A continuación se muestra un procedimiento paso a paso para custodiar pruebas digitales utilizando Autopsy, asegurando la integridad de la evidencia y el cumplimiento de la cadena de custodia:
1. Preparación y Adquisición de la Evidencia
- Captura de la imagen forense:
Antes de iniciar Autopsy, se debe obtener una imagen forense del dispositivo o medio de almacenamiento de forma inalterada (por ejemplo, mediante herramientas como FTK Imager o dd). Esto asegura que la evidencia original no sea modificada. - Verificación de integridad:
Calcula y registra el hash (MD5, SHA1 o SHA256) de la imagen original. Este valor servirá para confirmar, durante el análisis, que la imagen no ha sido alterada.
citeturn0search7
2. Creación del Caso en Autopsy
- Inicio del programa y nuevo caso:
Abre Autopsy y selecciona la opción “New Case”. Ingresa un nombre válido para el caso (sin espacios ni símbolos especiales), el número de caso y la información del investigador. Esto organiza y documenta la investigación desde el primer momento. - Registro de datos:
Anota la fecha, hora y otros detalles relevantes (por ejemplo, ubicación, dispositivo de origen, etc.) que formen parte de la cadena de custodia.
3. Importación de la Evidencia
- Agregar la imagen forense:
Dentro del caso, selecciona “Add Image” para importar la evidencia.- Indica la ruta del archivo de imagen.
- Selecciona el método de importación adecuado (copiar, mover o crear un vínculo simbólico).
- Ingresa el hash calculado y marca la opción para verificarlo durante la importación.
Esto asegura que el archivo importado sea idéntico al original, registrando cualquier discrepancia.
- Documentar la importación:
Guarda y registra la información que Autopsy te ofrece sobre la imagen (por ejemplo, tipo de sistema de archivos, particiones detectadas, etc.).
4. Configuración de Módulos y Análisis
- Selección de módulos:
Configura los módulos que se utilizarán en el análisis (por ejemplo, Keyword Search, Hash Lookup, File Analysis y Timeline Analysis).
Estos módulos ayudarán a extraer datos relevantes sin modificar la evidencia. - Realización del análisis:
Permite que Autopsy realice la ingestión (análisis automático) de la imagen. Durante este proceso, se extraerán metadatos, archivos eliminados y se realizarán búsquedas de palabras clave.
citeturn0search0 - Evidencia y reporte:
A medida que se encuentren hallazgos, se deben marcar o etiquetar los archivos relevantes. Autopsy permite exportar los resultados en formatos como HTML o CSV para incluirlos en el informe forense.
5. Documentación y Conservación
- Registro detallado (cadena de custodia):
Cada paso realizado debe documentarse, incluyendo:- Quién realizó la acción.
- Cuándo y dónde se hizo.
- Qué herramientas y versiones se utilizaron.
Esto es fundamental para que la evidencia sea admisible en un proceso judicial.
- Exportación y almacenamiento de informes:
Genera y guarda los reportes con todos los hallazgos, anotaciones y logs de Autopsy. Estos informes deben conservarse en un medio seguro y, de ser posible, respaldarse en otro dispositivo o ubicación. - Almacenamiento seguro de la evidencia:
La imagen forense original, junto con los reportes y la documentación de la cadena de custodia, deben almacenarse en un entorno controlado, garantizando su integridad y evitando accesos no autorizados.
Recomendaciones Finales
- No trabajar sobre la evidencia original:
Siempre se debe trabajar sobre la imagen forense para evitar cualquier alteración de los datos. - Uso de herramientas complementarias:
Considera complementar el análisis con otras herramientas forenses si es necesario, pero asegúrate de que la cadena de custodia se mantenga intacta en cada paso. - Capacitación y actualización:
Es fundamental que los investigadores se mantengan actualizados en las mejores prácticas forenses y en el uso de Autopsy, ya que la herramienta y las técnicas forenses evolucionan constantemente.
Este flujo de trabajo garantiza que la evidencia digital se maneje de forma correcta, cumpliendo con los estándares forenses y asegurando que la cadena de custodia se preserve en cada etapa del proceso.
