La informática forense consiste en la protección, el examen y la evaluación metódicos de las huellas digitales en ordenadores y sus soportes de almacenamiento asociados. Esto incluye, entre otros, ordenadores de sobremesa, portátiles, sistemas Windows, Mac, dispositivos de almacenamiento internos y externos, y datos generados por programas, cuentas de usuario, navegadores y sistemas operativos.

El objetivo no es simplemente identificar los archivos presentes en un ordenador. La informática forense busca, en cambio, reconstruir procesos técnicos de forma rastreable: ¿Cuándo se creó, abrió, modificó o eliminó un archivo? ¿Qué programas se utilizaron? ¿Qué usuarios iniciaron sesión? ¿Qué dispositivos USB se conectaron? ¿Se copiaron, descargaron o transfirieron archivos a dispositivos de almacenamiento externos?

La informática forense es, por lo tanto, una de las áreas centrales de la informática forense . Su valor particular reside en combinar diferentes rastros digitales y reconstruir una secuencia de eventos técnicamente comprensible.

¿Qué significa exactamente la informática forense?

La informática forense, también conocida como análisis forense informático, se ocupa de la investigación forense de los sistemas informáticos y sus datos.

No se trata únicamente de recuperar archivos borrados. También interesan los archivos existentes, la información del sistema de archivos, la actividad del usuario, los registros del sistema, los datos del registro, los artefactos del navegador, los rastros de los programas, los dispositivos externos, la información de la red y muchas otras fuentes de datos.

Una investigación profesional combina tres áreas: la protección controlada de los datos de origen, el análisis técnico de los datos obtenidos y la evaluación comprensible de los resultados.

¿Qué ordenadores pueden ser examinados forensemente?

En principio, numerosos sistemas informáticos pueden ser objeto de una investigación forense.

Esto incluye ordenadores de sobremesa tradicionales, portátiles, estaciones de trabajo y otros sistemas informáticos. Los dispositivos que ejecutan Microsoft Windows o Apple macOS se examinan con especial frecuencia.

Debido a su uso generalizado y a la gran cantidad de artefactos generados por el sistema operativo, los sistemas Windows ofrecen amplias posibilidades de análisis. LB Forensics aborda estas investigaciones por separado en la sección de Análisis Forense de Windows.

Los ordenadores Apple poseen características técnicas únicas, como macOS, APFS, FileVault y la arquitectura de hardware de Apple. Aquí es donde entra en juego el campo de la informática forense de Mac.

¿Por qué un ordenador deja tantas huellas digitales?

Para que un ordenador funcione, el sistema operativo debe gestionar la información de forma continua. Se ejecutan programas, se abren archivos, los usuarios inician sesión, se montan dispositivos de almacenamiento y se establecen conexiones de red.

Muchos de estos procesos generan artefactos técnicos.

Por ejemplo, un usuario puede abrir un documento. Además del archivo en sí, esto puede generar rastros adicionales: entradas sobre archivos usados ​​recientemente, archivos temporales, accesos directos, información del programa o marcas de tiempo del sistema de archivos.

El valor forense a menudo surge precisamente de estas huellas indirectas.

¿Qué datos se pueden examinar en la informática forense?

La cantidad potencial de datos es considerable y depende del sistema operativo, las aplicaciones instaladas, el uso del ordenador y la pregunta específica que se formule.

Entre los ejemplos de datos que se pueden examinar se incluyen documentos, imágenes, vídeos, archivos, correos electrónicos, datos del navegador, descargas, cuentas de usuario, registros del sistema, rastros de programas, metadatos de archivos, archivos temporales, contenido de la papelera de reciclaje y datos eliminados.

Otras fuentes relevantes pueden incluir información sobre dispositivos USB, discos duros externos, conexiones de red, aplicaciones en la nube y programas instalados o eliminados.

¿Por qué la informática forense comienza con una pregunta?

Un ordenador moderno puede contener millones de archivos y una enorme cantidad de metadatos técnicos. Por lo tanto, un análisis indiscriminado de todos estos datos no es ni técnica ni económicamente viable.

Debe comenzar con una pregunta de investigación específica.

Algunos ejemplos son: ¿Se copiaron datos específicos de la empresa? ¿Cuándo se eliminó un archivo? ¿Se conectó una unidad USB en particular? ¿Qué actividades se realizaron antes de que un empleado dejara la empresa? ¿Se ejecutó algún programa malicioso? ¿O existe alguna evidencia de acceso no autorizado?

La pregunta planteada indica qué fuentes de datos deben priorizarse para la investigación.

¿Por qué no examinar directamente el ordenador?

Trabajar directamente sobre un sistema original relevante para la evidencia puede generar nuevos datos y modificar la información existente.

Incluso el arranque normal de un sistema operativo provoca numerosas operaciones de escritura. Se actualizan los registros, se crean archivos temporales y se modifican las marcas de tiempo.

Por lo tanto, en situaciones iniciales adecuadas, primero se crea una copia de seguridad forense de los datos .

El método de copia de seguridad más adecuado depende del sistema. Un ordenador apagado con un medio de almacenamiento accesible y sin cifrar presenta un punto de partida diferente al de un ordenador en funcionamiento y cifrado.

¿Qué es una imagen forense de un ordenador?

Una imagen forense es una copia de seguridad controlada de un soporte de datos o de un conjunto de datos definido, que puede servir de base para una investigación.

