En qué consiste el análisis forense digital y la respuesta ante incidentes

El análisis forense digital y la respuesta ante incidentes (Digital Forensics and Incident Response, DFIR) identifican, remedian e investigan incidentes de ciberseguridad. Un ciberincidente es aquel suceso que compromete la confidencialidad, la autenticidad, la integridad y la disponibilidad de la información. Cuando este se produce, los especialistas en análisis forense digital recopilan y examinan evidencias en dispositivos y sistemas digitales. La respuesta ante incidentes busca restablecer la infraestructura afectada lo antes posible, minimizando el daño causado.

Para cualquier entidad objeto de un ciberataque, recuperarse rápidamente es una prioridad. No obstante, junto al restablecimiento, es necesario entender cómo y por qué ocurrió el incidente. DFIR proporciona este conocimiento, el cual contribuye a mejorar y fortalecer el sistema defensivo de una organización. 

Mediante la recopilación de información de diversas fuentes, los especialistas en esta área de la ciberseguridad tienen la posibilidad de descubrir quién llevó a cabo el ataque, cómo se ejecutó y qué soluciones deben implementarse para corregir las vulnerabilidades expuestas.

Análisis Forense Digital

El análisis forense digital tiene por objetivo reunir y preservar pruebas que permitan llevar a juicio a quienes hayan cometido acciones ciberdelictivas. Los ordenadores, las redes y otros dispositivos relacionados están continuamente generando datos que pueden ser importantes en una investigación. Actuar rápidamente tras la detección de un incidente es crucial para reunir información antes de que sea borrada, editada o alterada maliciosamente.

Para ello, se ha de proceder con escrupulosa meticulosidad con el fin de garantizar el mantenimiento de la cadena de custodia a través de los siguientes pasos:

Adquisición

Se ha de identificar, reunir y preservar toda prueba, entendiendo cómo y dónde se encuentra almacenada. En esta primera fase se crean duplicados exactos de los medios afectados con el fin de preservar el activo original de cualquier tipo de manipulación que contamine las pruebas.

Ciertos tipos de evidencias son volátiles debido a que los datos son solo accesibles cuando un dispositivo se mantiene encendido, desapareciendo al desconectarse éste de la corriente. Semejante circunstancia obliga a quien investiga a crear imágenes que dupliquen la información contenida en los dispositivos afectados. Este procedimiento asegura la protección de los registros mediante la asignación de valores criptográficos denominados hash. Tal recurso asegura la autenticidad de las imágenes obtenidas. Adicionalmente, las pruebas se resguardan añadiendo protección física que impida que se vean comprometidas.

Análisis

Durante este estadio de la investigación se escruta la información de modo que se llegue al esclarecimiento de los hechos. Mediante los datos trabajados (imágenes de disco, imágenes de memoria, análisis de registro de actividad, etc.) se va reconstruyendo el desarrollo del evento observado, al tiempo que se van alcanzando conclusiones en torno a lo ocurrido.

Reporte

Los hallazgos desvelados durante la investigación se presentan en un informe cuyo contenido pueda ser admitido en un tribunal de justicia.

Respuesta Ante Incidentes

Como hemos visto, el análisis forense digital investiga y reúne pruebas que contribuyen a esclarecer un ciberataque. La respuesta ante incidentes tiene por objetivo remediarlo y recuperarse del mismo a la mayor brevedad posible. Si bien existen diferentes guías de referencia publicadas por organizaciones reconocidas, como, por ejemplo, SANS o NIST, los pasos a seguir son muy similares y pueden resumirse de la siguiente manera:

Preparación

Antes de que ocurra un incidente, es necesario prepararse adecuadamente para saber reaccionar cuando este se produzca. 

Identificación

Cuando se produce un incidente, hay que detectar elementos que permitan reconocerlo.

Contención

Se ha de actuar lo antes posible para limitar los efectos adversos que un ciberataque puede acarrear al sistema afectado. 

Erradicación

Reunidas las evidencias pertinentes se ha de proceder a la eliminación de la amenaza, asegurándose de que no se podrá explotar nuevamente la vulnerabilidad identificada.

Recuperación

Cuando la amenaza ha sido completamente neutralizada se procede a restablecer los servicios que se hayan visto comprometidos.

Lecciones aprendidasSe han de documentar las acciones emprendidas, de modo que sea posible adquirir conocimientos que permitan mejorar futuras actuaciones y, a su vez, permitan un mejor bastionado de los sistemas.

DFIR y sus retos actuales

La evolución en la complejidad de los sistemas plantea a las personas especializadas en DFIR diversos desafíos:

• La recolección de pruebas se extiende a recursos físicos y virtuales, requiriendo mayor pericia, herramientas especializadas y tiempo. 
• Los dispositivos, el software o los sistemas operativos se hallan en constante y rápido cambio. Tal hecho demanda conocer una amplia gama de ecosistemas tecnológicos. Se trata de aplicar las técnicas más seguras y eficaces en cada caso a la hora de reunir pruebas.
• Dada la alta capacitación que se requiere, y la demanda cada vez mayor de estos servicios, se ha de abordar la necesidad de reducir la escasez de talento. Hay que garantizar una disponibilidad y eficacia óptimas que redunde en beneficio de las organizaciones.
• Relacionado con lo anterior, el incremento de los ciberataques, y su creciente diversidad y grado de sofisticación, aumenta la dificultad de su rastreo y pronta respuesta. La continua actualización profesional supone un vasto caudal de información que se renueva a un ritmo cada vez más rápido. 

En resumen, el análisis forense digital y la respuesta ante incidentes (DFIR) son esenciales para rastrear un ciberataque y recuperar los sistemas afectados en las mejores condiciones posibles. Se preservan cuidadosamente los datos, pues los mismos se han de emplear como evidencia ante los profesionales de la justicia encargados de incriminar a los culpables.  

Gracias al trabajo desarrollado, es posible descubrir evidencias que detallen la actividad de un atacante, erradicar su presencia, identificar las vulnerabilidades explotadas, y aplicar lo aprendido en el fortalecimiento de la seguridad de las tecnologías de la información.