Los ordenadores almacenan mucha más información de la que se percibe a simple vista. Los sistemas operativos, los sistemas de archivos, las aplicaciones, los navegadores, las cuentas de usuario, los dispositivos de almacenamiento externo y los registros del sistema pueden dejar rastros digitales que permiten reconstruir técnicamente los procesos, a veces mucho después de que hayan ocurrido.

Los servicios de informática forense de LB Forensik se centran en la protección, el análisis y la evaluación profesionales de estos rastros digitales en ordenadores Windows, portátiles, sistemas Apple Mac, discos duros, unidades SSD y otros medios de almacenamiento.

Dependiendo de la pregunta, es posible investigar, por ejemplo, qué archivos estaban presentes o eliminados, cuándo se realizaron ciertas actividades del usuario, qué dispositivos de almacenamiento externo estaban conectados, qué actividades de Internet se pueden rastrear o si existen indicios técnicos de malware, manipulación o acceso no autorizado.

El factor decisivo no es la mayor cantidad posible de datos extraídos. El objetivo de una investigación forense es obtener una respuesta técnicamente verificable a la pregunta probatoria específica.

Explicamos con más detalle los requisitos fundamentales para la evidencia digital en el artículo "Integridad de la evidencia digital" . En investigaciones que también involucran teléfonos inteligentes o tabletas, el análisis informático se puede combinar con nuestro análisis forense móvil .

¿Qué es la informática forense?

La informática forense es un subcampo de la informática forense. Se ocupa de la protección, el examen, la reconstrucción y la evaluación estructurados de rastros digitales en ordenadores y sus sistemas de almacenamiento asociados.

Los objetos de investigación pueden incluir, entre otras cosas, ordenadores de sobremesa, portátiles, MacBooks, discos duros, unidades SSD, dispositivos de almacenamiento USB, tarjetas de memoria, unidades externas o datos seleccionados de servidores y redes.

Una investigación profesional comienza con una pregunta claramente definida:

¿Qué rastros digitales pueden, técnicamente, confirmar, refutar o reconstruir un proceso específico en el tiempo?

Solo entonces se determina qué sistemas deben protegerse y qué pruebas forenses deben examinarse.

¿Qué preguntas puede responder la informática forense?

Dependiendo de los datos disponibles y del alcance de la investigación, se pueden examinar, entre otras cosas, los siguientes aspectos:

• qué archivos estaban presentes en una computadora,
• cuando se crearon, modificaron o eliminaron archivos,
• si los datos eliminados aún se pueden recuperar,
• qué cuentas de usuario se utilizaron,
• qué programas se ejecutaron o instalaron,
• qué dispositivos de almacenamiento externo estaban conectados
• qué actividades de Internet y del navegador se pueden rastrear,
• si existen indicios de acceso no autorizado,
• si existen rastros técnicos de malware,
• si se pudieron haber copiado o transferido archivos a dispositivos de almacenamiento externos,
• si las manipulaciones o las acciones de eliminación son rastreables,
• qué eventos están relacionados en el tiempo.

No todas las preguntas pueden responderse basándose en un solo artefacto. A menudo, una visión técnica general fiable solo se obtiene mediante la correlación de varias fuentes de datos independientes.

Preservación forense de una computadora

Un análisis informático debe distinguir fundamentalmente entre la seguridad del sistema original y el análisis posterior.

En los casos que lo ameritan, primero se crea una copia de seguridad forense de los soportes o conjuntos de datos relevantes. El análisis posterior se realiza, si es posible, sobre la copia de seguridad o una copia de trabajo designada.

El objetivo es evitar que el sistema original se vea alterado por pasos de investigación innecesarios.

El método de copia de seguridad más adecuado depende del estado del sistema, el cifrado, el tipo de soporte de datos y la cuestión probatoria específica.

Análisis forense de discos duros

Los discos duros tradicionales pueden contener una gran cantidad de información forense.

Además de los archivos actualmente visibles, dependiendo del sistema de archivos y del uso posterior, también pueden estar presentes archivos eliminados, estructuras del sistema de archivos, metadatos y otros artefactos digitales.

Por lo tanto, un análisis del disco duro puede ir mucho más allá de simplemente abrir las carpetas y archivos visibles.