Con los soportes de datos tradicionales, una copia de seguridad sector por sector puede capturar no solo los archivos visibles, sino también las estructuras del sistema de archivos, las áreas no asignadas y otra información.

Esto permite examinar datos que no se capturarían durante una operación de copia normal a través del Explorador de archivos.

¿Cuál es la diferencia entre una copia normal y una copia de seguridad forense?

Al copiar una carpeta de un ordenador a un disco duro externo, normalmente solo se realiza una copia de seguridad de los archivos visibles y seleccionados.

Sin embargo, para una investigación forense, la información que se encuentra fuera de estos archivos puede ser relevante.

Esto incluye, por ejemplo, metadatos del sistema de archivos, entradas de directorio eliminadas, áreas de almacenamiento no asignadas u otras estructuras técnicas.

Por lo tanto, una copia normal de un archivo y una imagen forense de disco cumplen funciones diferentes.

¿Qué papel desempeñan los valores hash?

Los valores hash se pueden utilizar para caracterizar matemáticamente un conjunto de datos digitales y para detectar cambios posteriores.

Por ejemplo, si se crea una imagen forense , se puede documentar un valor hash criptográfico de los datos protegidos. Si posteriormente se calcula el mismo valor hash y coincide, esto sugiere que los datos en cuestión permanecieron inalterados entre los cálculos.

El artículo "Valor hash en la informática forense" explica cómo se utilizan los métodos de hash en la informática forense.

¿Un valor hash demuestra que una copia de seguridad se ha completado?

No. Hay que distinguir entre integridad y exhaustividad.

Un valor hash puede verificar la integridad del conjunto de datos exacto a partir del cual se calculó.

Sin embargo, esto no prueba automáticamente que toda la información teóricamente disponible se haya capturado durante la adquisición original.

Por lo tanto, también es necesario documentar con exactitud qué se aseguró y mediante qué método.

¿Qué papel desempeña un bloqueador de escritura?

Al proteger forensemente los soportes de datos adecuados, un bloqueador de escritura de hardware o software puede impedir que el sistema de investigación transmita comandos de escritura al soporte de datos de origen.

Esto es especialmente importante en los análisis de soportes de datos tradicionales, ya que deben evitarse las modificaciones involuntarias al original.

Sin embargo, un bloqueador de escritura no es una herramienta universal para todas las situaciones informáticas imaginables. Es posible que se requieran otros métodos de adquisición en sistemas en funcionamiento o con ciertas arquitecturas modernas de almacenamiento y cifrado.

¿Qué papel desempeña la cadena de custodia?

En las investigaciones relativas a las pruebas, no basta con analizar únicamente los datos técnicos.

Debe documentarse claramente qué dispositivo fue comprometido, cuándo ocurrió, su estado, qué copia de seguridad se creó y cómo se gestionaron posteriormente los datos.

Esta cadena de evidencias conecta el dispositivo físico de origen con el conjunto de datos que se examina posteriormente.

¿Qué se analiza en un PC con Windows?

Windows genera una gran cantidad de fuentes de datos relevantes para el análisis forense.

Esto incluye, entre otras cosas, registros de eventos, estructuras del registro, información del sistema de archivos, accesos directos, información sobre archivos utilizados recientemente, datos del navegador, perfiles de usuario y rastros de dispositivos conectados.

Dependiendo de la pregunta que se formule, estas fuentes se pueden combinar para reconstruir las actividades del usuario y del sistema.

¿Qué es el Registro de Windows?

El Registro de Windows es una base de datos de configuración central del sistema operativo.

Contiene información sobre configuraciones del sistema, ajustes de usuario, programas y muchas otras funciones.

En informática forense, ciertas áreas del registro pueden proporcionar pistas sobre la actividad del usuario, los dispositivos conectados o el software instalado.

Sin embargo, la información que permite proporcionar una entrada de registro depende de su función específica.

¿Qué importancia tienen los registros de eventos de Windows?

Windows registra numerosos eventos del sistema y de seguridad.

Dependiendo de la configuración y la retención, los registros de eventos pueden contener información sobre inicios de sesión, arranques del sistema, errores, servicios o eventos de seguridad, por ejemplo.

No todos los eventos se registran automáticamente, y los registros pueden limitarse, sobrescribirse o eliminarse. Por lo tanto, la ausencia de una entrada en particular no prueba necesariamente que un evento nunca haya ocurrido.

¿Se pueden reconstruir los inicios de sesión de los usuarios?

En condiciones adecuadas, diversos artefactos del sistema pueden proporcionar pistas sobre cuándo se iniciaron sesión en las cuentas de usuario.

Sin embargo, para una evaluación fiable, conviene distinguir entre la cuenta de usuario y la persona física que actúa en ella.

Una sesión iniciada muestra inicialmente qué cuenta se utilizó técnicamente. Sin embargo, esto no revela de forma automática e inequívoca quién estaba frente al ordenador.

¿Se puede reconstruir la actividad del usuario?

En algunos casos, las actividades pueden reconstruirse con gran detalle.

Entre los ejemplos de datos relevantes se incluyen los archivos abiertos, los programas ejecutados, la actividad del navegador, las descargas, los dispositivos de almacenamiento externo y otros eventos del sistema.

