DIPLOMADO CIBERSEGURIDAD GUÍA DE

FECHA 03/05/2019
LABORATORIO

PRACTICA No 1.
TITULO INFORMÁTICA FORENSE APLICADA

INTRODUCCIÓN.

Las características volátiles, anónimas, duplicables, alterables, modificables y

eliminables de la evidencia digital (elementos en su mayoría intangibles) obligan a los
funcionarios que tienen contacto con la evidencia electrónica a conocer los aspectos
básicos que le permitan realizar una adecuada obtención y recopilación de la
evidencia digital.

En esta práctica se abordarán los aspectos básicos para realizar la identificación,

recolección, preservación, solicitud de análisis y comprensión de resultados logrados
en el tratamiento de la evidencia digital, obtenida en diligencias o actividades de
primer respondiente de la evidencia digital.

OBJETIVOS.

Conocer el proceso de identificación, recolección, preservación, solicitud de análisis y

comprensión de resultados obtenidos, del tratamiento de la evidencia digital.

Objetivos específicos: Realizar extracción y análisis de información, a partir de una

imagen forense realizada a un dispositivo de almacenamiento con interfaz de
conexión 2.0.

Utilizar el programa forense FTK Imager para montaje y previsualización de la imagen

forense.

Revisar y explicar el reporte generado por el programa forense FTK Imager con la
información referente al proceso de creación de una imagen forense.

Identificar las Sumas de Verificación HASH del dispositivo de origen y de la imagen

forense.

Visualizar la información contenida en la imagen forense creada (entorno seguro), a

través de la utilización del programa FTK Imager y PhotoRec

Realizar proceso de esteganografía para la obtención de información oculta.

Elaboró: AVR Revisó: AVR

DIPLOMADO CIBERSEGURIDAD GUÍA DE
FECHA 03/05/2019
LABORATORIO

EQUIPOS Y MATERIALES NECESARIOS.

Equipo de cómputo con sistema operativo Windows para cada estudiante o binomio
de participantes, un (01) archivo .E01 correspondiente a la imagen forense de un
dispositivo de almacenamiento digital con interfaz de conexión USB 2.0 entregado por
parte del docente, presentación del módulo.

PROCEDIMIENTO.

EJERCICIO PRINCIPAL

En la empresa Proveedores S.A., se han venido presentado en los últimos meses distintos
eventos de fuga de información relacionada con la pérdida de bases de datos de clientes que
luego son contactados por la competencia.

Ud ha sido designado para adelantar la investigación, se encuentra con que ANITA quien
labora en el Área financiera ha sustraído el disco duro de su equipo asignado, el personal de
vigilancia privada (primer respondiente) detectaron solo una memoria USB en su locker
personal. ANITA niega que esa USB sea de ella, no obstante, ese es el escenario que usted
encuentra.

Evidencia Original

1. Asegure el dispositivo electrónico: Describa el procedimiento (Evidencia original).

Nota: Para el presente caso se entregará la imagen forense ya creada.

2. Visualizada la imagen verifique integridad (Hash - Reporte) y documente.

Sobre la Imagen Forense

5. Realice análisis de la imagen forense haciendo uso del programa FTK IMAGER.

6. Ejecute los siguientes pasos.

a. Realice un listado de archivos activos con sus respectivos valores HASH,

nombre de archivo “Hash archivos USB.csv”, guardar en el escritorio.

b. Realice búsqueda de información que pueda servir para apoyar la

investigación, (posible archivo eliminado, tenga en cuenta que la extensión
corresponda al tipo de archivo) y exporte el archivo al escritorio.

c. Realice la recuperación de archivos eliminados utilizando función Image

Mount de FTK como unidad física y lógica luego Mount.

d. Utilice programa PhotoRecq (Utilícelo con privilegios de administrador)

para recuperación de archivos.

Elaboró: AVR Revisó: AVR

DIPLOMADO CIBERSEGURIDAD GUÍA DE
FECHA 03/05/2019
LABORATORIO

e. Los archivos recuperados almacénelos en un folder de nombre

“Recuperado” en el escritorio.

f. Identifique y recupere archivos e imágenes con posible esteganografía

según instrucciones.

Cuestionario:

1. ¿Qué nombre le corresponde al dispositivo y por consiguiente a la imagen obtenida, y

que relevancia tiene con el caso?

2. Cuantos cálculos o sumas de verificación existen para este archivo de evidencia o

imagen forense con FTK?

3. Cuál es la importancia de asegurar la evidencia original y empezar a procesar con la

imagen forense?

4. Ilustre en el informe la extensión de los archivos y el inconveniente generado por la

alteración de nombre, propiedades o extensiones de los mismos.

5. Descubra en realidad qué tipo de conducta diferente a la fuga de información se está

presentando y determine: ¿Cual o Cuales fueron la(s) base(s) de datos sustraídas?

6. Establezca los argumentos técnicos para fundamentar su respuesta y determine como

garantizar la integridad de esa evidencia obtenida.

7. Determine 3 principios fundamentales en el análisis y entrega de evidencia digital para

fortalecer su informe.

8. Presente 3 conclusiones sucintas sobre su análisis y los inconvenientes encontrados.

9. Finalice realizando una breve reflexión sobre el ejercicio.

AL FINAL SE DEBE ENTREGAR UN ARCHIVO .DOC COMO INFORME ENTREGANDO

LOS RESULTADOS DEL ANÁLISIS, ASÍ COMO LAS RESPUESTAS A LOS ANTERIORES
INTERROGANTES.

BIBLIOGRAFÍA.

• Manual de procedimientos para cadena de custodia, 2016, Fiscalía General de

la Nación
• HB-171: Guidelines for the Management of IT Evidence (directrices para la
gestión de la evidencia informática) 2003, Standards Australia handbook
• Computación forense Descubriendo los rastros informáticos, 2015, Jeimy Cano
• El peritaje informático y la evidencia digital en Colombia: conceptos, retos y
propuestas, 2010, Jeimy Cano M
• ISO/IEC 27037:2012 Information technology - Security techniques - Guidelines
for identification, collection, acquisition and preservation of digital evidence

Elaboró: AVR Revisó: AVR

DIPLOMADO CIBERSEGURIDAD GUÍA DE
FECHA 03/05/2019
LABORATORIO

(Directrices para la identificación, recolección, adquisición y preservación de la

evidencia digital)
• Procedimientos de la Dirección de Investigación Criminal e INTERPOL Policía
Nacional, Suite Vision Empresarial:
• Analizar dispositivos de almacenamiento digital con fines forenses (2DC-PR-
0002)
• Realizar imágenes forenses (2DC-PR-0033)
• Extracción de información equipos móviles (2DC-PR-0027)
• Recolectar datos volátiles (2DC-PR-0026)

Elaboró: AVR Revisó: AVR