Análisis forense de SSD

El análisis de las unidades SSD modernas difiere en aspectos importantes del de los discos duros magnéticos clásicos.

Tecnologías como la nivelación de desgaste, la recolección de basura y TRIM influyen en cómo se almacenan los datos internamente y cómo se gestionan después de los procesos de eliminación.

Por lo tanto, la creencia generalizada de que los archivos eliminados se pueden recuperar de una unidad SSD de la misma manera que de un disco duro tradicional no es técnicamente fiable.

Aunque el contenido de los archivos ya no se pueda reconstruir, otros vestigios pueden aportar pruebas de que existieron archivos, aplicaciones o determinadas actividades.

Análisis forense del sistema de archivos

Los sistemas de archivos organizan archivos, directorios y metadatos asociados.

Dependiendo del sistema operativo y del medio de almacenamiento, pueden ser relevantes diferentes sistemas de archivos.

El análisis puede proporcionar información sobre archivos, estructuras de directorios, marcas de tiempo y otros elementos del sistema de archivos.

Hay que tener en cuenta que las diferentes marcas de tiempo tienen distintos significados técnicos y pueden ser modificadas por diversos procesos del sistema.

Análisis forense de Windows

Los sistemas Windows generan numerosos artefactos digitales durante su uso.

Dependiendo de la pregunta, la información relevante puede incluir perfiles de usuario, datos del registro, registros de eventos, información del sistema de archivos, accesos directos, artefactos de ejecución de programas, datos del navegador e información sobre los dispositivos conectados.

Al combinar varias de estas fuentes, se pueden reconstruir cronológicamente ciertas actividades de los usuarios y del sistema.

Análisis forense de Mac y macOS

Los sistemas de Apple también contienen numerosas fuentes de datos relevantes para la investigación forense.

Al examinar Mac, MacBook y macOS, se debe prestar especial atención al sistema de archivos utilizado, los mecanismos de seguridad, las cuentas de usuario y cualquier posible cifrado de la unidad.

Los sistemas Apple modernos difieren significativamente de los PC Windows clásicos en sus especificaciones técnicas. Por lo tanto, la estrategia de copias de seguridad debe adaptarse a la generación de hardware y sistema operativo correspondiente.

Análisis forense de Linux

Los sistemas Linux pueden ser especialmente relevantes para servidores, entornos de desarrollo y lugares de trabajo técnicos.

Dependiendo de la distribución y la configuración, se pueden examinar los registros del sistema, la información del usuario, el historial de la consola, los artefactos del sistema de archivos, los archivos de configuración y otros datos técnicos.

Los rastros que aparecen dependen en gran medida de la configuración específica del sistema.

Análisis forense de RAM y datos volátiles

No toda la información relevante se almacena de forma permanente en un disco duro o SSD.

Un ordenador en funcionamiento puede contener información volátil en su memoria.

Dependiendo del estado del sistema y del objetivo de la investigación, realizar una copia de seguridad de la memoria de trabajo puede resultar relevante.

Los datos de la RAM pueden contener información sobre los procesos en ejecución, las conexiones de red u otros estados del sistema activos en el momento de la copia de seguridad.

Esta información se pierde siempre que se apaga el sistema.

¿Análisis forense en tiempo real o un sistema apagado?

La decisión de apagar un ordenador en funcionamiento o de examinarlo y protegerlo mientras está en marcha puede tener implicaciones significativas para las pruebas.

Un sistema en funcionamiento puede contener información volátil. Al mismo tiempo, cada interacción con un ordenador en funcionamiento cambia su estado.

En los sistemas cifrados, también puede ser relevante si el soporte de datos ya está montado en estado descifrado en el momento pertinente.

Por lo tanto, no existe una única recomendación correcta para todos los casos.

En caso de un incidente específico que involucre pruebas o problemas de seguridad, es aconsejable aclarar, si es posible antes de tomar cualquier otra medida, qué estrategia de seguridad es técnicamente apropiada.

Examen forense de archivos eliminados

Eliminar un archivo no significa automáticamente que toda la información desaparezca inmediatamente de todos los sistemas de almacenamiento.

Dependiendo del sistema de archivos, el medio de almacenamiento, el método de eliminación y el uso posterior, es posible que aún queden datos o restos de archivos.

Sin embargo, en el caso de las unidades SSD, los mecanismos TRIM y de limpieza de memoria interna pueden limitar significativamente la recuperación.

