¿En qué consiste la Analítica Forense de la Información?

Hace unos días sacamos el bisturí para tratar de comprender y hacer comprensible al lector del blog por qué dos conceptos antagónicos como “hacking” y “ética” podían formar parte del mismo lado de una ecuación, y en este texto, aprovechando que teníamos la mesa de operaciones preparada, vamos a hacer lo propio para conocer otra disciplina peculiar dentro del mundo de los datos: la analítica forense de la información.

¿Ciencia forense en el mundo digital? En cierto modo, así es. Curioso, ¿verdad? No solo existe, sino que está de plena actualidad. Se trata de una de esas especialidades que no paran de crecer a regazo del crecimiento sobresaliente del mundo de la ciberseguridad y todo lo relacionado con la industria de los datos. A grandes rasgos, la analítica forense consiste en extraer toda la información valiosa presente en los discos sin alterar el estado de los mismos. Para ello se aplican una serie de técnicas que permiten buscar y recuperar dichos datos sin agredir al soporte en el que se está llevando a cabo el trabajo de rescate de la información.

De esta forma, gracias a este conjunto de técnicas, no solo se puede encontrar información conocida, sino que incluso se puede dar con aquella que estuviera oculta. Eso sí, es una rama muy metódica, en la que es fundamental para alcanzar el éxito no saltarse ningún paso y ser muy responsable y riguroso con el desarrollo del trabajo. Nada que no ocurra en la ciencia forense tradicional. Al fin y al cabo ambos son eso precisamente, ciencias.

Funciones del analista forense

Las fases fundamentales del trabajo del analista forense son la de identificación, adquisición, análisis y presentación posterior de los resultados y conclusiones. Si uno las lee de nuevo, aunque no sepa de informática ni de ciberseguridad, entenderá que son fases de puro sentido común.

La identificación, en primer lugar, se refiere a las fuentes de datos, los discos duros por ejemplo, que se van a analizar. Hay que identificarlos tanto a ellas como aquella información que quiera encontrar, se pueda concretar -si es pública o conocida- o no, en caso de que sea oculta. La fase de adquisición de la analítica forense, por su parte, es aquella en la que se extrae la información que posteriormente se analiza de forma detallada hasta ordenar los resultados del trabajo de recuperación para ser presentados a la empresa o cliente final.

Evidentemente, no es todo tan fácil como parece. No se trata de bucear en una copia de un disco duro cualquiera, sino de investigar en un sistema complejo y abundante de archivos de forma que se pueda extraer sin dañar nada de lo que hay en él toda la información valiosa que se pueda recuperar, incluido por supuesto aquella que esté escondida. Esto se consigue a través de la utilización de herramientas concretas que requieren un alto nivel de conocimiento en la materia para, por ejemplo, indexar el contenido de la fuente con las palabras clave que pueden ser utilizadas para realizar búsquedas.

Es más, los analistas forenses son aquellos que también se dedican a la recuperación de archivos borrados, ese detalle que a muchas personas que no son expertas en la materia les parece una auténtico milagro. Esto último es una aplicación de la tecnología y del conocimiento muy potente, puesto que está impactando incluso en el trabajo policial, que cada vez recurre más a ello para resolver distintos casos. La información que se puede recuperar es amplísima y, en muchos casos, muy valiosa, como es el caso de historiales de navegación o chat si se trata de una aplicación; acceso a correos electrónicos borrados; también archivos que han sido eliminados, etc., de ahí que la analítica forense de la información sea un recurso capital en todo tipo de investigaciones.

Nuevas herramientas de trabajo

Esto está haciendo que se desarrollen rápidamente las distintas aplicaciones, e incluso proliferan algunas de menor entidad pero que son muy eficaces a un nivel usuario, que ya puede hacer algunas tareas concretas propias del análisis forense digital que ya son accesibles de llevarse a cabo por un usuario final. Las herramientas en cuestión también se conocen técnicamente con el nombre de suites y lo importante es diferenciar bien aquellas que permiten trabajar en un marco legal, primero, y ético, después, de las que se saltan una o ambas cuestiones.

Y es que, como si hubiéramos buscado crear aposta una estructura capicúa del tema, sin querer, hemos acabado en el mismo punto en el que comenzamos escribiendo: en el hacking ético, una disciplina de la ciberseguridad que está íntimamente relacionada con la analítica forense de la información. Tanto es así, que la gran mayoría de los analistas forenses, por no decir todos, tienen conocimientos en dicha materia.

Enlaces de interés

• Herramientas de análisis forense