Siete pasos para un an¨¢lisis inform¨¢tico

David Barroso asegura que es muy importante "documentar todas las acciones que han realizado los t¨¦cnicos de seguridad y los resultados que han obtenido porque de esa documentaci¨®n depender¨¢ su fiabilidad y validez ante terceros". El experto en an¨¢lisis forense de S21sec explica los siete pasos ante un caso real de robo de informaci¨®n interna dentro de una empresa:

Toma de contacto. Conversaci¨®n con los relacionados en el caso, con el objetivo de tener una idea clara de lo que ha ocurrido y planear la investigaci¨®n. En este caso se sospechaba de un empleado que hab¨ªa accedido a una m¨¢quina de otro empleado para sustraer un documento.

Copia del disco duro. Acompa?ado del representante de los trabajadores y de los directores, se requisa el ordenador del sospechoso para, delante de todos, realizar una copia ¨ªntegra, bit a bit, del disco duro. Esta copia servir¨¢ para la investigaci¨®n, y el ordenador requisado ser¨¢ guardado para su custodia en la caja fuerte de la empresa. Si se dispone de otros medios de almacenamiento externo, como CD o discos USB, se requisan tambi¨¦n para su posterior an¨¢lisis.

An¨¢lisis del disco duro. Se buscan indicios de virus, troyanos o gusanos, as¨ª como herramientas de ataque, con la idea de realizar una foto del ordenador y saber para qu¨¦ se usa realmente, as¨ª como el nivel del usuario. A continuaci¨®n se localiza y analiza la informaci¨®n que ha sido borrada. Seguidamente, se realiza una escala temporal lo m¨¢s exacta y detallada posible. Es decir, conociendo aproximadamente la fecha del suceso, se reconstruye el escenario segundo a segundo: acceso a ficheros, creaci¨®n o borrado de ficheros, ejecuci¨®n de comandos, accesos a p¨¢ginas de Internet, etc¨¦tera. Como se trata de un robo de informaci¨®n confidencial, se busca en todo el disco, tanto en archivos existentes, como en archivos borrados y espacio no utilizado.

An¨¢lisis de logs. Revisi¨®n y an¨¢lisis de todos los logs o huellas de actividad, de la m¨¢quina y de todos los elementos relacionados, tales como cortafuegos, IDS, impresoras y servidores.

Cadena de custodia. Una vez que hemos obtenido las pruebas, es fundamental documentarlas y mantener lo que se denomina cadena de custodia, que garantiza el origen de las pruebas, imprescindible si hay juicio.

Presentaci¨®n de resultados.

Acciones legales si fuera necesario.