Forenses para ordenadores
Red.es, a través de RedIRIS, presenta un sistema para analizar los PCs atacados por virus que tiene el nombre de “análisis forense informático”.
El sistema se presentó en el Congreso de Seguridad en Cómputo que se celebró en Ciudad de México entre el 24 y el 29 de mayo. La ponencia de Red.es, a cargo de Francisco Montserrat, uno de los expertos en Seguridad de RedIRIS, defiende un análisis forense informático en castellano, basado en el estudio de la información de un sistema Linux que había sido previamente atacado.
El análisis forense se realiza en equipos informáticos que han sido previamente atacados y en los cuales el atacante ha conseguido tener un control total del equipo. Mediante el análisis forense informático se estudian las acciones realizadas por los usuarios (ficheros copiados, leídos, borrados, programas ejecutados, etc.) y así poder reconstruir las acciones ejecutadas por los atacantes.
A este proceso se le conoce como análisis forense informático debido a sus similitudes con una autopsia real realizada en investigaciones policiales. Los pasos que se siguen son:
1. “Congelar la escena”, es decir, realizar una copia del estado en el que se encuentran los sistemas atacados, de forma que se puedan “preservar” las evidencias.
2. Descubrir los programas que fueron ejecutados, los datos leídos, los modificados…
3. Indicar la secuencia de acciones que realizó el atacante en el equipo y reconstruir así las acciones que llevó a cabo.
4. Identificar, en su caso, al responsable del ataque informático a través de sus huellas virtuales.
Este análisis forense informático tiene utilidades en el campo de la seguridad empresarial, así como en investigaciones sobre delitos informáticos y búsqueda de pruebas, huellas o indicios delictivos.
El objetivo principal del Congreso, organizado por la Universidad Nacional Autónoma de México (UNAM), es impulsar la cultura de seguridad en el sistema de cómputo y proporcionar los conocimientos y herramientas necesarias para mantener de forma íntegra la información de los equipos infectados.
