Download Material capacitación Informática Forense

Jornada de nivelación en Peritaje
Informático y Dispositivos
Móbiles
Ministerio Público Fiscal
Dirección General de Policía Judicial de
Córdoba
Sección Informatica Forense
Ing. Arsenio A. Cardone
M.P.: 1436
PERFIL DEL TÉCNICO FORENSE INFORMÁTICO
Perfil del Técnico
•
•
•
•
•
•
•
•
•
•
•
Ser perspicaz.
Conocimientos básicos de psicología.
Mentalidad investigadora.
Auto motivación.
Trabajo bajo presión.
Mente creativa.
Habilidades de comunicación y persuasión.
Habilidades para comunicar.
Habilidades de mediación y negociación.
Habilidades analíticas.
Creatividad, para adaptarse a nuevas situaciones.
PERFIL DEL TÉCNICO FORENSE INFORMÁTICO
En el sentido amplio
• Debe ser un apasionado de la tecnología y respetuoso
de ella.
• Ser una persona paciente.
• Gusto por la investigación.
PERFIL DEL TÉCNICO FORENSE INFORMÁTICO
Habilidades del Técnico Forense
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
Atención focalizada, que se mantenga por largos periodos de tiempo.
Concentración de la atención.
Pensamiento, capacidad de reflexión, de análisis y de síntesis.
Habilidad para pensar creativamente.
Habilidad para la toma de decisiones.
Pensamiento flexible.
Habilidad para organizar información en la memoria de corto y de largo plazo.
Habilidad para expresar claramente sus ideas.
Habilidad para comunicarse con personas no expertas y expertas en el área.
Habilidad para el trabajo independiente y autónomo.
Habilidad para relacionarse con otros y para pedir ayuda cuando sea necesario.
Habilidad para trabajar en equipos reales y virtuales.
Habilidad para prever y solucionar conflictos.
Persona con conocimientos de experto en el área de informática.
Establecimiento de prioridades y toma de decisiones.
Habilidad para organizar el trabajo y las decisiones.
Planeación, institución y comunicación.
Capacidad para detectar, aislar y resolver problemas.
Iniciativa.
PERFIL DEL TÉCNICO FORENSE INFORMÁTICO
Aptitudes del Técnico Forense
•
•
•
•
•
•
•
•
•
•
•
•
Aptitud física del forense.
Aptitud Psíquica del forense.
Capacidad técnica del forense.
Amplia práctica del forense en el arte o ciencia.
Amplio tiempo de ejercicio de esa experiencia.
Adelantos de la ciencia o arte.
Frecuencia de la renovación de los conocimientos.
Habilidad en le empleo de su arte o ciencia.
Honestidad en el empleo de su arte o ciencia.
Claridad en el planteamiento de problema.
Estricta aplicación de la lógica en el razonamiento.
Precisión en las conclusiones.
PERFIL DEL TÉCNICO FORENSE INFORMÁTICO
Atributos del Técnico Forense
•
•
•
•
•
•
•
•
•
Seguridad en si mismo.
Persistencia.
Compromiso con la honestidad.
Instinto para saber que está fuera de las normas o es un indicio.
Creativo.
Curioso.
Objetivo.
Comunicación clara.
Sentido común.
Perito
• Persona que, poseyendo determinados conocimientos científicos,
artísticos, técnicos o prácticos, informa, bajo juramento, al juzgador
sobre puntos litigiosos en cuanto se relacionan con su especial saber o
experiencia.
• ROL DEL PERITO: Es acotado y esta circunscrito a un determinado
caso: actúa a solicitud de un Juez para responder a través de su ciencia
o técnica y su experticia los interrogantes que éste le plantee.
• PERITO INFORMÁTICO Y EN TELECOMUNICACIONES: Es una
persona que posee formación académica y experiencia en informátiaca
y telecomunicaciones y tiene por misión asesorar al Magistrado en
temas relacionados a las telecomunicaciones.
Perito - Derechos
•
•
•
•
•
•
•
•
Los peritos que auxilien al ministerio público gozarán de plena autonomía técnica
para la elaboración de sus dictámenes.
El desempeño de la actividad pericial como perito de parte, asistiendo con su
conocimiento a una de las partes, siempre que no haya sido designado como perito
de oficio.
Durante las diligencias, dirigirá en lo técnico el procedimiento, gozando de las
facultades que le confieren los respectivos Códigos según el ámbito de actuación.
Podrán interrumpirse los plazos que obligan al perito y demorarse los términos en
caso de fuerza mayor que impida cumplirlos, reanudándose su cómputo en el
momento en que hubiera cesado la causa determinante de la interrupción o demora.
Participar en la formulación de normas y procedimientos para mejorar la tarea pericial.
Disfrutar de todos los beneficios que se obtengan producto de la gestión social de la
Comisión Permanente de Coordinación en concordancia con las áreas afines ya
establecidas en el Consejo Profesional.