Por lo tanto, la recuperación de datos eliminados nunca puede garantizarse en general.

Pueden quedar vestigios incluso sin restauración.

Para una investigación forense, no solo es crucial si se puede recuperar el contenido completo de un archivo eliminado.

Otros artefactos del sistema pueden proporcionar pistas sobre archivos o actividades anteriores.

Esto puede hacer relevante, por ejemplo, determinar si un nombre de archivo, una ruta de almacenamiento o un proceso de uso en particular aún se pueden rastrear en otras estructuras de datos.

Examine los archivos y documentos.

Los documentos pueden contener información técnica adicional además de su contenido visible.

Dependiendo del formato del archivo, pueden estar presentes metadatos, información de tiempo, información del autor u otras propiedades.

Estos datos pueden ser relevantes para preguntas sobre la creación, edición u origen de un documento.

Sin embargo, los metadatos deben evaluarse en un contexto técnico, ya que pueden modificarse sustancialmente.

Análisis forense de USB y dispositivos de almacenamiento externo

En casos de sospecha de fugas de datos o copias de datos no autorizadas, la pregunta crucial suele ser si se utilizaron medios de almacenamiento externos.

Los ordenadores pueden dejar rastros de los dispositivos USB conectados.

Dependiendo del sistema operativo y la disponibilidad de datos, puede haber información sobre dispositivos específicos o su uso.

Esta información se puede correlacionar con información sobre archivos, usuarios y tiempo.

¿Es posible demostrar qué archivos se copiaron a una memoria USB?

Esta cuestión debe examinarse caso por caso.

El hecho de que se haya conectado un dispositivo de almacenamiento USB no prueba automáticamente qué archivos se copiaron en él.

Por lo tanto, para reconstruir técnicamente una posible fuga de datos, es necesario comparar entre sí diversos artefactos.

Esta distinción es particularmente importante en asuntos relacionados con el derecho laboral o los delitos de cuello blanco.

Análisis forense del navegador y actividad en internet

Los navegadores web pueden generar un extenso rastro digital.

Dependiendo del navegador, el perfil del usuario y el estado de los datos, por ejemplo, el historial, las descargas, las cookies, los datos de caché, la información de la sesión guardada u otros elementos del navegador pueden ser relevantes.

Esto permite ordenar cronológicamente ciertas actividades en internet, si fuera necesario.

Aquí también se aplica lo siguiente: Un único artefacto del navegador no debe equipararse automáticamente con una persona física específica.

Actividades de descarga y carga

En ciertas investigaciones, es relevante si los archivos fueron descargados de internet o transferidos a través de servicios en línea.

Los datos del navegador, los artefactos del sistema de archivos, la información de la aplicación y posiblemente otros registros pueden proporcionar pistas.

La posibilidad de demostrar de forma fiable una carga o descarga específica depende de las pruebas técnicas disponibles.

Análisis forense de correos electrónicos en ordenadores

La comunicación por correo electrónico puede dejar información relevante en diferentes niveles.

Además de los mensajes visibles, se pueden examinar las bases de datos de correo locales, los archivos adjuntos, la información de encabezado, los datos de caché y otros elementos.

En casos complejos, el análisis informático local puede combinarse con el examen de la cuenta de correo electrónico pertinente u otras fuentes de datos disponibles.

Rastros de nubes en una computadora

Incluso cuando los archivos se almacenan en un servicio en la nube, pueden quedar rastros locales en el ordenador.

Los programas de sincronización, los directorios locales, los datos de caché, las configuraciones y otros elementos pueden proporcionar pistas sobre el uso de un servicio en la nube.

Sin embargo, los artefactos informáticos locales y los datos que almacena el proveedor de la nube son fuentes de evidencia diferentes y deben evaluarse por separado.

Análisis de malware y software malicioso

Si se sospecha que un ordenador está comprometido, se puede comprobar si existen indicios técnicos de malware u otros cambios no deseados.

Esto permite examinar archivos, procesos, mecanismos de inicio automático, configuraciones del sistema, registros de eventos y otros artefactos.

Un análisis profesional no se limita a simplemente afirmar que un escáner de virus ha detectado un archivo específico.

Lo crucial es, más bien, qué rastros técnicamente verificables están presentes y qué conclusiones se pueden extraer de ellos.