Sin embargo, normalmente no existe un registro completo e ininterrumpido de todas las acciones del usuario.

Por lo tanto, la informática forense reconstruye los eventos a partir de las huellas reales que están presentes.

¿Es posible identificar los archivos abiertos recientemente?

Windows y diversas aplicaciones generan archivos residuales relacionados con archivos utilizados recientemente.

Dicha información puede ser muy valiosa para reconstruir la actividad del usuario.

Sin embargo, una entrada debe interpretarse correctamente desde una perspectiva técnica. Dependiendo del artefacto, podría indicar, por ejemplo, apertura, selección, acceso u otra interacción.

¿Es posible determinar cuándo se creó un archivo?

Los sistemas de archivos almacenan diversas marcas de tiempo relacionadas con archivos y directorios.

Estos datos pueden proporcionar pistas sobre las fechas de creación y modificación.

Sin embargo, la interpretación no siempre es sencilla. Los procesos de copia, sincronización, restauración o el software pueden alterar las marcas de tiempo.

Por lo tanto, una sola marca de tiempo de archivo no debe interpretarse como una hora de creación irrefutable sin contexto.

¿Es posible determinar cuándo se abrió un archivo?

Esto depende del sistema operativo, el sistema de archivos, el programa utilizado y los artefactos existentes.

Un ordenador puede dejar rastros indirectos del uso de archivos, por ejemplo, a través de archivos usados ​​recientemente, accesos directos o datos específicos de las aplicaciones.

Sin embargo, no existe un historial de apertura completo y almacenado de forma permanente para todos los archivos.

¿Es posible determinar cuándo se modificó un archivo?

Los metadatos del sistema de archivos pueden contener una marca de tiempo de modificación.

Sin embargo, este valor debe interpretarse correctamente. Diferentes operaciones pueden afectar a diferentes campos de tiempo.

Por lo tanto, siempre que sea posible, se deben utilizar artefactos adicionales para obtener resultados importantes.

¿Es posible determinar cuándo se eliminó un archivo?

En determinadas condiciones, el sistema de archivos y otros artefactos del sistema pueden proporcionar pistas sobre los procesos de eliminación.

Sin embargo, no se dispone de una hora exacta de eliminación para cada sistema de archivos ni para cada situación inicial.

En Windows, por ejemplo, la estructura de la papelera de reciclaje puede contener información adicional si el archivo se eliminó a través de la papelera de reciclaje y los metadatos correspondientes aún están presentes.

¿Se pueden recuperar los archivos eliminados?

Sí, bajo ciertas condiciones.

En los discos duros magnéticos tradicionales, los datos borrados pueden seguir presentes en áreas de almacenamiento no asignadas siempre que dichas áreas no hayan sido sobrescritas.

La situación es más compleja con las unidades SSD. Funciones como TRIM y la limpieza de la memoria interna pueden provocar que los datos eliminados se vuelvan irrecuperables mucho más rápido.

Por lo tanto, cualquier persona que desee recuperar datos debe evitar usar el sistema afectado innecesariamente. LB Forensics también aborda este tema en su sección de Recuperación de datos.

¿Por qué difieren los discos duros (HDD) y las unidades de estado sólido (SSD) desde una perspectiva forense?

Los discos duros magnéticos y las unidades de estado sólido gestionan los datos de maneras técnicamente diferentes.

En un disco duro tradicional, la eliminación de un archivo inicialmente solo puede provocar que el sistema de archivos vuelva a marcar sus áreas de almacenamiento como disponibles.

Por otro lado, las unidades SSD utilizan memoria flash, controladores y mecanismos de gestión internos. La función TRIM puede indicarle a la unidad qué bloques ya no necesita el sistema de archivos.

Esto altera significativamente las posibilidades de recuperar datos eliminados.

¿Qué papel desempeña el cifrado?

El cifrado puede influir significativamente en el acceso forense.

Los sistemas Windows se pueden proteger con BitLocker, por ejemplo. FileVault se puede usar en Mac.

Si un soporte de datos está completamente cifrado y no existen opciones de acceso adecuadas, una copia de seguridad física podría capturar los datos cifrados, pero su contenido no se podría analizar fácilmente.

Por lo tanto, el estado del sistema en el momento de la adquisición puede ser crucial.

¿Por qué un ordenador en funcionamiento puede ser una valiosa prueba forense?

Un ordenador encendido puede contener información que, una vez apagado, ya no esté disponible en el mismo formato.

Esto puede incluir, por ejemplo, soportes de datos descifrados, sesiones de usuario activas, procesos en ejecución, conexiones de red o datos volátiles en la memoria.

Un bloqueo reflejo puede provocar la pérdida de dicha información.

¿Debe apagarse inmediatamente un ordenador sospechoso?

No existe una respuesta universalmente válida.

Desconectar un sistema cifrado en funcionamiento puede dificultar considerablemente el acceso posterior. Sin embargo, en caso de un ciberataque activo, un sistema que permanezca operativo puede permitir la comunicación o modificaciones adicionales.

Por lo tanto, la medida adecuada depende del incidente, del estado del sistema y del objetivo de la investigación.

¿Qué es la ciencia forense en vivo?

El análisis forense en tiempo real se refiere al examen o la obtención de información específica de un sistema en funcionamiento.

Esto puede incluir, por ejemplo, la memoria de trabajo, los procesos en ejecución, las conexiones de red activas, los usuarios que han iniciado sesión o información sobre los medios de almacenamiento cifrados montados.

