DEFINICIÓN, EVIDENCIA DIGITAL, PROCESO DE ANÁLISIS FORENSE, ETC.

1. INDICE
CÓMPUTO FORENSE ..............................................................................................................................2
CONCEPTO.-..........................................................................................................................................2
ORIGENES.-............................................................................................................................................2
PRIMEROS PROGRAMAS:..............................................................................................................2
EVIDENCIA DIGITAL.-............................................................................................................................3
CONCEPTO.-..........................................................................................................................................3
CATEGORIAS.-......................................................................................................................................3
CARACTERISTICAS.-...........................................................................................................................3
PROCESO DE ANÁLISIS FORENSE ......................................................................................................3
IDENTIFICACION DEL INOCENTE.-...............................................................................................3
PRESERVACION DE LA EVIDENCIA.-............................................................................................4
ANÁLISIS DE LA EVIDENCIA.- ........................................................................................................4
DOCUMENTACIÓN DEL INCIDENTE.-..........................................................................................4
DISPOSITIVOS A ANALIZAR DENTRO DEL CÓMPUTO FORENSE ............................................5
LA INFRAESTRUCTURA INFORMÁTICA A ANALIZAR PUEDE SER TODA AQUELLA
QUE TENGA UNA MEMORIA (INFORMÁTICA), POR LO QUE SE INCLUYEN EN TAL
PERICIA LOS SIGUIENTES DISPOSITIVOS:....................................................................................5
CRIMINALÍSTICA DIGITAL...................................................................................................................5
CONCEPTO.-..........................................................................................................................................5
PERITO INFORMATICO.- ...................................................................................................................5
CASOS RELACIONADOS........................................................................................................................6
Andrés Velázquez......................................................................................................................................7

2. CÓMPUTO FORENSE
CONCEPTO.-
También llamado informática forense, computación forense, análisis forense digital o
examinación forense digital.
Es la utilización de información, archivos y datos contenidos en elementos tecnológicos para
poder presentarlos en un procedimiento legal.
Estos elementos tecnológicos se refiere a computadoras, teléfonos celulares, asistentes
personales digitales o cualquier dispositivo con memoria que pueda convertirse en una prueba
ante un delito informático.
ORIGENES.-
A comienzo de los años 90, el FBI (Federal Bureau of Investigation) observó que las pruebas o
evidencias digitales tenían el potencial de convertirse en un elemento de prueba tan poderoso
para la lucha contra la delincuencia, como lo era el de la identificación por ADN. Para ello,
mantuvo reuniones en su ámbito, y a finales de los años 90 se creó la IOCE (International
Organization of Computer Evidence) con la intención decompartir información sobre las
prácticas de informática forense en todo el mundo.
En marzo del año 1998, el G8 –a través del subgrupo de trabajo denominado The High Tech
Crime, conocido como el Grupo de Lyón– encargó a la IOCE el desarrollo de una serie de
principios aplicables a los procedimientos para actuaciones sobre pruebas digitales, así como la
armonización de métodos y procedimientos entre las naciones que garantizasen la fiabilidad en
el uso de las pruebas digitales recogidas por unestado para ser utilizadas en tribunales de
justicia de otro estado. La IOCE, trabajó en el desarrollo de estos principios a lo largo de dos
años.
La Scientific Working Group on Digital Evidence (SWGDE), principal portavoz de la IOCE en
Estados Unidos, y la Association of Chief Police Officers (ACPO) del Reino Unido, propusieron
una serie de puntos que luego englobaron los principios generales que se presentaron en el año
4 2000 al Grupo de Lyón.
PRIMEROS PROGRAMAS:
IACIS (IACIS, del inglés international association of computer investigative specialists), o
Asociación Internacional de Especialistas de Investigación). 1988 en Oregon.
SCERS (SCERS, del inglés seized computer evidence recovery specialists), o especialistas en
recuperación de la evidencia informática incautada.
IOCE (IOCE, del inglés international organization on computer evidence), u organización
internacional de evidencia informática fue establecida. 1995.

