Luis Enrique Arellano González - Manual de informática forense II

La cadena de custodia en la práctica informático forense

Capítulo 6 - El contrato electrónico y la Informática forense

Características del documento digital

El contrato digital, como forma de celebración contractual a distancia (entre ausentes)

El problema de la jurisdicción en el contrato electrónico internacional

La prueba documental informática en el entorno regional

Capítulo 7 - El rol del perito informático forense en el proceso judicial

Lo que se espera

Síntesis

SEGUNDA PARTE - PROCEDIMIENTOS

Capítulo 8 - Procedimiento de aplicación general para teléfonos celulares

Etapa de identificación, registro, protección, embalaje y traslado

Identificación y registro

Protección del dispositivo

Posibles estados en que se puede encontrar el dispositivo

Encendido

Apagado

Embalaje y traslado

Procedimiento para la recolección y protección de información – Elementos a recolectar

Recolección de información de la tarjeta SIM

Dispositivos iPhone

Sistema de archivos

Procedimientos y medidas preventivas para la protección, embalaje y traslado de dispositivos

Consideraciones previas

Procedimiento para iPhone encendido

Pantalla activa: Puede o no tener el código de acceso y la opción auto-bloqueo activa

Aislamiento del dispositivo de la red celular e inalámbrica

Procedimiento: El dispositivo tiene el código de acceso activado y está bloqueado para responder

Procedimiento para la comprobación del estado del código de acceso

Procedimiento para la verificación y secuencia del posible borrado remoto ( wipe )

Procedimiento para iPhone apagado

Identificación y registro

Procedimiento para la identificación de dispositivos iPhones liberados ( jailbroken )

Etapa de recolección y adquisición de datos

Procedimientos de recolección de datos en dispositivos iPhone e iPad

Consideraciones previas

Método de recolección física

Procedimiento para la preparación de la duplicación de la memoria Flash NAND

Procedimiento para ejecutar la herramienta iRecovery

Descripción del método de duplicación de la partición de datos de usuario del dispositivo utilizando el método de Jonathan Zdziarski

Ejemplo del método de duplicación en un dispositivo liberado

Método de recolección lógica

Procedimiento para la recolección lógica de dispositivos iPhone

Método de recolección a partir de archivos de resguardo

Procedimiento para la recolección lógica a partir de los archivos resguardados con la herramienta iPhone Backup Extractor

Resguardos encriptados

Procedimiento para la recolección lógica de dispositivo iPhone, iPod táctil e iPad del resguardo efectuado con iTunes

Procedimiento para la recolección en iPhones

Etapa de análisis de datos

Análisis de la primera partición del sistema de archivo de iPhone (liberado)

Consideraciones previas

Análisis de la información adquirida o recolectada de los dispositivos iPhone

Procedimiento para la conversión de los archivos “.plists”

Consideraciones previas

Procedimiento para el montaje de imágenes “.dmg” en Mac

Procedimiento para el montaje de imágenes “.dmg” en Linux

Procedimiento para el análisis del sistema de archivos de las imágenes montadas en Linux – Recuperación de archivos fragmentados

Consideraciones previas

Otras herramientas que efectúan la búsqueda de fragmentos de archivos

Procedimiento para el análisis del sistema de archivos de las imágenes montadas en Linux – Recuperación de archivos con cadenas de caracteres ASCII

Consideraciones previas

Otras herramientas que efectúan la búsqueda de fragmentos de archivos

Procedimiento para el análisis de las bases de datos de sms con un editor en hexadecimal

Consideraciones previas

Procedimiento para el análisis de la estructura de directorios y partición de almacenamiento de datos en iPhone

Consideraciones previas

Procedimiento para el análisis de las aplicaciones preinstaladas en iPhone

Consideraciones previas

Análisis de la tarjeta SIM del teléfono iPhone

Revisión de conceptos

Dispositivos iPod

Etapa de identificación, registro, protección, embalaje y traslado de dispositivos iPod

Procedimiento con el iPod encendido

Etapa de recolección y adquisición de datos

Procedimientos de recolección de datos en dispositivos iPod

Consideraciones previas

Procedimiento para desactivar el demonio (servicio) de DiskArbitration en el sistema operativo Tiger en la computadora Macintosh

Procedimiento para activar el demonio (servicio) de DiskArbitration en el sistema operativo Tiger en la computadora Macintosh

Procedimiento para desactivar el demonio (servicio) de DiskArbitration en el sistema operativo Leopard en la computadora Macintosh

Procedimiento para activar el demonio (servicio) de DiskArbitration en el sistema operativo Leopard en la computadora Macintosh

Procedimiento para crear la imagen del dispositivo iPod con una estación de trabajo de Informática forense de Macintosh con el comando dc3dd (http://sourceforge.net/projects/dc3dd/)

Observación

Procedimiento para crear la imagen del dispositivo iPod con la herramienta de libre disponibilidad, FTK Imager, Forensic Tool Kit (http://accessdata.com/support/adownloads) en una computadora con sistema operativo Windows

Procedimientos sintetizados de recolección en diferentes modelos de iPod

Etapa de análisis de datos

Procedimiento para el análisis del sistema de archivos de iPod

Consideraciones previas

Procedimiento para el análisis del archivo de imagen del dispositivo iPod en una computadora Mac

Consideraciones previas

Síntesis – Lista de control

Capítulo 9 - Computadoras Apple Macintosh

Consideraciones previas

Procedimiento para la preparación de la estación de trabajo de Informática forense Apple Macintosh

Instalación del sistema operativo

Síntesis – Lista de Control

Etapa de recolección y adquisición de datos

Procedimiento de adquisición de una imagen de una computadora Macintosh con una computadora Macintosh

Consideraciones previas

Secuencia de pasos para la preparación de adquisición de la imagen

Procedimiento alternativo para la adquisición o duplicación de la imagen utilizando un CD de Linux en vivo

Consideraciones previas

Síntesis – Lista de control

Efectuar la imagen de Macintosh a Macintosh

Efectuar la imagen de una computadora dubitada Macintosh con un CD/DVD de arranque o inicio en vivo

Procedimiento para determinar la fecha y hora en Macintosh

Consideraciones previas

Procedimiento para la recolección de datos de memoria volátil en un sistema desbloqueado

Consideraciones previas

Procedimiento para la recolección de datos de memoria volátil en un sistema bloqueado

Consideraciones previas

Síntesis – Lista de control – Descarga de la memoria volátil

Procedimiento para la recolección de datos en el modo de usuario único (Single User Mode)

Consideraciones previas

Etapa de análisis de datos

Procedimiento para el análisis de la información del inicio del sistema operativo y los servicios asociados

Consideraciones previas

Procedimiento para el análisis del sistema de archivos HFS+ de la imagen recolectada

Procedimiento para el análisis de directorios especiales ( bundle ) en el sistema de archivos HFS+ de la imagen recolectada