La principal diferencia con el análisis forense clásico sin conexión es que el trabajo se realiza sobre un sistema en funcionamiento, lo que inevitablemente conlleva ciertos cambios de estado.

¿Qué es la informática forense fuera de línea?

Un examen fuera de línea implica analizar un sistema que no está en funcionamiento o un soporte de datos protegido.

Esto permite realizar una investigación controlada sin que el sistema operativo original genere continuamente nuevos datos durante el análisis.

Por lo tanto, siempre que sea técnicamente posible, los análisis se realizan preferiblemente sobre conjuntos de datos protegidos forensemente.

¿Qué es el análisis forense de la memoria RAM?

La memoria principal de un ordenador en funcionamiento puede contener información volátil que no está presente en el medio de almacenamiento, o que no se encuentra en el mismo formato.

Esto puede incluir procesos en curso, estados de red y otra información temporal.

Cuando se apaga un ordenador, generalmente se pierde el contenido de su memoria RAM. Por lo tanto, una copia de seguridad de la RAM puede ser útil en ciertos incidentes de seguridad.

¿Se pueden detectar las memorias USB?

Los sistemas Windows pueden dejar diversos datos sobre los dispositivos USB conectados.

Dependiendo del dispositivo y del conjunto de datos, puede que aparezca información como detalles del fabricante, identificadores de producto, números de serie o referencias de tiempo.

Esto permite, bajo ciertas condiciones, reconstruir que un dispositivo USB específico estaba conectado a una computadora.

¿Es posible determinar qué memoria USB se utilizó?

Algunos dispositivos de almacenamiento USB pueden contener información única o, al menos, información que permite distinguirlos.

Esto puede permitir vincular un soporte de datos específico con rastros encontrados en el ordenador examinado.

Sin embargo, la identificabilidad exacta depende del dispositivo y de la información del sistema almacenada.

¿Es posible determinar qué archivos se copiaron a una memoria USB?

Esta es una cuestión más compleja que simplemente demostrar que un dispositivo USB está conectado.

Windows no mantiene automáticamente un registro completo e inalterable de todas las operaciones de copia de archivos.

Sin embargo, en circunstancias adecuadas, se puede correlacionar la información del sistema de archivos, los archivos utilizados recientemente, los accesos directos, las marcas de tiempo y otros elementos.

Esto podría permitir que un proceso de copiado sea técnicamente compatible o reconstruido.

¿Se pueden detectar los discos duros externos?

Los discos duros externos USB y las unidades SSD también pueden dejar rastros en el sistema operativo.

Por lo tanto, la investigación puede incluir tanto el ordenador como el dispositivo de almacenamiento de datos externo en cuestión.

Si ambos sistemas están disponibles, se pueden comparar los archivos, los metadatos y la información temporal.

¿Se pueden rastrear las operaciones de copia de archivos?

Sí, bajo ciertas condiciones.

La evidencia se vuelve más concluyente cuando coinciden varios rastros independientes. Un dispositivo de almacenamiento conectado, nombres de archivo coincidentes, marcas de tiempo correspondientes y otros artefactos del sistema pueden, en conjunto, proporcionar una imagen mucho más sólida que un solo hallazgo.

Sin embargo, no existe automáticamente un historial de copias completo.

¿Es posible determinar si los archivos se han copiado a la nube?

Las aplicaciones en la nube pueden dejar rastros locales, como directorios sincronizados, configuraciones de programas, archivos de caché o información de registro.

La posibilidad de demostrar que una carga específica se realizó depende del servicio utilizado y de los datos que aún estén disponibles.

Para ciertas preguntas, puede ser necesario un examen adicional de la cuenta en la nube correspondiente.

¿Se pueden examinar los correos electrónicos en un ordenador?

Sí. Los datos de correo electrónico se pueden almacenar localmente en programas de correo electrónico, datos del navegador, archivos adjuntos, áreas de caché u otras estructuras de almacenamiento.

Dependiendo de la pregunta, el contenido del mensaje, la información del encabezado, los archivos adjuntos y la información de tiempo pueden ser relevantes.

Los sistemas de correo electrónico basados ​​en la nube requieren una distinción entre los archivos disponibles localmente y los datos del servidor.

¿Se puede analizar la actividad del navegador?

Los navegadores se encuentran entre las fuentes de datos más importantes en la informática forense.

Dependiendo del navegador y la configuración, pueden estar presentes el historial, las descargas, las cookies, la caché, la información de la sesión y otros datos.

Esta información puede ayudar a reconstruir los sitios web visitados, las descargas o las cronologías.

¿Se puede detectar el modo incógnito o privado?

Los modos de navegación privada reducen el almacenamiento de cierta información en el navegador correspondiente.

Sin embargo, esto no significa automáticamente que no puedan quedar rastros técnicos en el sistema en general.

Otros componentes del sistema, servicios de red o sistemas externos pueden generar información de forma independiente.

La posibilidad de demostrar posteriormente una actividad de navegación privada específica depende de las fuentes de datos disponibles.

¿Se pueden rastrear las descargas?

Las descargas pueden dejar rastros en el navegador, el sistema de archivos, el directorio de descargas y posiblemente otros archivos del sistema.

