El análisis forense es un área perteneciente al ámbito de la seguridad informática surgida a raíz del incremento de los diferentes incidentes de seguridad. En el análisis forense se realiza un análisis posterior de los incidentes de seguridad, mediante el cual se trata de reconstruir como se ha penetrado o vulnerado en el sistema. Por tanto, cuando se está realizando un análisis forense se intenta responder a las preguntas que ofrecerán las respuestas e información adecuadas para preservar nuestros sistemas de información con riesgos minimizados.
Desgraciadamente, muchos consultores de seguridad se limitan a proporcionar listas detalladas con conclusiones de sus pruebas, sin intentar realizar un el análisis de orden superior para responder a la pregunta "por qué".
¿Quién ha
realizado el ataque? ¿Cómo se realizo? ¿Qué vulnerabilidades se han explotado? ¿Qué
hizo el intruso una vez que accedió al sistema? Etcétera.
El área de la
ciencia forense es la que más ha evolucionado dentro de la seguridad, ya que los
incidentes de seguridad han incrementado en los últimos años. Además, los
ataques son diferentes y por tanto hay que actualizar las técnicas de análisis
en cada momento.
El
procedimiento utilizado para llevar a cabo un análisis forense es el siguiente:
•
Estudio preliminar. En esta fase se realiza un estudio inicial mediante entrevistas y
documentación entregada por el cliente con el objetivo de tener una idea
inicial del problema que nos vamos a encontrar.
•
Adquisición de datos. Se realiza una obtención de los datos e informaciones esenciales para la
investigación. Se duplican o clonan los dispositivos implicados para un
posterior análisis. En esta fase habrá que tener mucho cuidado en la
adquisición de los datos puesto que cabe la posibilidad de
incumplir los
derechos fundamentales del atacante.
•
Análisis e investigación. Se realiza un estudio con los datos adquiridos en la fase anterior. En
esta fase también habrá que tener mucho cuidado puesto que cabe la posibilidad
de incumplir los derechos fundamentales del atacante.
•
Realización del informe. En esta fase se elabora el informe que será remitido a la dirección de la
organización o empresa. Posteriormente, se podrá usar para acompañar la
denuncia que realicemos a la autoridad competente.
Una vez hemos
visto cuál ha sido la motivación que produce el análisis forense, nos
centraremos y describiremos más detalladamente dicha ciencia.
El
análisis forense en un sistema informático es una ciencia moderna que permite
reconstruir lo que ha sucedido en un sistema tras un incidente de seguridad. Este análisis puede determinar quién, desde
dónde, cómo, cuándo y qué acciones ha llevado a cabo un intruso en los sistemas
afectados por un incidente de seguridad.
Un incidente de seguridad es
cualquier acción fuera de la ley o no autorizada: ataques de denegación de
servicio, extorsión, posesión de pornografía infantil, envío de correos
electrónicos ofensivos, fuga de información confidencial dentro de la
organización..., en cual está involucrado algún sistema telemático de nuestra
organización.
Las fuentes de
información que se utilizan para realizar un análisis forense, son diversas:
Correos electrónicos, IDS/IPS, Archivos de logs de los cortafuegos, Archivos de
logs de los sistemas, Entrevistas con los responsables de seguridad y de
los sistema, etcétera.
Los incidentes de
seguridad normalmente son muy complejos y su resolución presenta muchos
problemas. A continuación se muestran las siguientes fases en la prevención,
gestión y detección de incidentes:
1) Preparación y prevención. En esta fase se
toman acciones para preparar la organización antes de que ocurra un incidente.
Por tanto, se deberá empezar por tratar de analizar qué debe ser protegido y
qué medidas técnicas y organizativas tienen que implementarse. Una vez hechos
los diversos análisis, la organización ya tiene identificadas las situaciones
que pueden provocar un incidente de seguridad y ha seleccionado los controles
necesarios para reducirlas.
2) Detección
del incidente. La detección de un incidente de seguridad es una de las fases más
importante en la securización de los sistemas. Hay que tener en cuenta que la
seguridad absoluta es muy difícil y es esta fase la que nos sirve para
clasificar y priorizar los incidentes acaecidos en nuestra organización.
Blog de Chema Alonso: “Un informático en el lado del
mal”.
http://www.elladodelmal.com/