Todas las prerrogativas que le conceda este Reglamento Interno.
Fijar domicilio para las actividades periciales, en un radio no mayor a 30 cuadras de los
Tribunales, en caso de residir a mayor distancia de la máxima establecida para el fuero
donde actuare.
Perito - Deberes
• Aceptar el cargo, presenciar pericia (si es de parte),
presentar informe.
• Presentarse al magistrado toda vez que lo requiera
• Conductas de imparcialidad, buena fe y lealtad
• Guardar secreto profesional
• Elaborar informe con claridad, didáctica, precisión
profesional y apego a las normas jurídicas.
• No estar inhabilitado para el ejercicio de la profesión.
La Prueba
PERTINENCIA DE LA PRUEBA
"El tema de la prueba está constituido por aquellos hechos que es necesario probar, por
ser lo supuestos de las normas jurídicas cuya aplicación se discute en un determinado
proceso"
Parra Quijano
"El fin de la prueba es, entonces, llevar a la inteligencia del juzgador la convicción
suficiente para que pueda decidir con certeza sobre el asunto del proceso".
PLANTEA UN RETO CONCEPTUAL Y PRÁCTICO
La Prueba – Medios de Prueba
Mecanismos autorizados para la introducciónde elementos
de prueba en una causa.
•
•
•
•
•
•
•
•
EL TESTIMONIO
LA CONFESIÓN
LA INSPECCIÓN JUDICIAL
LOS DOCUMENTOS
LOS INDICIOS
ACTAS
INFORME TECNICO
EL DICTAMEN PERICIAL
Evidencia Lógica – Ciclo de Vida
Evidencia Digital Características
•
•
•
•
•
FACIL DE REPRODUCIR Y CAMBIAR
MALEABLE
VULNERABLE Y FACILMENTE MODIFICABLE
ES ANÓNIMA (SIN AUTOR ESPECÍFICO)
FACILITA LA DUPLICACIÓN
Evidencia Digital – Con técnicas
forenses
• Copia “bit a bit”
• Modalidades de adquisición:
Clonado forense: Hd a ha, flopy a flopy, pendrive a
pendrive, etc (satinización, espacio residual)
Adquisición directa: Material de prueba se aloja en el
mismo dispositivo donde se crea archivo de evidencia
Adquisición indirecta: Material de prueba permanece
en su lugar y se obtiene archivo de evidencia
Evidencia Digital – Modalidad de
trabajo
• Trabajo sobre evidencia digital: Se
prescinde del dispositivo físico contenedor.
• Trabajo en vivo: Análisis en caliente o con
el uso de bloqueadores de escritura.
Evidencia Física
• Evidencia Física
Abordaje: Descripción de lo general a lo particular
Relevamiento Periférico:
Descripción de situación (encendido,
conectado, etc.)
Ubicación (distribución de planta)
Pertenencia (usuario u operador habitual)
Individualización e Identificación
Elementos identificatorios
Características particulares
Preservación y Cadena de custodia
Evidencia Física
• Manual encargado por Fiscalía General de Córdoba
•
•
•
•
•
•
•
1En relación a las personas: - separar aquellas que estén trabajando sobre
los equipos informáticos y/o telefonía movil y no permitirles volver a
utilizarlos.
2- En caso de una empresa, identificación del personal informático interno y
externo.
3- Fotografiar la escena del crimen tal cual como se presenta, con relación a
los elementos. Toma completa del sitio donde están los equipos, pantallas de
los equipos si se encuentran encendidas, en su caso, filmar.
4Evitar tocar elementos informáticos del delitos sin guantes descartables,
ya sea pantallas, teclados, Mouse.
5- En caso de estar apagados, dejarlos así; si están encendidos, consultar con
un experto. Si no se reconoce su estado tratarlos como si estuviera prendido.
6Identificar Usuarios de aplicaciones especificas por puestos (ej:
programadores dentro de la empresa y usuarios )
7Registrar nombre del equipo informático, fecha hora, configuración
regional y operador activo y nomina de usuarios del equipo.
Evidencia Física
•
8- En lo posible obtener contraseñas de aplicaciones y sistema operativos e
incorporarlas en el acta.
•
9- Tratar de establecer si las computadoras trabajan en Red entre si,
procurar identificar redes fuera de la organización o domicilio y ante la
duda consultar y esperar los consejos de un experto.
10- Si no sabe como apagar y no hay un experto para asesorarlo
desconectar la energía desde el cable conectado en el gabinete, si son
notebooks quitar la o las baterías y secuestrar cables y fuentes de
alimentación, y anotar la fecha, la hora y las acciones realizadas
11- Preferiblemente secuestrar solo los dispositivos de almacenamiento de
información (disco rígido, pen drive, stick de memoria, memoria para
celulares, etc.), sin efectuar análisis de contenido para evitar su
desnaturalización. Consultar con el Técnico
12- Respecto de dvd, cd, etc. Analizar contenido para evitar secuestros
innecesarios, dependiendo la situación. En todos los casos de secuestro de
material “trucho”, en el acta usar la expresión “aparentemente apócrifo”.
