Trabajo colaborativo 1 Informática Forense

TRABAJO COLABORATIVO 1 - GRUPO: 233012_12

SHIRLEY TATIANA TATIANA PITTA PICON

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA “UNAD” ESPECIALIZACION EN SEGURIDAD INFORATICA INFORATICA FORENSE 201!

DESARROLLO DEL CASO 1" PROBLEA El Sr. Pepito Pérez de la empresa CUATRO RUEDAS dedicada a la distribución al por mayor de repuestos para e!"culos# detecto el d"a $% de Septiembre de &%'( )ue un arc!io de E*cel )ue se encontraba alo+ado en el computador PC microtorre ,' &%% -P )ue sire como !ost de almacenamiento central de su oicina ya no e*iste. Este arc!io conten"a inormación muy delicada de proeedores y clientes de la empresa. Comenta el Sr. Pérez# )ue el d"a &( de ese mes despidió a un empleado )ue laboro normalmente !asta su salida acordada )ue ue el &/ de Septiembre del &%'( y al d"a si0uiente de su salida ya no estaba la inormación. 1os comenta )ue sospec!a de esta persona ya )ue !a isto traba+ando al e* empleado en una empresa similar )ue !a puesto su !ermano. El Sr Pérez leantó una denuncia de robo de inormación# lleando el caso a la  +usticia

2" REALIZAR LA LINEA DE INVESTIGACION DEL CASO ANTES DE COENZAR LA INVESTIGACION E*istencia del arc!io de E*cel en el seridor 

&/ de septiembre &%'(

5n0reso de usuario no Autorizado

&/ de septiembre &%'(

Eliminado el arc!io de E*cel del seridor 

&/ de septiembre &%'(

5ntento de acceso al arc!io de E*cel y ya no e*iste

$% de septiembre &%'(

1ota2 se asume )ue los d"as comprendidos entre el &( al &/ de septiembre se traba+o con normalidad# y asumiendo )ue todos los d"as se acced"a al arc!io de E*cel# se puede suponer )ue la inormación e*ist"a en el seridor de almacenamiento !asta el &/ de Septiembre y )ue por tal motio no se !ab"an percatado de la eliminación del mismo.

3" CONTE#TUALIZAR DE ANERA SISTE$TICA LAS FASES 1 Y 2 DE LA INFOR$TICA FORENSE Y UTILIZAR SOLO LAS ETAPAS DE CADA FASE %UE SE PUEDEN APLICAR EN EL CASO PRESENTADO Para abordar el caso se realizar3 en cuatro ases# y en cada ase se llear3 a cabo unas etapas )ue permitir3 identiicar con certeza y pruebas )uien realizó este ata)ue a la inormación de la empresa CUATRO RUEDAS. Como inesti0adores se ser3 imparcial en la b4s)ueda de las pruebas y se podr3 determinar )uien ataco el seridor de almacenamiento# en )ué orma se accedió y eidenciar )ue otros arc!ios ueron aectados. A continuación se describen cada ase y cada etapa )ue se realizar32

I"

F&'( )( *)(+,**.&.*/+

Etapa 1 Levantamiento de información Descripción del Delito Informático 2 6ec!a del incidente2 &/ de Septiembre de &%'( Duración del incidente2 &7 !oras entre el &/ de Septiembre y $% de Septiembre Detalles del incidente2 Eliminación de un arc!io de E*cel el cual contiene inormación de clientes y proeedores de la empresa Cuatro Ruedas# el cual se detecto el $% de septiembre de &%'(

Información Sobre El Equipo Afectado 8arca y modelo2 8icro torre ,' &%% -P 6unción del e)uipo2 -ost de almacenamiento Tipo de inormación procesada por el e)uipo2 inormación

Etapa 2 Asegurar la Escena 5dentiicación de Eidencias2 ase0urar los discos duros del PC 8icro Torre ,' &%% -P

II"

F&'( )( V&*)&.*/+  ('(4&.*/+

Etapa 1 Copias de la evidencia: 9os discos duros ser3n eti)uetados como eidencia ori0inal# se 0eneraran dos copias de los mismos# eti)uetadas como :Copia ' Caso Cuatro Ruedas; y :Copia & Caso Cuatro Ruedas; y se 0enerar3n una suma de comprobación de la inte0ridad de cada copia mediante el empleo de unciones !as! tales como 8D( o S-A'. Por 4ltimo# se almacenaran en una ca+a uerte. Etapa 2 Cadena de custodia: Se elaborar3 un documento en el )ue se llee un re0istro de los datos personales de todos los implicados en el proceso de manipulación de las copias# desde )ue se tomaron !asta su almacenamiento. Esto con la inalidad de establecer responsabilidades y controles de cada una de las personas )ue manipulen la eidencia.