Aunque un archivo descargado se elimine posteriormente, en determinadas condiciones pueden quedar rastros de la descarga.

¿Se pueden detectar los programas instalados?

Sí. Los sistemas operativos y las aplicaciones dejan mucha información sobre el software instalado.

En Windows, por ejemplo, las entradas del registro, los directorios de programas, los datos del instalador y otros elementos del sistema pueden ser relevantes.

La prueba exacta depende de la información que aún esté disponible.

¿Se pueden detectar los programas desinstalados?

Sí, bajo ciertas condiciones.

Desinstalar una aplicación no elimina necesariamente todos los rastros. Es posible que queden directorios, datos de configuración, registros u otra información del sistema.

Sin embargo, la presencia de dichos artefactos debe ser evaluada por profesionales, ya que una cantidad residual no prueba automáticamente cuándo ni durante cuánto tiempo se utilizó el programa.

¿Se puede detectar el malware en un ordenador?

Sí. Si se sospecha de la presencia de malware, se pueden examinar archivos, procesos, mecanismos de inicio automático, cambios en el sistema, rastros de red y otros indicadores.

Este tipo de análisis va más allá de un escaneo de virus normal.

Por ejemplo, puede ser relevante saber cuándo entró un archivo sospechoso en el sistema, si se ejecutó, qué cambios provocó y si otros sistemas podrían verse afectados.

¿Es posible reconstruir el acceso no autorizado?

En condiciones adecuadas, los eventos de inicio de sesión, los registros del sistema, los datos de red, las actividades de los usuarios y otros artefactos pueden proporcionar evidencia de acceso no autorizado.

La importancia de los hallazgos depende en gran medida del tipo de registro de datos que se utilizaba y de los datos que aún están disponibles.

Una dirección IP o un único inicio de sesión por sí solos no identifican necesariamente a una persona física específica.

¿Qué papel desempeñan los metadatos de los archivos?

Los archivos suelen contener metadatos técnicos además de su contenido visible.

Esto puede incluir marcas de tiempo del sistema de archivos, información sobre el tamaño y, según el formato del archivo, metadatos internos adicionales.

Los documentos de Office, las imágenes, los archivos PDF y otros formatos pueden contener información propia.

Los metadatos proporcionan información valiosa, pero deben interpretarse de forma crítica porque a veces pueden ser alterados.

¿Se pueden detectar las marcas de tiempo manipuladas?

En determinadas condiciones, se pueden identificar discrepancias.

Una marca de tiempo sospechosa no se considera de forma aislada. Se puede comparar con información del sistema de archivos, artefactos de la aplicación, datos de registro y otros eventos.

Si varias fuentes de datos independientes se contradicen entre sí, esto puede ser un indicio de un cambio.

¿Qué es el análisis de línea de tiempo?

En un análisis de línea de tiempo, se combina información temporal de diferentes fuentes de datos.

Esto permite, por ejemplo, reconstruir qué acontecimientos tuvieron lugar inmediatamente antes o después de un proceso determinado.

Dicha cronología puede vincular eventos del sistema de archivos, actividad del usuario, uso de programas, datos del navegador y registros del sistema.

Resulta especialmente valioso cuando el objetivo no es examinar un único hallazgo, sino todo un proceso.

¿Por qué es tan importante la correlación de múltiples trazas?

Un único artefacto digital suele tener un poder explicativo limitado.

Una entrada USB puede indicar que se conectó un dispositivo. Un artefacto de archivo puede mostrar que se utilizó un documento. Una marca de tiempo puede proporcionar un contexto temporal.

Cuando múltiples fuentes de datos técnicamente independientes respaldan la misma secuencia de eventos, la reconstrucción se vuelve significativamente más fiable.

¿Puede la informática forense investigar el robo de datos?

Sí. Especialmente en casos sospechosos dentro de las empresas, la informática forense puede desempeñar un papel fundamental.

Entre los ejemplos de datos que se pueden examinar se incluyen dispositivos USB, medios de almacenamiento externos, aplicaciones en la nube, actividad de correo electrónico, acceso a archivos y otros rastros técnicos.

Sin embargo, la mera existencia de archivos confidenciales en un ordenador no prueba el robo de datos. Lo crucial es reconstruir la posible ruta de la fuga de datos.

¿Puede la informática forense reconstruir las actividades de antiguos empleados?

En las condiciones adecuadas, se pueden investigar las actividades realizadas durante el período anterior a la salida del empleado de la empresa.

Resultan especialmente relevantes los accesos a archivos, los medios de almacenamiento externos, los servicios en la nube, la actividad del navegador, el correo electrónico, los procesos de eliminación y los programas instalados.

Cuanto antes se proteja un dispositivo afectado, menor será el riesgo de que los datos relevantes se alteren o se sobrescriban con el uso posterior.

¿Puede la informática forense demostrar quién realizó una acción?

Esto suele ser más difícil que la prueba técnica de la acción en sí.

Por ejemplo, un ordenador puede mostrar que se ha realizado actividad bajo una cuenta de usuario específica. Esto no significa automáticamente que solo el titular de la cuenta haya actuado personalmente.

Por lo tanto, para una asignación personalizada deben tenerse en cuenta circunstancias técnicas y fácticas adicionales.

¿Cuál es la diferencia entre la informática forense y la recuperación de datos?

La recuperación de datos se centra principalmente en hacer que los datos perdidos o eliminados vuelvan a ser accesibles.