Ordenador pirateado: ¿se puede demostrar que ha habido un ataque?

La posibilidad de demostrar un acceso no autorizado previo depende de los rastros que aún queden presentes.

La información relevante puede encontrarse en los registros del sistema, las cuentas de usuario, las aplicaciones, los datos del navegador, los rastros de red u otros artefactos.

Sin embargo, la ausencia de un artefacto detectable no prueba automáticamente que nunca se haya producido un ataque.

Del mismo modo, una sola anomalía técnica no demuestra automáticamente que se haya alcanzado un acuerdo satisfactorio.

Ataques de ransomware y cifrado

Tras un incidente de ransomware, pueden surgir diversas cuestiones forenses.

Esto incluye, por ejemplo, la posible ruta de ataque inicial, las cuentas de usuario afectadas, los programas ejecutados, los plazos y los sistemas que se vieron afectados.

En el caso de incidentes corporativos, dicha investigación puede formar parte de un análisis más exhaustivo de la respuesta al incidente.

Investigar la presunta manipulación

En caso de disputa, puede surgir la cuestión de si los archivos, documentos u otra información digital fueron alterados posteriormente.

La informática forense puede examinar los metadatos existentes, la información del sistema de archivos y otros artefactos técnicos, comprobando si existen inconsistencias.

Sin embargo, una anomalía técnica no constituye automáticamente prueba de manipulación deliberada.

Por el contrario, la ausencia de una anomalía no prueba que un archivo nunca haya sido modificado.

Reconstrucción de la actividad del usuario

Los sistemas operativos modernos generan numerosos artefactos durante su uso.

Al correlacionar diferentes fuentes, puede ser posible reconstruir qué actividades tuvieron lugar en un sistema en momentos específicos.

Es necesario distinguir entre la actividad de una cuenta de usuario y la identidad de una persona física.

El hecho de que una cuenta de usuario concreta estuviera activa no prueba automáticamente qué persona estaba sentada frente al ordenador.

Análisis de la línea de tiempo: reconstrucción de eventos cronológicamente

Uno de los métodos más potentes en la informática forense es la correlación temporal de diferentes rastros digitales.

Esto permite, por ejemplo, que los eventos del sistema de archivos, los registros del sistema, las ejecuciones de programas, las actividades del navegador, las conexiones USB y otros artefactos se coloquen en un contexto temporal común.

Dicha cronología puede ayudar a reconstruir procesos complejos paso a paso.

Las marcas de tiempo deben interpretarse correctamente desde un punto de vista técnico. Los distintos sistemas pueden utilizar diferentes zonas horarias, formatos de hora y significados para los valores de tiempo.

Examine la computadora y el teléfono inteligente juntos.

Hoy en día, los asuntos digitales rara vez se limitan a un solo dispositivo.

Un documento puede haber sido creado en un ordenador, sincronizado a través de un servicio en la nube, abierto en un teléfono inteligente y enviado posteriormente mediante mensajería instantánea.

Por lo tanto, en casos complejos, el examen conjunto de diferentes dispositivos puede resultar considerablemente más informativo.

LB Forensics puede combinar el análisis forense informático y móvil dentro de una estrategia de investigación común.

Ordenadores y dispositivos de almacenamiento de datos cifrados

Los ordenadores modernos utilizan cada vez más el cifrado de unidades y archivos.

Por ejemplo, BitLocker puede ser relevante para los sistemas Windows y FileVault para los sistemas Apple.

La posibilidad de acceder a los datos cifrados, y la forma de hacerlo, depende del estado del sistema, la configuración y la información de acceso disponible.

Por lo tanto, al planificar la preservación de pruebas, se debe tener en cuenta el cifrado existente.

Copia de seguridad forense en lugar de una simple copia de archivos.

Copiar archivos visibles a una memoria USB no equivale a una copia de seguridad forense completa.

Un proceso de copia de seguridad profesional documenta qué sistema o soporte de datos se utilizó, qué método se empleó y qué conjunto de datos se respaldó.

Dependiendo del caso que se esté investigando, se pueden utilizar valores hash criptográficos para documentar la integridad de conjuntos de datos definidos de forma rastreable.