III"

F&'( )( A+5*'*'

Etapa 1 Preparación para el análisis: Se traba+ar3 con las copias de la eidencia# montando estas pruebas en ma)uinas irtuales para tener una ima0en del sistema comprometido y se plantearan las !ipótesis del ata)ue y se realizar3n las respectias pruebas. Etapa 2 Reconstrucción del ataque: Se or0anizar3 los arc!ios de acuerdo a una marcas de tiempo denominada 8ACD <ec!a y !ora de modiicación# acceso# creación y borrado=# ruta completa# tama>o en bytes y tipo de ic!ero# usuarios y 0rupos a )uien pertenece# permisos de acceso# si ue borrado o no. Con esta inormación se podr3 determinar los arc!ios accedidos# pro0ramas instalados y acceso por parte de los usuarios a los mismos. Se podr3 determinar si ese es el 4nico arc!io )ue !a surido de ata)ue.

Etapa 3 eterminación del ataque: Durante esta etapa se podr3 determinar como el atacante accedió al sistema2 si desde un e)uipo e*terno o desde un e)uipo interno a traés de la red o si se accedió directamente en el seridor. Se determinar3 la ulnerabilidad o el allo de se0uridad e*istente y las !erramientas utilizadas por el atacante# de esta manera la administración podr3n tomar medidas para )ue el suceso no se uela a presentar.

Etapa ! "dentificación del atacante: Se realizar3 proceso para identiicar la 5P del e)uipo )ue accedió al sistema si este ue accedido de manera e*terna o interna a traés de la red. Etapa # Perfil del atacante: Se realizara un peril del atacante de acuerdo a las eidencias encontradas# dando una descripción de los conocimientos )ue posee el atacante

IV"

F&'( )( D6.78(+,&.*/+  P('(+,&.*/+ )( &' 7(9&'

Se entre0ara un inorme técnico el cual contendr3 toda la inormación detallada del an3lisis realizado# las técnicas utilizadas por el e)uipo orense# metodolo0"a y !allaz0os encontrados durante la inesti0ación# recomendaciones. Adem3s se entre0ar3 a la 0erencia un inorme e+ecutio de los !allaz0os# conclusiones# solución al incidente y recomendaciones inales.

" CLASIFICAR DE ANERA CONCRETA EL TIPO DE DELITO COETIDO SEG;N LA LEY 12<3 DE 200=> E#PLI%UE SU DECISI?N Se cometió el delito de  daño informático  y posiblemente el delito de violación de datos personales . E*plicación2 Daño Informático 2 la empresa Cuatro Ruedas surió de este delito debido a )ue el arc!io de E*cel donde se almacena inormación de sus proeedores y clientes ue borrado de su sistema de arc!io y de acuerdo a ley en su art"culo &?/D contempla como delito de da>o inorm3tico a )uien destruya# da>e# borre# deteriore# altere o suprima datos inorm3ticos. Violación de datos personales: En caso de comprobarse )ue la persona )ue borró el arc!io# también lo sustra+o y !aya sacado proec!o del mismo. Estar"a enrent3ndose al car0o de delito por iolación de datos personales# )ue de acuerdo a la ley en su art"culo &?/6 establece el )ue# sin estar acultado para ello# con proec!o propio o de un tercero# obten0a# compile# sustrai0a# orezca# enda# intercambie# en"e# compre# intercepte# diul0ue# modii)ue o emplee códi0os personales# datos personales contenidos en ic!eros# arc!ios# bases de datos o medios seme+antes.

CONCLUSIONES

Una ez analizado el caso de estudio de la concluir )ue2 •

•

•

•

•

empresa CUATRO RUEDAS# se puede

9a inormación suministrada es insuiciente para datos esenciales en la ase de leantamiento de la inormación# se deben realizar otra entreista para determinar  el responsable del 3rea donde est3 el seridor de almacenamiento# caracter"sticas del e)uipo# sistema operatio utilizado# si tiene un sistema de red# entre otras. Se identiicaron las ases y etapas )ue se deben llear a cabo para resoler el caso. En Colombia e*isten normas para la protección de la inormación y de los datos# adem3s re0ula las sanciones )ue se aplican a las personas )ue comenta delitos inorm3ticos. @ de acuerdo al caso planteado se lo0ró identiicar )ue delitos se puede imputar al atacante.  Aun)ue e*istan sospec!as de una persona especiica dentro del caso de estudio# los inesti0adores deben ser imparciales y no de+arse llear por apreciaciones y recopilar todas las pruebas )ue indi)uen el peril de la persona )ue realizó el ata)ue y determinar cómo# cuando# donde y )uien realizó el ata)ue. 9a recolección de la eidencia de un incidente inorm3tico# implica la participación de un e)uipo interdisciplinario de proesionales capacitados en identiicar# recolectar# documentar y prote0er las eidencias del incidente.