3. EVIDENCIA DIGITAL.-
CONCEPTO.-
J. Cano
“Cualquier registro generado por o almacenado en un sistema computacional que puede ser
utilizado como evidencia en un proceso legal.”
Incluye, por ejemplo, la evidencia en computadores, videos, sonidos, teléfonos celulares,
máquinas de fax, etc. No debe olvidarse entonces, que los medios electrónicos en los que se
soporta la evidencia digital son la “vía requerida para presentar pruebas de los hechos
ocurridos en sistemas o dispositivos electrónicos”.
Es un tipo de evidencia física, menos tangible que otras formas de evidencia (DNA, huellas
digitales, componentes de computadores)
CATEGORIAS.-
Registros almacenados en el equipo de tecnología informática (por ejemplo, correos
electrónicos, archivos de aplicaciones de ofimática, imágenes, etc.).
Registros generados por los equipos de tecnología informática (registros de auditoría, registros
de transacciones, registros de eventos, etc.).
Registros que parcialmente han sido generados y almacenados en los equipos de tecnología
informática. (hojas de cálculo financieras, consultas especializadas en bases de datos vistas
parciales de datos, etc.)
CARACTERISTICAS.-
 Puede ser duplicada de manera exacta y copiada tal como si fuese el original.
 Con herramientas adecuadas es relativamente fácil identificar si la evidencia ha sido
alterada, comparada con la original.
 Aún si es borrada, es posible, en la mayoría de los casos, recuperar la información.
 Cuando los criminales o sospechosos tratan de destruir la evidencia, existen copias que
permanecen en otros sitios del sistema.
PROCESO DE ANÁLISIS FORENSE
Es un área perteneciente al ámbito de la seguridad informática surgida a raíz del incremento de
los diferentes incidentes de seguridad. En el análisis forense se realiza un análisis posterior de
los incidentes de seguridad, mediante el cual se trata de reconstruir como se ha penetrado o
vulnerado en el sistema.
IDENTIFICACION DEL INOCENTE.-
Describe el método por el cual el investigador es notificado sobre un posible incidente. En este
paso, es necesario poder identificar lo que tenemos que investigar, desde computadoras,
CDROM’s, memorias, e incluso papeles que pudieran estar cerca de la computadora. Muchas
veces en esos papeles podemos encontrar información que puede llegar a servir para poder
completar ciertos procesos de investigación

4. PRESERVACION DE LA EVIDENCIA.-
Mecanismos utilizados para el correcto mantenimiento de evidencia. Importante para acciones
legales posteriores.
Es uno de los pasos clave dentro de la investigación. Como lo comentaba anteriormente, es
necesario mantener la integridad de la evidencia digital, y para ello usamos varios mecanismos
que van desde generar un “clon” de el disco, llamado “Imagen Forense” para poder trabajar
sobre él y no sobre la evidencia original. Pero aún así, hay una pregunta clave: ¿cómo podemos
asegurar que lo que se recolectó como evidencia digital es exactamente igual a lo que se analiza
y a lo que se entrega al finalizar el proceso?
Por medio de una función matemática, podemos generar algo muy parecido a una huella digital
de un disco duro. Si un bit (mínima expresión de almacenamiento en medios magnéticos) es
alterado, entonces la huella digital del disco duro cambiará.
ANÁLISIS DE LA EVIDENCIA.-
Refiere a los elementos involucrados en el análisis de la evidencia.
Una vez que se generó la imagen forense de los medios de almacenamiento se procede a
realizar la investigación, la cual puede llegar a ser tan cansado como el mismo caso. He tenido
casos donde se resuelven en una semana y algunas veces se realizan hasta seis u ocho meses de
trabajo en un solo caso.
DOCUMENTACIÓN DEL INCIDENTE.-
Es una de las partes más difíciles que uno se puede llegar a enfrentar como investigador, y esto
sucede porque al generar un reporte para poder explicar qué fue lo que pasó dentro de la
computadora, normalmente estos reportes llegan a personas que no conocen de computadoras
y es por ello que hay que realizarlo en un lenguaje coloquial, sin hacer uso de tecnicismos.
1. Involucra técnicas y métodos específicos utilizados en la recolección de evidencia.
2. Para poder realizar con éxito su trabajo, el investigador nunca debe olvidar:
3. Ser imparcial. Solamente analizar y reportar lo encontrado.
4. Realizar una investigación formal sin conocimiento y experiencia.
5. Mantener la cadena de custodia (proceso que verifica la integridad y manejo adecuado
de la evidencia).
6. Documentar toda actividad realizada.
7. El especialista debe conocer también sobre:
Desarrollo de los exploit (vulnerabilidades), esto le permite al informático forense saber qué
tipo de programas se pondrán de moda, para generar una base de estudio que le permita
observar patrones de comportamiento.