La informática forense plantea preguntas adicionales: ¿Cuál es el origen del archivo? ¿Cuándo se creó o modificó? ¿Qué otros rastros del sistema están asociados a él? ¿Se han realizado copias de seguridad fiables de los datos? ¿Qué conclusiones se pueden extraer desde un punto de vista técnico?

Por lo tanto, un archivo recuperado no constituye automáticamente el resultado final de una investigación forense.

¿Cuál es la diferencia entre la informática forense y la seguridad informática?

La seguridad informática tiene como objetivo, entre otras cosas, proteger los sistemas contra ataques, pérdida de datos y acceso no autorizado.

Por otro lado, la informática forense examina los rastros digitales existentes, a menudo después de que ya haya surgido un evento específico o una sospecha.

Ambas áreas se superponen en cuanto a incidentes de seguridad, pero persiguen tareas fundamentales diferentes.

¿Qué papel desempeña la informática forense en los ciberataques?

Tras un ciberataque, los sistemas informáticos pueden contener información importante sobre el incidente.

Algunas preguntas posibles son: ¿Cómo obtuvo el atacante acceso al sistema? ¿Qué cuentas de usuario se utilizaron? ¿Qué software malicioso se ejecutó? ¿Qué datos podrían haber sido alterados o transmitidos?

En este contexto, el análisis forense de soportes de datos, el análisis de memoria, la evaluación de registros y los datos de red pueden resultar relevantes de forma conjunta.

¿Qué debe evitar una empresa en caso de sospecha de un caso?

Un dispositivo potencialmente relevante no debe utilizarse innecesariamente.

Puede resultar igualmente problemático buscar primero entre los archivos, instalar programas, cambiar cuentas de usuario o eliminar datos supuestamente sospechosos.

Estas medidas pueden alterar precisamente aquellos rastros que posteriormente serán necesarios para la reconstrucción.

¿Qué se debe tener en cuenta al utilizar un ordenador de pruebas apagado?

Si un ordenador en cuestión ya está apagado, no debería reiniciarse normalmente solo para ver sus archivos.

El arranque normal del sistema genera nuevas actividades del sistema operativo y puede modificar los rastros existentes.

Por lo tanto, se debe determinar el método de respaldo adecuado antes del próximo inicio.

¿Qué se debe tener en cuenta al utilizar un ordenador personal como fuente de pruebas?

Un ordenador en funcionamiento no debe utilizarse ni apagarse de forma automática.

Especialmente en casos de cifrado o incidentes de seguridad en curso, la información volátil puede ser relevante.

La decisión entre realizar una copia de seguridad en tiempo real, aislar el sistema o apagarlo de forma controlada debe basarse en cada caso específico.

¿Cuál es el procedimiento típico para una investigación forense informática?

En primer lugar, se define la pregunta de investigación y se documenta el sistema en cuestión.

El siguiente paso, según el estado del dispositivo, consiste en determinar qué datos deben respaldarse primero. En el caso de sistemas apagados, esto podría incluir una copia de seguridad forense. Para sistemas en funcionamiento, los datos volátiles también pueden ser relevantes.

Una vez realizada la copia de seguridad de los datos, estos se procesan y analizan en función de la pregunta de investigación.

Se revisan los documentos pertinentes, se ordenan cronológicamente y se comparan con otras fuentes de datos. Solo entonces se lleva a cabo la evaluación experta.

¿Por qué es importante documentar la investigación?

Una evaluación posterior debería permitir determinar qué sistema se examinó, qué datos se protegieron y en qué se basó la obtención de un resultado.

Esto incluye, por ejemplo, información sobre el dispositivo, el método de copia de seguridad, los conjuntos de datos utilizados, las comprobaciones de integridad y los pasos de investigación pertinentes.

Especialmente en posibles litigios, una metodología comprensible es más importante que una simple recopilación de capturas de pantalla o resultados de búsqueda.

¿Qué no puede hacer la informática forense?

La informática forense no puede generar información que ya no existe o que es técnicamente inaccesible.

Tampoco puede deducir automáticamente una persona, motivación o intención específicas a partir de cada hallazgo técnico.

Conectar una unidad USB no prueba automáticamente que se hayan copiado archivos. La existencia de un archivo no prueba automáticamente su origen. Una cuenta de usuario no identifica inequívocamente a la persona que actúa en cada situación.

Por lo tanto, los límites de un hallazgo forman parte de una evaluación profesionalmente sólida.

Ejemplo práctico: Sospecha de copia de datos antes de la terminación.

Se sospecha que una empresa copió documentos confidenciales poco antes de que un empleado abandonara la compañía.

Una investigación forense informática puede determinar, en primer lugar, qué dispositivos de almacenamiento externos estaban conectados durante el período en cuestión.

Posteriormente, se pueden examinar los accesos a archivos, los documentos utilizados recientemente, las marcas de tiempo, las aplicaciones en la nube y otros elementos.

Por ejemplo, si se encuentra un medio de almacenamiento externo dentro del período de tiempo pertinente y también existen registros de archivos y de uso coincidentes, esto puede resultar en una conexión técnica significativamente más sólida que una sola entrada USB.

