No. 212
Evidencia digital en un
mundo convergente
Jeimy J. Cano M., Ph.D, CFE, Cobit5 Certificate CISO, Ecopetrol S.A
• La presentación que se desarrolla a continuación es producto del análisis de fuentes y estudios relacionados con análisis forense digital en entornos convergentes, y su aplicación en diferentes contextos.
• Las ideas expresadas o detalladas en este documento corresponden y comprometen exclusivamente a su autor yNOrepresentan la posición oficial de ECOPETROL S.A, ni de su grupo empresarial.
Objetivos
de
la
sesión
• Comprender la evolución de la evidencia digital en el contexto de un mundo basado en redes sociales, computación en la nube, grandes datos y analítica y el internet de las cosas
• Analizar las características de la evidencia digital en el contexto de la convergencia tecnológica y sus impactos en los procesos probatorios
• Detallar las nuevas competencias que deben desarrollar los peritos informáticos en el contexto de las tecnologías convergentes y los retos propios de su aseguramiento.
• Conocer los riesgos técnicos, jurídicos y de procedimiento para adelantar una pericia informática en un entorno de tecnologías convergentes.
• Ilustrar algunas prácticas básicas que orienten los procedimientos forenses en entornos de tecnologías convergentes.
JCM‐15 All rights reserved 3
Agenda
•
Introducción
•
Evolución de la tecnología de información y las comunicaciones
•
La evidencia digital en el contexto de la evolución tecnológica
•
La evidencia digital: Ahora y en el futuro
•
Tensiones emergentes en el tratamiento de la evidencia digital
en entornos convergentes
•
Retos de la evidencia digital en entornos convergentes
•
Reflexiones finales
JCM‐15 All rights reserved 5
Introducción
Introducción
Contexto actual Volátil Incierto AmbiguoJCM‐15 All rights reserved 7
Introducción
Banda ancha Contenidos
Interfases vinculadas a los sentidos Flujos masivos de información Nuevos dispositivos electrónicos
Socialización Alcance global
La
información
es
el
nuevo
oro
negro
Introducción
JCM‐15 All rights reserved 9
Evolución
de
la
tecnología
de
información
y
comunicaciones
JCM‐15 All rights reserved 11
Evolución
tecnológica
Evolución
tecnológica
JCM‐15 All rights reserved 13
Evolución
tecnológica
Tomado de: http://hortonworks.com/blog/7‐key‐drivers‐for‐the‐big‐data‐market/
La
evidencia
digital
en
el
contexto
de
la
JCM‐15 All rights reserved 15
Evolución
de
la
evidencia
digital
Computadores de escritorio
Diskettes, cintas, HD
1980 1990 2000 2010 2020 2030+ 1970
Teléfonos móviles
SmartPhones, SIMCards, Memorias SD
Dispositivos móviles
iPad, iPhone, iCloud, discos de estado sólido
Tendencias transversales
Computación en la nube, computación móvil, redes sociales, grandes datos y analítica, internet de las cosas
Recursos generales requeridos
Personas, procesos y tecnología
Computadores portátiles
CD, DVD, USB
Internet de las cosas
Vestibles, SCADA, Holografía
Cambios
relevantes
en
la
evidencia
digital
Estado Sólido / Holografía
Dinámico / incierto
Conocimiento
especializado Prácticas forenses nuevas y
renovadas Nuevos normales Magnético Estático Conocimiento estándar Prácticas forenses conocidas Condiciones iniciales
JCM‐15 All rights reserved 17
La
evidencia
digital
ahora
y
en
el
futuro
La
evidencia
digital:
¿Qué
tenemos
hoy?
Procedimientos Regulaciones
Tecnologías Estándares
JCM‐15 All rights reserved 19
La
evidencia
digital:
¿Qué
tenemos
hoy?
Mundo Físico Mundo Digital
La
evidencia
digital:
¿Qué
tenemos
hoy?
Mundo
Físico
Mundo
Digit
al
JCM‐15 All rights reserved 21
La
evidencia
digital:
¿Qué
se
ve
hacia
el
futuro?
Mundo
Digit
al
Mundo
Con
ver
ge
n
te
Contenedor
de
evidencia
digital
Información base del caso Información base del sistema analizado
Archivos
Información base de su localización Cifra de control asociadaCaracterísticas
Nombre MAC Tamaño
Adaptado de: Lim, K., Lee, D. y Han, J. (2011) A New Proposal for a Digital Evidence Container for Security Convergence.
Proceedings of 2011 IEEE International Conference on Control System, Computing and Engineering. 171‐175
Tensiones
emergentes
en
el
tratamiento
de
la
JCM‐15 All rights reserved 23
¿A
qué
se
enfrenta?
Evidencia digital Personas Formación en nuevos discursos tecnológicos Prácticas cruzadas de conocimiento Procesos Admisibilidad de la prueba La cadena de custodia Tecnología Discos de estado sólido Aplicaciones convergentes
Tomado de: Howard, Plummer, Genovese, Mann, Willis y Smith (2012) The nexus of forces: Social, mobile, cloud and information.Gartner Research. (Acceso con suscripción).
