos de Registro en Sistemas Operativos Linux

Uso de Autopsy para Análisis Forense Automatizado

Ordenar información para informes efectivos

Etapa IV: Presentación.

Estructuración de Informes Ejecutivos en Investigaciones Forenses

Elaboración de Informes Técnicos en Computación Forense

Consejos para Presentar Informes en Procesos Legales

Cómo redactar informes efectivos y profesionales

Conclusiones Finales

Libros y Recursos Clave para la Investigación Digital