Metodología para la colecta de la evidencia digital

MAESTRÍA EN SEGURIDAD INFORMÁTICA

METODOLOGÍA PARA LA COLECTA DE LA EVIDENCIA

DIGITAL

TESIS PARA OPTAR EL GRADO ACADÉMICO DE MAESTRO

EN INGENIERÍA DE SEGURIDAD INFORMÁTICA

PRESENTADO Por:

ING. ALBERTO YOPLA MERCADO

ING. YOLANDA YOPLA MERCADO

Asesor:

MBA. Ing. David Valladares

LIMA – PERÚ

i

DEDICATORIA

A mi Esposa Katerine Romero y a mi

hijo Jonathan. A quienes dedico

este logro con todo mi amor.

A mi Esposo Miguel Fernández y a mis

hijos Miguel, Omar y Daniel. A

quienes dedico este logro con todo

mi amor.

A nuestros padres Sra. Erasma

Mercado y Sr. Vicente Yopla, quienes

nos apoyaron en todo momento de

ii

AGRADECIMIENTO

A nuestras familias por su

comprensión y apoyo incondicional, a

David Valladares, Carol Cernaqué, Raúl

Díaz, compañeros de la maestría,

asesores, personal docente y, directivo

iii

DECLARACIÓN JURADA DE AUTORÍA INTELECTUAL

A: Escuela de Postgrado. Universidad Tecnológica del Perú

Quienes suscriben, por la presente dejan constancia de ser los autores de la Tesis

titulada:

“METODOLOGÍA PARA LA COLECTA DE LA EVIDENCIA DIGITAL”

Que presentamos para el programa de Maestría en INGENIERÍA DE SEGURIDAD

INFORMÁTICA.

Dejamos constancia que el uso de conceptos, inclusión de opiniones, citas e imágenes

son de mi absoluta responsabilidad, quedando la UTP Postgrado exenta de toda

obligación al respecto.

Autorizamos, y cedemos nuestros derechos a la UTP a utilizar este material para

publicaciones y aplicaciones tecnológicas o prácticas dado que constituyen ejercicios

académicos de uso interno sin fines comerciales.

Quienes suscriben:

ING. ALBERTO YOPLA MERCADO

DNI N° 08064964

ING. YOLANDA YOPLA MERCADO

iv

INDICE

DEDICATORIA ... i

AGRADECIMIENTO ... ii

DECLARACIÓN JURADA DE AUTORÍA INTELECTUAL ... iii

INDICE ... iv

ÍNDICE DE GRÁFICOS ... vi

RESUMEN ... vii

ABSTRACT... viii

INTRODUCCION ... ix

Capítulo I : PLANTEAMIENTO DEL PROBLEMA ... 1

1.1 DESCRIPCION DEL PROBLEMA ... 1

1.2 FORMULACION DEL PROBLEMA ... 4

1.2.1 Formulación del Problema General ... 5

1.2.2Formulación del Problema Específicos ... 5

1.3 OBJETIVOS ... 5

1.3.1Árbol de Problemas ... 5

1.3.2Árbol de Objetivos ... 7

1.3.3Objetivos Generales ... 8

1.3.4Objetivos Específicos ... 8

1.4 JUSTIFICACIÓN DEL PROBLEMA... 8

1.5 VIABILIDAD DEL ESTUDIO ... 9

1.6 PRESUPUESTO ... 10

Capítulo II : ANTECEDENTES Y MARCO TEORICO ... 11

2.1 ANTECEDENTES DE LA INVESTIGACION ... 11

2.2 BASES TEORICAS ... 13

2.2.1 Principio de intercambio ... 15

2.2.2 La ciencia forense informática y el principio de Locard ... 16

2.2.3 Principios de Forensia Digital ... 17

2.2.4 Computación Forense o Informática forense ... 19

2.2.5 Evidencia Digital ... 20

2.2.6 Tipos de Datos Digitales ... 21

2.2.7 Admisibilidad de la Evidencia Digital ... 22

2.2.8 Características de la Evidencia Digital ... 23

2.2.9 Fragilidad de la Evidencia Digital ... 24

v

2.2.11 Evaluación de la Evidencia ... 25

2.2.12 Adquisición de la Evidencia ... 26

2.2.13 Preservación de la evidencia ... 27

2.2.14 Análisis de la Evidencia ... 28

2.2.15 Documentación del incidente... 29

2.2.16 Anti-forense Digital ... 29

2.3 LEY DE DELITOS INFORMATICOS ... 32

2.3.1 Leyes peruanas informáticas ... 32

2.3.2 Normas internacionales ... 35

2.3.3 Nueva ley de delitos informáticos, Perú ... 39

2.4 GUIAS FORENSES ... 41

2.4.1 Guia: RFC 3227 – Guia para la recoleccion y archivo de evidencias ... 41

2.4.2 Guia de la IOCE (International Organization on Computer Evidence) ... 48

2.4.3 Electronic crime scene investigation a guide for first responders, second edition. 54 2.4.4 Forensic examination of digital evidence a guide for law enforcement. ... 62

