Forensic

Introducción

Antes de llegar la esencia del asunto, es necesario advertir al lector que, al leer el título del capítulo, puede que se imagine en un apartamento a oscuras, con una lámpara ultravioleta en la mano o en un laboratorio lleno de viales, instrumentos de medida de todo tipo y ordenadores ocupados por una mujer joven y guapa... Lo siento. El forensic se parece más a un hombre con barba (aunque el bigote también está bien) sentado detrás de una pantalla, escribiendo líneas grises en una pantalla negra y una taza de café a su lado. Nada muy emocionante a priori... Sin embargo, los curiosos, insomnes y pescadores (la paciencia es importante en informática y más aún en forensic) sin duda encontrarán completa satisfacción en la práctica de esta disciplina.

Sí, se requiere paciencia y una buena dosis de rigor y determinación. Durante un análisis forense es importante tener siempre en cuenta que no sabemos lo que vamos a descubrir y, en ocasiones, por falta de tecnología o porque el atacante se habrá encargado de borrar cualquier rastro, simplemente no encontrará nada.

¿Qué significa "forensic"?

Empecemos por el principio... ¿Forensic? ¿Forense? Esta es una elección personal. Podemos permitirnos algunas excentricidades. Así que aquí está nuestra regla, que tiene cierta lógica: como disciplina usaremos la palabra "forensic" y cuando se use como adjetivo, escribiremos "forense" (por ejemplo, "análisis forense").

Una vez cerrado este pequeño paréntesis ortográfico, echemos un vistazo a la disciplina ¿Qué es forensic? Forensic (o forense) es un neologismo, traducción del inglés forensic science. Etimológicamente, esta palabra proviene de "forum", la plaza pública que era el lugar donde se impartía justicia (forensis: del foro). Por tanto, entendemos que esto es lo que se podría llamar "informática legal". Sin embargo, este capítulo no pretende ser un curso de derecho y nos centraremos únicamente en la parte técnica de esta disciplina. En consecuencia, hablaremos de memoria, archivos binarios, estructuras, archivos de registro, etc, es decir, de "rastreo"...

Los métodos

Las herramientas

Hay docenas de herramientas muy potentes para hacer análisis forenses. No vamos a enumerar aquí todas estas herramientas de forma exhaustiva, porque preferimos dejar que el lector las descubra como mejor le parezca. Sin embargo, podemos citar algunas herramientas de referencia que serán esenciales para usted. Aquí hay una tabla que agrupa estas herramientas por categoría:

A continuación, detallaremos rápidamente las principales funcionalidades de estas herramientas y su uso en el análisis forense de un sistema.

1. Las herramientas de análisis de red

a. Wireshark

La herramienta Wireshark es EL punto de referencia para los profesionales relacionados con las redes. Administrador, auditor, consultor, etc. Esto también se aplica a los analistas forenses. Esta herramienta es capaz de ayudarlo a diseccionar literalmente cada paquete que pasa a través de su tarjeta de red.

Aquí se ve una captura de establecimiento de conexión. De hecho, observamos la presencia del flag SYN en el paquete. El analista forense que, por ejemplo, observe una gran cantidad de este tipo de paquetes sabrá que ha estado lidiando con un ataque de tipo DoS por SYN flood. Como recordatorio, este ataque tiene como objetivo saturar el servidor con conexiones "en espera" al no completar el three way handshake de establecimiento de las conexiones TCP.

b. tcpdump

En ausencia de un entorno gráfico, tcpdump es una herramienta esencial para capturar tramas de red antes de analizarlas con Wireshark. A continuación, vemos por qué es necesario dominar esta herramienta.

tcpdump...