5. DISPOSITIVOS A ANALIZAR DENTRO DEL CÓMPUTO
FORENSE
LA INFRAESTRUCTURA INFORMÁTICA A ANALIZAR PUEDE SER TODA
AQUELLA QUE TENGA UNA MEMORIA (INFORMÁTICA), POR LO QUE SE
INCLUYEN EN TAL PERICIA LOS SIGUIENTES DISPOSITIVOS:
La infraestructura informática que puede ser analizada puede ser toda aquella que tenga una
Memoria (informática), por lo que se pueden analizar los siguientes dispositivos:
1. Disco duro de una Computadora o Servidor
2. Documentación referida del caso.
3. Logs de seguridad.
4. Credenciales de autentificación
5. Trazo de paquetes de red.
6. Teléfono Móvil o Celular, parte de la telefonía celular,
7. Agendas Electrónicas (PDA)
8. Dispositivos de GPS.
9. Impresora
10. Memoria USB
11. Definiciones
CRIMINALÍSTICA DIGITAL
CONCEPTO.-
Se llama criminalística digital, debido a que los criminales informáticos o tecnológicos
responden a diferentes tipos de perfiles, de individuos o grupos que tienen un gusto en común
por las tecnologías y sus posibilidades.
Estos diseñan estrategias para lograr objetivos ilícitos.
PERITO INFORMATICO.-
Un Perito Judicial Informático es el profesional, que en su carácter de auxiliar de la justicia,
tiene la función de asesorar al juez respecto a temas informáticos. La función del perito
informático consiste en análizar elementos informáticos, en busca de aquellos datos que puedan
constituir una prueba o indicio útil para el litigio jurídico al que ha sido asignado.

6. CASOS RELACIONADOS
El 90% de las empresas no detectan ciber-ataques
Una encuesta dada a conocer por RSA, la división de seguridad de EMC, señala la existencia a
nivel de empresas de una profunda disconformidad en las capacidades actuales de detección e
investigación de amenazas. Casi el 80 % de las organizaciones encuestadas manifestaron no
estar conformes con su capacidad de detección e investigación de amenazas.
El sondeo de RSA reconoce ampliamente que dicha inconformidad constituye un factor crítico
para minimizar los daños y las pérdidas provocados por los ataques cibernéticos. El 90 %
manifestó que no puede detectar las amenazas rápidamente, y el 88 % reconoció que no puede
investigar las amenazas rápidamente. La incapacidad de detectar las amenazas rápidamente es
un factor clave respecto de por qué las organizaciones experimentan violaciones de datos en las
que los atacantes pueden permanecer en las redes durante períodos largos antes de ser
descubiertos.
Los encuestados no consideraron a ninguna de sus tecnologías actuales de investigación y
detección particularmente efectivas, sino que las calificaron, en promedio, como “algo
efectivas”. Las organizaciones continúan demostrando una confianza excesiva en SIEM, que, si
bien es utilizado por más de dos tercios de los participantes, no aumenta de manera uniforme
con tecnologías como herramientas avanzadas de captura de paquetes de red, terminales y
antimalware, las cuales podrían mejorar considerablemente las capacidades de detección e
investigación de amenazas.
Amit Yoran, presidente de RSA cree que los resultados refuerzan nuestro mayor temor: que
actualmente, las organizaciones no están adoptando y, en muchos casos, no planean adoptar,
los pasos necesarios para protegerse contra las amenazas avanzadas.
-No recopilan los datos adecuados, no integran los datos que recopilan y se enfocan en
tecnologías de prevención antiguas. La realidad actual indica que deben eliminar las brechas en
la visibilidad, adoptar un enfoque más coherente en la implementación de las tecnologías más
importantes y acelerar el alejamiento de las estrategias preventivas.
Los datos que las organizaciones recopilan actualmente no proporcionan una visibilidad
adecuada. Menos de la mitad de las organizaciones encuestadas recopilan datos de paquetes de
red o datos de flujo de red, los cuales proporcionan información confiable sobre los ataques
avanzados, y solo el 59 % recopilan datos de terminales que pueden utilizarse para detectar
puntos de riesgo.
No obstante, las organizaciones que han incorporado estas fuentes de datos en sus estrategias
de detección las consideran extremadamente valiosas: las organizaciones que recopilan datos de
paquetes de red asignaron a esos datos un 66 % más de valor por su detección e investigación
de amenazas que aquellas que no los recopilan, y las que recopilan datos de terminales
asignaron un 57 % más de valor a esos datos que aquellas que no los recopilan.
La integración de datos también es un problema. Un cuarto de los encuestados no integra datos
en absoluto, y solo el 21 % permiten que todos sus datos estén accesibles desde una única

