El lado oscuro del computer forensics

En el presente artículo se aborda un área de la seguridad con un gran nivel de crecimiento denominada seguridad forense (ligada a la respuesta de incidentes y a la gestión de evidencias digitales), en ella se trata de recoger trazas y evidencias digitales de computador o red (datos abiertos, desconocidos, potencialmente desconocidos y ocultos) y utilizar dicha información digital tanto para procedimientos legales, administrativos como para mejorar la seguridad de una organización.

El lado oscuro del computer forensics son las técnicas antiforenses que persiguen todo lo contrario, es decir, la destrucción, la ocultación (por ejemplo con esteganografía) y la anticoncepción de datos, es decir, el utilizar por ejemplo opciones de no creación de datos, sería el caso de una ejecución remota de binarios pero sin crear fichero alguno en disco. La seguridad forense digital (computer forensics o forensic computing) va creciendo en interés día a día a nivel mundial. El mercado USA relacionado con la seguridad forense se espera que para 2009 sea de 630 millones de dólares. El eDiscovery consiste en responder rápidamente y de forma defensiva a peticiones legales y de investigación de evidencias electrónicas y reducir de forma significativa el riesgo y los costos asociados con los métodos reactivos, por su parte la seguridad forense digital implica la preservación, identificación, extracción, documentación e interpretación de medios de computador para analizar la causa raíz y/o evidencial. El eDiscovery y la seguridad forense digital constituyen actualmente dos pilares fundamentales de los programas de seguridad. Generalmente se necesitan como parte de una respuesta a incidentes en normativas de cumplimiento como PCI (Payment Card Industry data security standard), HIPAA (Health Insurance Portability Accountability Act), GLBA (Gramm-Leach-Bliley Act), SOX (Sarbanes-Oxley Act), FFIEC (Federal Financial Institutions Examination Council), DPA (Data Protection Act, UK), Basel II, LOPD-RMS (Ley Orgánica de Protección de Datos- Reglamento de Medidas de Seguridad), LSSI-CE (Ley de Servicios de la Sociedad de la Información y Comercio Electrónico), PIPEDA (Personal Information Protection and Electronic Documents Act, Canada), FISMA (Federal Information Security Management Act), etc. Una evidencia digital es cualquier dato almacenado o transmitido utilizando computadores que prueba o rebate una teoría de cómo un delito ocurrió o de los elementos críticos implicados del delito como coartada o intención. También puede definirse una evidencia digital como cualquier información, sujeto de intervención humana o no, que pueda extraerse de un computador. Debe estar en formato leíble por las personas o capaz de ser interpretada por una pe

...