¿Cómo
es
la
evidencia
digital
en
un
entorno
convergente?
Tomado de:
http://lnx.cx/docs/vdg/output/Virtual-Disk-Operations.html Empirical Analysis of Solid State Disk Data Retention when used with Contemporary Operating Systems. Disponible en: http://www.dfrws.org/2011/proceedings/17-349.pdf
JCM‐15 All rights reserved 25
Convergencia
del
mundo
TI
y
OT
Tecnologías de Operación Tecnologías de Información
Principios de seguridad de la
información
Disponibilidad Confidencialidad
Ciclos de vida + 20 años 3 a 5 años
Controles de cambios Sistemas legacy/ Complejos por su
operación (pocas consideraciones de
seguridad y control)
Regulares y programados Pruebas de seguridad de la información Ocasionales Programadas y mandatorias Aplicación de parches Lento (asociado con el proveedor) Regulares y programados
Forensia informática Limitada, si existe Disponible y configurable
Administración Local Centralizada
Adaptado de: WEISS, J. (2010) Protecting industrial control systems form electronic threats. Momentum Press. Taiwan. Pág.34
¿Cómo
identificamos
la
evidencia
digital
en
un
JCM‐15 All rights reserved 27
Retos
de
la
evidencia
digital
en
entornos
convergentes
Forense
en
la
nube
Forense Tradicional Forense en la nube
Práctica concreta Práctica en desarrollo
Ubicación de la evidencia conocida Ubicación de la evidencia distribuida Participa un equipo conocido Participan múltiples equipos y proveedores Focalizado en tecnologías medianamente conocidas Focalizado en tecnologías convergentes y móviles
Herramientas forenses tradicionales Herramientas de análisiseventos de patrones y correlación de Dificultad asociada con el nivel de conocimiento
técnico
Dificultad asociada con el conocimiento de la
relaciones del ecosistema de nube
Local y móvil Global y móvil
JCM‐15 All rights reserved 29
Forense
en
móviles
Tomado de: CASEY – Digital Evidence and computer crime. 3ra Edición. Academic Press
JCM‐15 All rights reserved 31
Forense
+
Correlación
de
eventos
Tomado de: http://www.kevinfielder.co.uk/tag/correlation/
JCM‐15 All rights reserved 33
Forense
en
tecnologías
convergentes
JCM‐15 All rights reserved 35
Forense
en
tecnologías
convergentes
JCM‐15 All rights reserved 37
Reflexiones
finales
No se tiene práctica estándar
El mundo convergente
cambia las condiciones
naturales de la informática forense.
Muchos proveedores y dispersas fuentes de info.
La convergencia involucra diferentes provedores, con
multiples fuentes de
información
CLOUD
La movilidad y los contenidos son la norma
Ya no son exclusivamente los dispositivos electrónicos la fuente de análisis, son los
contenidos y los comportamientos. ht tp ://www.swo rdshi el d.c o m /2015/01/t h re e ‐ thing s ‐ to ‐ know ‐ about ‐ mo d er n ‐ m o bile ‐ fo re n si cs / Se requieren habilidades complementarias Observar patrones, correlacionar eventos y
analizar tendencias son
nuevas realidades para los investigadores forenses. http: // epyxforensics. com /S ocial% 2 0 M edia% 2 0 Services
Para
continuar
explorando
…
Autor:
Jeimy J. Cano M., Ph.D, CFE Editorial: Alfaomega
JCM‐15 All rights reserved 39
Referencias
• Johansen, B. (2009)Leaders Make the Future: Ten New Leadership Skills for an Uncertain World. San Francisco, USA: Berrett‐Koehler Publishers.
• EMC (2014) Digital Universe. Recuperado de:http://www.emc.com/collateral/analyst‐reports/idc‐ digital‐universe‐2014.pdf
• Lim, K., Lee, D. y Han, J. (2011) A New Proposal for a Digital Evidence Container for Security Convergence.Proceedings of 2011 IEEE International Conference on Control System, Computing and Engineering. 171‐175
• Plummer, Genovese, Mann, Willis y Smith (2012) The nexus of forces: Social, mobile, cloud and information.Gartner Research.
• King, C. y Vidas, T. (2011) Empirical Analysis of Solid State Disk Data Retention when used with Contemporary Operating Systems. Digital Investigation. Recuperado de: http://www.dfrws.org/2011/proceedings/17‐349.pdf
• Casey, E. (2011)Digital Evidence and computer crime. 3ra Edición. Elsevier
• Cano, J. (2015)Computación forense. Descubriendo los rastros informáticos. 2da Edición. Bogota, Colombia: Alfaomega.
• Eforensics Magazine (2013) 101 Best forensic tutorials.Eforensics Magazine. 2, 19. Noviembre.
¡Muchas
gracias!
Blog:
http://insecurityit.blogspot.com
No. 212
Evidencia digital en un
mundo convergente
Jeimy J. Cano M., Ph.D, CFE, Cobit5 Certificate CISO, Ecopetrol S.A