Un valor hash no prueba automáticamente la veracidad ni la autoría del contenido de un archivo. Su función principal es comparar si un conjunto de datos definido ha cambiado con respecto a un estado de referencia documentado.

Bloqueador de escritura y protección del soporte de datos original

Los análisis adecuados del soporte de datos pueden emplear métodos de hardware o software diseñados para prevenir o minimizar el acceso de escritura no intencionado al soporte original.

El método más adecuado depende del soporte de datos específico y de la estrategia de copia de seguridad.

El objetivo es preservar el estado original de las pruebas en la medida de lo técnicamente posible y documentar los cambios de forma que se puedan rastrear.

Cadena de custodia y cadena de evidencia

En las investigaciones con relevancia jurídica, el resultado del análisis no es el único factor importante.

Igualmente crucial puede ser la capacidad de rastrear qué dispositivo fue examinado, cuándo fue adquirido, cómo fue asegurado y en qué conjunto de datos se basa el análisis posterior.

Esta cadena documentada de evidencia se conoce a menudo como Cadena de Custodia.

Informe forense y opinión pericial

Un análisis técnico exhaustivo solo resulta útil si los resultados se presentan de forma comprensible.

En función del encargo, los hallazgos relevantes pueden documentarse en un informe de investigación o en un análisis pericial.

Una buena documentación forense distingue entre:

• hechos técnicos establecidos,
• métodos de examen utilizados,
• conclusiones técnicas,
• restricciones existentes y
• Preguntas que no pueden responderse con los datos disponibles.

Puede encontrar más información en nuestra oficina de expertos en informática forense y análisis de dispositivos móviles.

¿Qué se debe evitar antes de una investigación forense informática?

En un posible caso probatorio, las acciones imprudentes podrían alterar las pruebas existentes.

• No elimine ni mueva archivos antes de tiempo.
• No utilice ningún programa de limpieza.
• No restablezca el ordenador a la configuración de fábrica.
• No realice una nueva instalación del sistema operativo.
• No formatee una unidad SSD ni un disco duro.
• No instale actualizaciones innecesarias.
• No realice ninguna acción antivirus ni reparación sin una evaluación previa.
• Evite conectar dispositivos de almacenamiento externos innecesariamente.
• No elimine los archivos de registro ni los perfiles de usuario.

Un sistema en funcionamiento no debe apagarse automáticamente. Los datos volátiles o el estado del cifrado pueden ser relevantes para la estrategia de copia de seguridad.

Análisis forense informático para empresas

En las empresas, la informática forense puede ser especialmente relevante en casos de sospecha de fugas de datos, acceso no autorizado, malware, manipulación interna, incumplimiento de normativas u otros incidentes de seguridad.

Deben tenerse en cuenta conjuntamente las posibilidades técnicas y los marcos legales.

Por lo tanto, una investigación debe centrarse en una pregunta específica y en un ámbito de investigación claramente definido.

Análisis forense informático en casos de empleados

Durante las investigaciones internas, los ordenadores de las estaciones de trabajo pueden contener importantes rastros digitales.

Las posibles preguntas se refieren, por ejemplo, a copias de datos, medios de almacenamiento externos, actividades relacionadas con archivos u otros procesos técnicos.

Una investigación forense no sustituye la revisión de la admisibilidad de una medida conforme al derecho laboral o al derecho de protección de datos.

Informática forense para abogados y tribunales

Los datos digitales pueden desempeñar un papel crucial en los procedimientos civiles, penales, laborales o económicos.

LB Forensik proporciona asistencia en la seguridad técnica, el análisis y la evaluación de pruebas digitales.

Se establece una distinción entre hechos técnicamente verificables y valoraciones jurídicas más exhaustivas.

Informática forense para particulares

Los particulares también pueden solicitar un análisis forense de sus ordenadores y dispositivos de almacenamiento de datos.

Las preguntas típicas incluyen, por ejemplo, sospecha de acceso no autorizado, pérdida de datos, sospecha de manipulación, malware, datos eliminados o la protección de pruebas digitales para procedimientos legales.

Servicios de informática forense en toda Alemania.

LB Forensik presta servicios de apoyo a empresas, abogados, autoridades y particulares en todo el país para la seguridad y la investigación de sistemas digitales.

Dependiendo de las circunstancias, la seguridad o la investigación pueden llevarse a cabo en el lugar de los hechos o bajo condiciones de investigación controladas.