2.4.5Metodologia NIST ... 79

2.4.6ISO / IEC 27037:2012 ... 82

2.4.7 Procedimientos periciales de criminalistica... 83

Capítulo III : METODOLOGIA ... 102

3.1 TIPO DE INVESTIGACIÓN ... 102

3.2 DISEÑO DE INVESTIGACION ... 104

3.3 ENFOQUE DE LA INVESTIGACION ... 104

3.4 NIVEL DE ESTUDIO ... 105

3.5 POBLACION Y MUESTRA ... 105

3.6 TECNICAS E INSTRUMENTOS DE RECOLECCION DE DATOS... 106

3.7 ANALISIS DE DATOS ... 106

Capítulo IV : SOLUCION... 107

4.1 PASOS PREVIOS PARA LA RECOLECCION DE EVIDENCIAS DIGITALES ... 110

4.2 ENTREVISTAS ... 115

4.3 COLECTA DE EVIDENCIA DIGITAL ... 116

4.5 PROCESO DE CADENA DE CUSTODIA ... 133

4.6 FORMATOS ... 135

Capítulo V : CONCLUSIONES Y RECOMENDACIONES ... 142

vi

ÍNDICE DE GRÁFICOS

Ilustración 1 Incidentes por Tipo 2014... 1

Ilustración 2 Top 10 Malware en América Latina 2014 ... 2

Ilustración 3 Árbol de Problemas ... 6

Ilustración 4 Árbol de Objetivos... 7

Ilustración 5 Procesos de Investigación de la Evidencia Digital ... 25

Ilustración 6 Metodología Forense según IOCE ... 49

Ilustración 7 Estructura interna de un Disco Duro ... 53

Ilustración 8 Tipos de Computadoras ... 55

Ilustración 9 SCSI Drives Sata Drive IDE Drive Laptop Hard Drive ... 56

Ilustración 10 Dispositivos Flash USB ... 57

Ilustración 11 Otros tipos de Dispositivos USB ... 58

Ilustración 12 Herramientas y Materiales para la Colecta... 59

Ilustración 13 Metodología NIST ... 80

Ilustración 14 Uso de una metodología ... 107

Ilustración 15 Ataque cibernético a empresas ... 108

Ilustración 16 Reacción de una empresa ante un delito informático ... 108

Ilustración 17 Le gustaría contar con una metodología ... 109

Ilustración 18 Pasos para la Colecta de Evidencia Digital ... 110

Ilustración 19 Copia bit a bit de disco duro ... 124

Ilustración 20 Bolsa de Faraday con aislamiento de cable. ... 127

Ilustración 21 Diagrama de flujo de Colecta de Evidencia Digital ... 128

vii

RESUMEN

En esta tesis, se plantea una metodología para la captura de la evidencia digital, en

un análisis Forense. El tema ha adquirido gran importancia, principalmente por el

crecimiento de las tecnologías de información y la globalización de las redes

informáticas lo que ha ocasionado un incremento de los delitos por medio de

dispositivos digitales. El análisis Forense ha empezado a jugar un rol importante en

el entorno legal a fin de determinar las causas, responsabilidad y hechos materia de

un acto delictivo.

El Objetivo de nuestra investigación es proponer una estructura metodológica que se

pueda aplicar al estudio forense de los dispositivos de almacenamiento digital para

recuperar y conservar la información en caso de actos criminales como estafas,

espionaje industrial y/o corrupción.

Como es evidente al seguir una metodología para la colecta de la evidencias digital,

disminuimos la posibilidad de que las mismas se alteren o destruyan, sin embargo

para que las evidencias sean consideradas admisibles en un proceso penal, se debe

tener en cuenta que el protocolo utilizado, cumpla con las leyes y normas vigentes

en el Perú. La metodología que se propone, adopta como base la RFC 3227, Guía

forense NIST, ISO 27037:2012, así como guías de procedimientos del Departamento

de Justicia Norteamericano, y se adapta a la legislación vigente en el Perú, con un

adecuado fundamento técnico-legal que permita la obtención de pruebas irrefutables

ante un tribunal.

viii

ABSTRACT

In this document, a methodology for capturing digital evidence in a forensic analysis.

This study has become important primarily by the growth of information technology

and globalization of computer networks which has caused an increase in crime

through digital devices. Forensic analysis has begun to play an important role in the

legal environment in order to determine the causes, responsibility and material facts

of a criminal act. The objective is Suggest a methodological framework that can be

applied to forensic study of digital storage devices to retrieve and retain information if

criminal acts such as fraud , industrial espionage and / or corruption .

As is evident by following a methodology for collecting digital evidence, we decrease

the possibility that they are altered or destroyed, however to be considered

admissible evidence in a criminal proceeding, it should be noted that the protocol

used, comply with the laws and regulations in Peru.

The proposed methodology adopts basis RFC 3227, NIST Guide forensic, ISO

27037: 2012 and procedural guidelines of the U.S. Department of Justice, and

adapts to the legislation in force in Peru, with adequate technical and legal basis to

obtain irrefutable evidence in court.