Consultar al técnico.
•
•
•
Evidencia Física
• 13- Identificar todos los elementos motivo de secuestro. Ante la
situación de encontrarse con elementos de apariencia semejante
(computadoras parecidas) otorgarle identificación secuencial con
números o letras. Ej: Números o Letras. Cuando no se sepa con
claridad en presencia de que dispositivo se encuentra describirlo de la
forma mas detallada posible en cuanto a sus señas particulares (Ej.: no
se distingue si es un CD o DVD o dispositivo electrónico especifico).
• 14- En caso de grandes volúmenes de CD y/o DVD los cuales son
contenidos en diversos recipientes (torres, cajas) se debe identificar la
cantidad que hay en cada uno de los contenedores como la
identificación del mismo de acuerdo a la metodología del párrafo
anterior.
• 15- Preservar - procurar utilizar envoltorio de cartón y o papel para la
preservación de los elementos a secuestrar evitando elementos de
envoltorio de nylon o polietileno. Presintar la toma de energia para
prevenir riesgos.
Evidencia Física
• 16- La autoridad judicial (FISCAL) designa el destino y responsables
de los elementos a secuestrar.
• 17- El recinto donde se alojen los elementos secuestrados debe estar
limpio y en resguardo de altas temperaturas/humedad.
• 18- Al momento de la recepción del material a analizar se debe hacer
constar condiciones (medio de envoltorio o preservación, faja de
garantía y elementos tendientes a su individualización), fotografiar
para acreditar dichas condiciones. Emitiendo recibo correspondiente.
TRABAJO DE CAMPO
• Tareas que se llevan a cabo en un espacio físico distinto al de
laboratorio.
• Condiciones de trabajo diferentes al laboratorio, en éste se dispone
habitualmente: ej. Instrumental de medición, cargadores por marca y
modelo compatibles (pc portátil, dispositivos móviles, otros), fuente de
tensión variable, otros periféricos (lector de tarjeta S.I.M., Computador
Portátil con grabador de CD o DVD).
• Alto volumen de contenido, impiden una acción específica sobre
detalles, afrontar sin planificación contingencias (baterías de
dispositivo sin carga, daños físicos, otros imponderables).
• Se efectúa un acta con detalles en relación a la actuación directa del
personal técnico por causa judicial que dio origen a la medida.
Además, se cita el Material interés emergente para ulteriores acciones
por parte de la Entidad Judicial.
• Riesgo latente “Antoforensia”.
• Empleo de elementos de bioseguridad.
TRABAJO DE CAMPO – Ambito de
actuación
• Cooperación técnica (evidencia física y
lógica):
– Relevamiento
– Recolección
• Allanamiento (evidencia física y lógica):
– Relevamiento
– Recolección
TRABAJO DE LABORATORIO
• Se realiza en el espacio físico adecuado para las tareas específicas.
• Condiciones de trabajo más apropiadas por la existencia de
instrumental de medición, fuente de tensión variable, lectores de tarjeta
S.I.M., computador con grabadoras de CD o DVD.
• Según el objeto de trabajo, pueden intervenir dos categorías de
técnicos (especializado, avanzado), sobre el mismo elemento, siendo
ambos responsables por su labor. Esta modalidad no es aplicable en
Dictámenes Periciales.
• Se efectúa la confección de informe técnico o el dictamen técnico
correspondiente y/o actas necesarias.
• Riesgo latente “Antoforensia”.
• Empleo de elementos de bioseguridad.
TRABAJO DE LABORATORIO –
Ambito de actuación
• Informe Técnico / Dictamen Pericial:
– Relevamiento
– Recolección
– Análisis
Informe Técnico / Dictamen
Pericial
• Informe Técnico: En etapa de instrucción
penal preparatoria, no esta identificado
el/los autor/es.
• Dictamen Pericial: Esta identificado el/los
autor/es, hecho único e irrepetible, o existen
riesgo de desnaturalizar la cosa objeto de
estudio.
Consideraciones sobre dispositivos
informáticos
•
•
•
•
•
•
Imagen forense
Búsqueda de vocablos
Data Carving
Virtualización
Análisis
Relevamiento de mail, sitios de internet, redes
sociales
• Análisis y relevamiento de sistemas de
información
• Preservación de evidencia lógica (dos ejemplares
idénticos)
Consideraciones sobre dispositivos móbiles
• Relevamiento de IMEI (físcico y electrónico), tarjeta SIM, código
IMSI
• Adquisición física de evidencia
• Adquisición lógica de evidencia
• Plataforma móbiles
– Android: de Google
– Symbian: Alianza de Nokia, Sony Ericsson, Samsung, Siemens,
Lg, otras
– RIM: BlackBerry
– IOS: de Apple
– Windows Mobile