Puede encontrar información regional, por ejemplo, en las secciones de informática forense para Stuttgart , informática forense para Düsseldorf e informática forense para Hannover.

Límites de la informática forense

La informática forense profesional puede revelar extensas huellas digitales. Sin embargo, no puede responder a todas las preguntas.

• Los datos eliminados no siempre se pueden recuperar.
• Los datos sobrescritos podrían perderse permanentemente.
• Los procesos internos de TRIM y de la unidad SSD pueden limitar la recuperación.
• El cifrado puede impedir o dificultar el acceso a los datos.
• No toda la actividad del usuario deja un registro digital claro.
• Una cuenta de usuario no es automáticamente sinónimo de una persona física específica.
• Una marca de tiempo debe interpretarse técnicamente.
• La ausencia de un artefacto no prueba automáticamente que un evento nunca haya ocurrido.

Por lo tanto, una investigación profesional rigurosa no solo identifica los rastros encontrados, sino también los límites de su significado.

Preguntas frecuentes sobre informática forense

¿Qué es la informática forense?

La informática forense consiste en la protección, el análisis y la evaluación estructurados de rastros digitales en ordenadores y soportes de almacenamiento. El objetivo es la reconstrucción técnica de eventos específicos a partir de los datos disponibles.

¿Qué ordenadores pueden ser examinados forensemente?

Dependiendo del sistema y de la pregunta formulada, se pueden examinar ordenadores Windows, portátiles, sistemas Apple Mac, así como discos duros, unidades SSD y medios de almacenamiento externos asociados.

¿Se puede determinar qué archivos fueron eliminados?

Esto puede ocurrir dependiendo del sistema de archivos, el medio de almacenamiento y el uso posterior. Incluso si no se puede recuperar el contenido de los archivos, otros rastros pueden indicar la existencia de archivos anteriores.

¿Se pueden recuperar los archivos eliminados?

Parcialmente. Las probabilidades de éxito dependen en gran medida del medio de almacenamiento, el sistema de archivos, el proceso de eliminación y el uso posterior. En el caso de las unidades SSD, la función TRIM y la limpieza de la memoria interna, en particular, pueden limitar la recuperación.

¿Es posible determinar cuándo se eliminó un archivo?

En determinadas condiciones, diversos artefactos pueden proporcionar pistas sobre un proceso de eliminación o su relación temporal. Sin embargo, no siempre es posible determinar la hora exacta de la eliminación.

¿Es posible determinar quién eliminó un archivo?

Los rastros digitales pueden vincular actividades a un sistema o cuenta de usuario. Sin embargo, esto no revela automáticamente qué persona física realizó la acción.

¿Es posible determinar si se conectó una memoria USB?

Dependiendo del sistema operativo y del estado de los datos, pueden quedar rastros de los dispositivos USB conectados.

¿Es posible determinar qué archivos se copiaron a una memoria USB?

Esto debe verificarse utilizando múltiples fuentes de datos. La mera presencia de un dispositivo USB conectado no prueba automáticamente que se haya realizado un proceso de copia.

¿Se puede examinar un ordenador pirateado?

Sí. En casos de sospecha de acceso no autorizado, se pueden analizar los rastros existentes del sistema, los archivos, los usuarios, el navegador, las aplicaciones y, si procede, de la red.

¿Es posible determinar cuándo un pirata informático obtuvo acceso?

Si se dispone de registros y otros artefactos adecuados, es posible acotar el período de tiempo en el que se produjo el acceso. Sin embargo, no siempre es posible una reconstrucción completa.

¿Se puede detectar el malware?

Si aún se detectan los artefactos correspondientes, podrían indicar la presencia de malware, programas sospechosos o cambios inusuales en el sistema.

¿Es posible determinar qué sitios web fueron visitados?

Los perfiles del navegador pueden contener historial, caché, descargas y otros datos, según el estado de los mismos. Sin embargo, los modos privados, las eliminaciones y otros factores pueden influir en la situación de los datos.

¿Se pueden recuperar los datos eliminados del navegador?

Dependiendo del navegador, el sistema de archivos y el estado del almacenamiento, esto podría ser parcialmente posible. No se puede garantizar una recuperación completa.

¿Se pueden investigar los correos electrónicos?