7. fuente. El predominio de los datos en silos evita la correlación entre fuentes de datos, ralentiza
las investigaciones y limita la visibilidad del alcance integral de un ataque. Solo el 10 % de los
encuestados consideraron que pueden conectar la actividad de un atacante “muy bien” en todas
las fuentes de datos que recopilan.
Por último, un hallazgo alentador fue el aumento en la importancia de los datos de identidad
para ayudar en la detección y la investigación. Si bien apenas más de la mitad de las
organizaciones recopilan datos de los sistemas de acceso e identidad actualmente, las que lo
hacen asignaron un 77 % más de valor a dichos datos para la detección que aquellas que no los
recopilan. Asimismo, la analítica del comportamiento, que puede ayudar a las organizaciones a
simplificar la detección sobre la base de la detección de patrones de actividad anormal, es la
inversión en tecnología más planificada, ya que el 33 % de los encuestados planean adoptar
dicha tecnología en los próximos 12 meses.
Metodología
La encuesta global cuantitativa de RSA se realizó en línea en febrero y enero de 2016. Todos los
encuestadores calificados reportaron todos los datos ellos mismos. Participaron más de 160
organizaciones únicas, de las cuales: el 44 % tiene menos de 1,000 empleados; el 31 %, entre 1 y
10,000 empleados; y el 25 %, más de 10,000 empleados. Los encuestados representaron 22
sectores industriales diferentes, de los cuales: el 58 % es de América; el 26 %, de Europa y Medio
Oriente; y el 15 %, del Pacífico Asiático y Japón
Los primeros años
El campo de la informática forense se inició en la década de 1980, poco después de que las
computadoras personales se convirtieran en una opción viable para los consumidores. En 1984,
fue creado un programa del FBI. Conocido por un tiempo como el Programa de Medios
Magnéticos, que ahora se conoce como CART (CART, del inglés computer analysis and
response team), o análisis de informática y equipo de respuesta. Poco después, el hombre al que
se le atribuye ser el "padre de la informática forense", comenzó a trabajar en este campo. Su
nombre era Michael Anderson, y era un agente especial de la División de Investigación
Criminal del IRS. Anderson trabajó para el gobierno en esta capacidad hasta mediados de 1990,
tras lo cual fundó New Technologies, Inc., un equipo que lleva la firma forense.
Andrés Velázquez
Ingeniero Cibernético con vocación de Abogado, inició haciendo investigaciones de delitos
informáticos por el mismo destino después de pasar un par de años en el área de seguridad de
la información en varias empresas. Como un buen workaholic trabaja en buscar las pruebas
digitales para encontrar a los responsables de un fraude, una amenaza o cualquier otra situación

8. donde esté involucrada la tecnología. En este proceso, creó la idea del podcast Crimen Digital
para promover la prevención de los delitos informáticos en América Latina.
Las analogías para poder explicar lo que muchas veces no se entiende del uso de una
computadora, son sus herramientas más fuertes para poder explicar a qué se dedica y
presentarle pruebas a gente que no habla el lenguaje de los ingenieros. Es un apasionado de
criticar las fallas de cadena de custodia de los programas como CSI, viajero frecuente de más de
una aerolínea, amante de los simuladores de vuelo, jugador de Xbox, músico frustrado e
internet-dependiente.
Su mamá piensa que es un “policía de internet”

9. FUENTES>
http://www.profesiones.com.mx/computo_forense.htm
http://www.derechoycambiosocial.com/revista025/informatica_forense.pdf
https://prezi.com/dqlory5lcvnz/evidencia-digital/
http://delitinfom.blogspot.mx/2012/03/concepto-objetivos-y-herramientas-de-la.html
http://www.fing.edu.uy/inco/eventos/cibsi09/docs/5mintalk-barrere.pdf
http://diarium.usal.es/salamandra/informatica/%C2%BFque-es-un-perito-informatico/
http://mattica.com/los-delitos-informaticos-y-el-computo-forense/
http://www.crimendigital.com/nosotros