El documento presenta un análisis forense realizado por la empresa SKYNET Corp sobre un ataque de denegación de servicio (DDoS) que sufrió la empresa retail COST&CO, causándole pérdidas por $180.000.000. El análisis detalla las etapas de adquisición, examinación y análisis de evidencia recolectada del equipo con IP 192.168.4.12 para identificar posibles causas como falta de parchado de servidores y hardware inadecuado de hosting.

1. ANÁLISIS FORENSE
EMPRESA RETAIL
Fecha: 09/07/22
Integrantes: Pablo Martínez Vicuña
Claudio Campos Gómez
Fernando Padilla Cisneros
Tema: Denegación de Servicio (DDoS)

2. CONTENIDO
1. Introducción
1. Información General
2. Objetivos
3. Análisis del Caso
4. Análisis de posibles causas.
2
2. Etapas del Análisis Forense
2.1 Adquisición
2.2 Examinación
2.3 Análisis
2.4 Reporte y presentación
2.5 Validación del suceso y evidencias

3. INTRODUCCIÓN
3
Nombre de análisis: Análisis Forense denegación de Servicios Empresa Retail.
Fecha de inicio: 23/12/2004
Fecha de finalización: 23/01/2005
Personal involucrado de SKYNET Corp Fernando Padilla Cisneros.
Claudio Campos Gómez.
Pablo Martínez Vicuña.
Información de Contacto
Av. Los condes 8100 piso 4, Las Condes
Santiago de Chile
Teléfono +56 2 23021353

4. OBJETIVOS
4
La presente diapositiva, tiene por objetivo establecer, analizar,
identificar, preservar y presentar antecedentes que pudiesen
aportar en el desarrollo de proceso investigativo, en base a un
ataque de denegación de servicios perpetrado a la compañía
COST&CO con fecha 23 de diciembre del año 2004.
Escena del crimen: Edifico Costanera Center piso 40, en el
equipo con IP 192.168.4.12
Víctima: Empresa retail COST&CO quien perdió $180.000.000
Sospechoso: Sin Identificar.

5. ANÁLISIS DEL CASO
5
Delito
Informático
Tipo de
Incidente
Acto criminal
que involucran
sistemas
informáticos.
Denegación de
Servicio
Metodología

6. ANÁLISIS DEL CASO
 Que ha ocurrido ¿?,
El efecto inmediato fue el tiempo de inactividad de los sitios transaccionales, generando pérdidas durante su el
tiempo de indisponibilidad pro un valor total de $180.000.000
6
 Como se ha producido ¿?
Se logra por medio de la mejora de la utilización de los recursos y sistemas más
eficientes.
 Quien es el responsable ¿?
Esta respuesta es parte de lo que debe indicar
posterior a su análisis, el peritoinformático forense.

7. ANÁLISIS DE POSIBLE CAUSAS
7
a. Falta de apoyo
b. Volumen de clientes
c. Falta de parchado en los servidores en donde se aloja el sitio de ventas.
d. Falta de equipamiento de detección de intrusos (IDS e IPS)
e. Falta de correcto harderizados(cis) puertos y direccionamiento de destino desde y hacia la organización
Hosting, no adecuado: Lugar de alojamiento del sistema, en donde se indica que el proveedor del servicio
de hosting posee dos grandes inconvenientes:

8. ETAPAS DEL ANÁLISIS FORENSE
8
Adquisición
Como área de ciberseguridad la indicación de la dirección fue
aislar en lo inmediato el equipo detectado con IP 192.168.4.12.
Firewall de aplicaciones web (WAF)
Uso de bando de Ancha
Previo al levantamiento de evidencia indicada al arrastre
las cueles van en virtudes de levantamiento de los datos
durante el proceso del ataque, con lo cual procedemos a
levantar.

9. ETAPAS DEL ANÁLISIS FORENSE
9
Examinación
Dentro de este proceso tenemos el levantamiento de los datos adjunto de los 15 usuarios con sus
respectivas características técnicas.
• Contenido de las memorias.
• Estado de conexiones de red
y los estados de ruta.
• Estado de los procesos en
ejecución.
• Contenido del sistema de
archivo y de los discos duros.
• Contenido de los otros
dispositivos de almacenamiento.
Lo cual tenemos respaldado en la NAS de la empresa (X:NASEVIDENCIAS

10. ETAPAS DEL ANÁLISIS FORENSE
12
Análisis
Dentro del proceso de análisis el primer levantamiento que se aplicó con el objetivo de tener ningún
tipo de cambio o de modificación de escena (equipo detectado con IP 192.168.4.12)
a.- Hostname de la
maquina.
b.- Usuarios
conectados.
c.- Enumeración de
puertos TCP y UDP
abiertos.
d.-Proceso de
timestamp.

11. VALIDACIÓN DEL SUCESO Y EVIDENCIAS
13
Por otro lado, se precedió a aislar respaldo inmediato del log a nivel de sistema operativo de la
máquina, en virtud que no sean modificados posteriormente.
Para todo efecto el análisis de caso corresponde de tipo mixto.

12. VALIDACIÓN DEL SUCESO Y EVIDENCIAS
13
Se adjunta evidencia de la ruta y nombres de los ficheros que quedaron asignados para tal efecto.
Se procedió a realizar rápidamente un levantamiento del escenario plasmado, en lo cual tenemos
resguardo de los siguientes datos:
El vector de ataque se presentó el
equipo de manera interna más el fallo
producido a los servicios web
transaccionales.

13. REPORTAJE Y PRESENTACIÓN
13

14. MUCHAS GRACIAS