Ejemplo práctico: Archivos eliminados

Faltan archivos importantes en el ordenador. En primer lugar, es necesario determinar qué tipo de dispositivo de almacenamiento se está utilizando y si se trata, por ejemplo, de un disco duro (HDD) o una unidad de estado sólido (SSD).

Posteriormente, se pueden examinar las estructuras del sistema de archivos, los datos de la papelera de reciclaje y otros artefactos.

El resultado podría ser la recuperación de los archivos, una prueba indirecta de su existencia anterior o la constatación de que no quedan datos utilizables.

Ejemplo práctico: Acceso no autorizado

Una empresa sospecha que una persona desconocida ha accedido a un ordenador.

La investigación puede comparar las credenciales de inicio de sesión, los registros de eventos, la actividad del usuario, los programas y otros rastros técnicos.

Un único inicio de sesión inusual es, en principio, solo un hallazgo. Únicamente el análisis de otros eventos del sistema puede revelar si esto conduce a una ruta de ataque técnicamente plausible.

Ejemplo práctico: documento manipulado

Existe una controversia sobre cuándo se creó o modificó realmente un documento.

Una investigación no debe limitarse a observar la marca de tiempo visible del archivo.

Además, se pueden evaluar los metadatos internos de los documentos, la información del sistema de archivos, las copias de seguridad, los archivos utilizados recientemente y otros artefactos correspondientes.

Solo comparando diferentes fuentes de datos se puede realizar una evaluación más fiable.

Preguntas frecuentes sobre informática forense

¿Qué es la informática forense explicada de forma sencilla?

La informática forense consiste en el análisis y la protección metódicos de las huellas digitales en los ordenadores. El objetivo es reconstruir los procesos técnicos con la mayor transparencia posible y evaluar profesionalmente los datos relevantes.

¿La informática forense es lo mismo que la informática forense?

La informática forense es un subcampo clave de la informática forense . La informática forense también puede abarcar, por ejemplo, teléfonos inteligentes, servidores, sistemas en la nube y otras fuentes de datos digitales.

¿Qué ordenadores se pueden examinar?

Entre otros dispositivos, se pueden realizar análisis forenses de ordenadores Windows, portátiles, estaciones de trabajo y Mac. El método específico depende del hardware, el sistema operativo, la tecnología de almacenamiento y el cifrado.

¿Qué datos se pueden examinar en un PC?

Dependiendo del sistema, se pueden examinar archivos, datos eliminados, información del navegador, actividad del usuario, registros del sistema, rastros USB, programas, correos electrónicos y muchos otros elementos.

¿Se pueden recuperar los archivos eliminados?

Sí, bajo ciertas condiciones. Las posibilidades dependen en particular del medio de almacenamiento, el sistema de archivos, la sobrescritura y, en el caso de las unidades SSD, de funciones como TRIM.

¿Se pueden recuperar datos de una unidad SSD?

Parcialmente. En el caso de las unidades SSD, la función TRIM y la limpieza de la memoria interna pueden complicar significativamente o incluso impedir la recuperación de datos eliminados.

¿Es posible determinar cuándo se eliminó un archivo?

En determinadas condiciones, el sistema de archivos u otros artefactos del sistema pueden proporcionar pistas sobre la hora de eliminación. Sin embargo, no siempre se dispone de una hora exacta.

¿Es posible determinar cuándo se abrió un archivo?

Dependiendo del sistema operativo y de los archivos existentes, puede haber indicios del uso de los archivos. Sin embargo, normalmente no existe un historial completo de aperturas para cada archivo.

¿Es posible determinar cuándo se copió un archivo?

En ocasiones, una operación de copia puede reconstruirse utilizando varios rastros técnicos. Sin embargo, Windows no mantiene automáticamente un registro completo de todas las copias de archivos.

¿Se puede rastrear una memoria USB?

Sí. Windows puede almacenar diversa información sobre los dispositivos USB conectados, lo que, bajo ciertas condiciones, puede permitir su identificación.

¿Es posible determinar qué archivos se copiaron a una memoria USB?

En condiciones adecuadas, varios artefactos pueden respaldar una operación de copia. Sin embargo, no existe un historial completo de copias automáticas.

¿Se pueden detectar los discos duros externos?

Sí. Los discos duros externos y las unidades SSD también pueden dejar rastros de uso y del dispositivo en el sistema operativo.

¿Es posible reconstruir la actividad del navegador?

Dependiendo del navegador, puede haber historial, descargas, cookies, caché y otra información presente.

¿Se pueden recuperar los datos eliminados del navegador?

En determinadas circunstancias, pueden quedar restos de la base de datos, contenido de la caché u otros rastros. No se garantiza una recuperación completa.

¿Se puede detectar el uso del modo incógnito?

Los modos de navegación privada reducen ciertos registros locales del navegador. Sin embargo, otros componentes del sistema o de la infraestructura aún pueden generar rastros. La detección de un evento específico depende de los datos disponibles.

¿Se pueden detectar los programas instalados?

Sí. Los sistemas operativos almacenan diversa información sobre el software instalado.

¿Se pueden detectar los programas desinstalados?

En determinadas condiciones, es posible que después de la desinstalación sigan presentes directorios de programas, entradas del registro, registros de actividad u otros elementos residuales.

¿Se pueden rastrear los inicios de sesión de Windows?

En función de los registros disponibles, se pueden evaluar los eventos de inicio de sesión y otra información del sistema.

¿Se puede determinar quién utilizó el ordenador?

