Continuamos con la segunda parte del articulo sobre la metodología básica para realizar un análisis forense, si no has leído la primera parte, puedes verla aquí.

Adquisición:

En esta segunda fase, procedemos a ejecutar los 3 pasos que visualizamos en el gráfico anterior para adquirir la evidencia sin alterarla o dañarla, se autentica que la informacion de la evidencia sea igual a la original.

Se debe definir los equipos y herramientas determinadas para llevar a cabo la investigación. Lograr un entorno de trabajo adecuado para el análisis y la investigación.

Iniciar una Bitácora, que nos permita documentar de manera precisa identificar y autenticar los datos que se recogen, tipo:

• ¿Quién realiza la acción y por qué lo hicieron.
• ¿Qué estaban tratando de lograr?
  ¿Cómo se realiza la acción, incluidas las herramientas que utilizaban y los procedimientos que siguieron.
  Cuando se realizó la acción (fecha y hora) y los resultados.

De igual forma, se toman otras fuentes de informacion de los sistemas vivos, los datos volatiles como:

• Cache del Sistema
• Archivos temporales
• Registros de sucesos.
• Registros de internos y externos que los dispositivos de red, tales como firewalls, routers, servidores proxy,etc.
• Logs del sistema, Aplicaciones.
• Tablas de enrutamiento (arp, cache de Netbios, lista de procesos, informacion de la memoria y el kernel)
• Registros remotos e información de monitoreo relevante

Realizar copia imagen de los dispositivos (bit a bit), con una herramienta apropiada (ver anexo de herramientas), Y firmar su contenido con un hash de MD5 o SHA1, generando asi el segundo original, apartir de este se generaran las copias para el Analisis de datos, cada copia debe ser comprobada con firmas digitales nuevemente de MD5 o SHA1. Documente la evidencia con el documento del embalaje (y cadena de custodia) que puedan garantizar que se incluye información acerca de sus configuraciones. Por ejemplo, anote el fabricante y modelo, configuración de los puentes, y el tamaño del dispositivo. Además, tenga en cuenta el tipo de interfaz y de la condición de la unidad.

Importante considerar las buenas practicas para conservar la informacion y la evidencia.

• Asegurar de manera fisica un lugar para almacenar los datos, evitando su manipulacion. No olvide documentarlo.
• Proteger los equipos de almacenamiento de los campos magnéticos (estatica).
• Realice minimo el segundo original y una copia del segundo original para el analisis y almacene el segundo original en un sitio seguro
• Asegurar que la evidencia está protegido digital y físicamente (por ejemplo, en una caja fuerte, asignar una contraseña a los medios de almacenamiento).
  Nuevamente, no olvide actualizar el documento de Cadena de custodia (incluye información como el nombre de la persona que examina la evidencia, la fecha exacta y el tiempo que echa un vistazo a las pruebas, y la fecha exacta y hora en que lo devuelva).
• Se pretende que esta informacion sea:
• Autentica
• Correcta
• Completa
• Convincente

Para que en caso de un proceso sea legal, admisible.