Sí. Los datos de correo electrónico almacenados localmente, los archivos adjuntos y otra información técnica pueden analizarse, dependiendo del sistema utilizado.

¿Se puede rastrear la actividad en la nube desde un ordenador?

La sincronización local y los artefactos de la aplicación pueden proporcionar pistas sobre el uso de ciertos servicios en la nube. Es posible que se requieran datos adicionales de la nube para una evaluación completa.

¿Es posible determinar si los archivos han sido manipulados?

Una investigación puede examinar anomalías técnicas, metadatos e inconsistencias. Sin embargo, no todos los cambios pueden identificarse o atribuirse definitivamente a una persona específica.

¿Se puede examinar un ordenador que está apagado?

Sí. Los datos no volátiles almacenados en soportes de almacenamiento existentes pueden ser respaldados y analizados, dependiendo del cifrado, el estado y la accesibilidad técnica.

¿Debería apagarse un ordenador sospechoso?

No automáticamente. En un sistema en funcionamiento, los datos volátiles de la RAM o un soporte de datos previamente descifrado pueden ser relevantes. Por lo tanto, conviene definir la estrategia de copia de seguridad adecuada antes de cualquier intervención, si es posible.

¿Qué es el análisis forense de la memoria RAM?

El análisis forense de la memoria RAM examina los datos de la memoria volátil de un sistema en funcionamiento. Estos datos pueden incluir información sobre los procesos activos y otros estados actuales del sistema.

¿Se puede examinar un disco duro cifrado?

Esto depende del método de cifrado, el estado del sistema y la información de acceso existente. El cifrado existente debe tenerse en cuenta lo antes posible en la planificación de copias de seguridad.

¿Qué es una imagen forense?

Una imagen forense es una copia de seguridad de un soporte o conjunto de datos, creada mediante un método definido, que posteriormente puede utilizarse para su análisis. El método de copia de seguridad específico depende del objeto que se esté investigando.

¿Qué significa Cadena de Custodia?

La cadena de custodia documenta la cadena de custodia de las pruebas. Su objetivo es permitir rastrear qué prueba se incautó, cómo se manejó y sobre qué base de datos se llevó a cabo la investigación.

¿Cuánto tiempo lleva un análisis forense informático?

La duración depende principalmente de la cantidad de datos, el número de dispositivos, el cifrado, las preguntas específicas que se planteen y la profundidad de la investigación requerida. Por lo tanto, una estimación fiable suele ser posible solo después de conocer el alcance exacto de la investigación.

¿Se puede examinar un ordenador reiniciado o recién instalado?

Sí, aún puede ser útil realizar una investigación. Sin embargo, reiniciar, reinstalar y usar el sistema posteriormente podría sobrescribir los datos anteriores o dejarlos inaccesibles. La información que aún se puede obtener debe analizarse en el sistema específico.

¿Una captura de pantalla es suficiente como prueba digital?

Una captura de pantalla puede documentar un estado visible, pero generalmente contiene mucha menos información contextual técnica que la fuente de datos original. Por lo tanto, para una evaluación forense más exhaustiva, se debe conservar la fuente de datos original siempre que sea posible.

¿Qué debo hacer si quiero someter un ordenador a un análisis forense?

Evite realizar cambios innecesarios en el sistema y documente su estado actual. En el caso de un sistema en funcionamiento o cifrado, determine el mejor curso de acción antes de apagarlo o realizar cualquier otra intervención.

Solicite análisis forense informático a través de LB Forensics.

Si es necesario examinar un ordenador, portátil, Mac o dispositivo de almacenamiento de datos tras un incidente de seguridad, en caso de sospecha de manipulación, pérdida de datos o en relación con una disputa legal, se recomienda coordinarlo lo antes posible.

Para una evaluación inicial, el tipo de dispositivo, el sistema operativo, los medios de almacenamiento de datos disponibles, el estado del cifrado y la pregunta específica son particularmente relevantes.

LB Forensics puede entonces determinar qué fuentes de datos deben protegerse y qué método de examen es el más adecuado para la cuestión probatoria.

La informática forense profesional no se trata de encontrar la mayor cantidad de datos posible. El factor crucial es asegurar metódicamente los rastros digitales, interpretarlos correctamente desde un punto de vista técnico y documentarlos de manera que permitan su seguimiento.