Los rastros digitales pueden asociarse a una cuenta de usuario o a una sesión. Sin embargo, para vincularlos definitivamente a una persona específica, puede ser necesario obtener información adicional.

¿Se puede demostrar que ha habido una filtración de datos?

En determinadas condiciones, las unidades USB, el almacenamiento en la nube, los correos electrónicos, los archivos y otros rastros pueden permitir reconstruir una posible filtración de datos. La conclusión específica depende de los datos disponibles.

¿Puede la informática forense detectar el malware?

Sí. Se pueden examinar archivos, cambios del sistema, programas de inicio, procesos, rastros de red y otros indicadores.

¿Se puede demostrar que un ataque informático ha ocurrido?

Según los datos del sistema y los registros disponibles, se pueden reconstruir las evidencias de acceso no autorizado y su secuencia. Sin embargo, no todos los ataques dejan las mismas huellas ni dejan rastros permanentes.

¿Debería apagarse un ordenador sospechoso?

No se trata de una generalización. En el caso de sistemas cifrados en funcionamiento o incidentes de seguridad, los datos volátiles pueden ser cruciales. La medida adecuada depende de cada situación específica.

¿Debe encenderse un ordenador apagado para realizar pruebas?

En caso de que existan indicios potenciales, conviene evitar, en la medida de lo posible, un arranque normal hasta que se determine un método de copia de seguridad adecuado, ya que el proceso de arranque puede alterar los datos existentes.

¿Qué es una copia forense?

Una copia de seguridad forense implica la recopilación controlada y documentada de un conjunto definido de datos. Con los medios de almacenamiento adecuados, esto puede incluir una representación sector por sector del almacenamiento.

¿Qué es un bloqueador de escritura?

En escenarios de respaldo adecuados, un bloqueador de escritura impide que el sistema de investigación escriba en el soporte de datos de origen.

¿Por qué se utilizan los valores hash?

Los valores hash permiten comprobar si un conjunto de datos digitales específico ha sufrido cambios desde que fue calculado.

¿Un valor hash es prueba de que una copia de seguridad está completa?

No. Un valor hash puede respaldar la integridad del conjunto de datos hash, pero no prueba automáticamente que se hayan capturado todos los datos posibles durante la adquisición.

¿Qué es un análisis de línea de tiempo?

Esto implica combinar información temporal procedente de diferentes fuentes de datos para reconstruir un proceso técnico.

¿Cuál es la diferencia entre la informática forense y la recuperación de datos?

La recuperación de datos se centra en la recuperación de datos. La informática forense investiga además el origen, la integridad, las relaciones temporales y el significado de las huellas digitales.

¿Se puede realizar un análisis forense de un Mac?

Sí. Los sistemas macOS pueden ser examinados forensemente. Sin embargo, el hardware de Apple, APFS y FileVault requieren un procedimiento adaptado al sistema específico.

¿Se puede examinar un PC con Windows cifrado con BitLocker?

En principio, incluso un sistema cifrado puede ser objeto de una investigación. Los datos a los que se puede acceder realmente dependen, entre otras cosas, del estado del sistema y de los métodos de descifrado disponibles.

¿Cuánto tiempo lleva un análisis forense informático?

Esto depende de la cantidad de datos, el número de dispositivos, la capacidad de almacenamiento, el cifrado y la pregunta específica que se esté investigando. Crear una copia de seguridad y el análisis profesional posterior son pasos distintos.

¿Se puede utilizar la informática forense en un tribunal?

Los hallazgos de la informática forense pueden ser relevantes en los procesos judiciales. Su valor probatorio específico depende, entre otros factores, de la fuente de datos, el método de conservación de datos, la documentación y la valoración jurídica correspondiente.

¿Cuáles son los límites de la informática forense?

Las limitaciones surgen, entre otras cosas, de la sobrescritura, el cifrado, la falta de protocolos, la limpieza del almacenamiento SSD y el poder explicativo limitado de los artefactos individuales.

La informática forense reconstruye las conexiones en lugar de limitarse a buscar archivos.

La fuerza de la informática forense no reside en listar la mayor cantidad de archivos posible. Lo crucial es la reconstrucción de conexiones técnicamente verificables.

Una sola entrada USB puede indicar que se conectó un dispositivo de almacenamiento a un ordenador. Solo otros registros pueden proporcionar pistas sobre si se abrieron o copiaron archivos relevantes durante el mismo período. Una marca de fecha y hora puede indicar un momento específico. Solo una comparación con otros registros del sistema revela la fiabilidad de su interpretación.

Lo mismo se aplica a los archivos eliminados, la actividad del navegador, los inicios de sesión de los usuarios o los posibles ataques. Un único hallazgo técnico no debe interpretarse de forma más amplia de lo que permite su fuente de datos.

Por lo tanto, la informática forense profesional combina la copia de seguridad forense de datos , el análisis del sistema operativo y del sistema de archivos, la correlación temporal y la evaluación de expertos. Documenta no solo lo que se encontró, sino también cómo se obtuvo el hallazgo, en qué fuente de datos se basa y qué explicaciones alternativas deben considerarse.

Esto permite crear una reconstrucción comprensible a partir de una gran cantidad de información técnica individual, sin pretender aportar más información de la que demuestran las huellas digitales reales.

Volver a la descripción general del conocimiento