Pasos clave para realizar un análisis forense digital tras una exfiltración

Cuando se detecta o sospecha una exfiltración de datos, el objetivo del análisis forense digital es determinar con precisión qué información fue sustraída, cómo se accedió a ella, qué herramientas se utilizaron y quién o qué causó el incidente, manteniendo la integridad jurídica y técnica de las evidencias.

A continuación, se detalla el proceso estructurado paso a paso para realizar una investigación forense informática eficaz.

1.Contención y Aseguramiento:Preservación de evidencia.

Aislar físicamente el equipo de la red (desconectar el cable Ethernet y desactivar Wi-Fi) para evitar comunicaciones externas con el atacante, pero sin apagar el equipo si aún se encuentra encendido, para no perder datos críticos en la memoria volátil. Documentar el estado físico del dispositivo y garantizar la cadena de custodia desde el primer segundo. Verificación: El equipo queda totalmente aislado de cualquier red local o internet sin perder el estado de ejecución actual.

2.Adquisición de Memoria Volátil (RAM):Captura en caliente.

Utilizar herramientas especializadas de adquisición forense (como LiME, FTK Imager Lite o DumpIt) para volcar el contenido de la memoria RAM a un medio de almacenamiento externo seguro. La RAM contiene procesos activos, conexiones de red establecidas y claves temporales que desaparecerían al apagar el equipo. Verificación: Se genera un archivo de volcado de memoria íntegro acompañado de su hash de verificación.

3.Creación de Imagen Forense del Disco:Clonación bit a bit.

Apagar el equipo de forma controlada o extraer el medio de almacenamiento para conectarlo a una estación de trabajo forense utilizando un bloqueador de escritura físico (write blocker). Realizar una imagen forense exacta (clon bit a bit) en formatos estándar (como E01 o RAW) calculando su función hash (SHA-256). Verificación: El hash SHA-256 de la imagen creada coincide exactamente con el hash del disco original, garantizando que no ha sido alterado.

4.Análisis de Artefactos y Rastros:Peritaje y cronología.

Examinar la imagen forense utilizando software especializado (como Autopsy, EnCase o FTK) para buscar evidencias de exfiltración:

• Registros de eventos (Event Logs): Analizar accesos, inicios de sesión y conexiones de dispositivos externos.
• Artefactos de actividad de usuario: Revisar Shellbags, accesos directos (LNK files) y Jump Lists para saber qué archivos fueron abiertos.
• Herramientas de transferencia: Buscar rastros de utilidades de compresión o clientes de sincronización no autorizados.Verificación: Se extrae una cronología coherente de eventos que sitúa temporalmente el acceso y la extracción de los datos.

5.Documentación y Reporte Pericial:Cierre del caso.

Redactar un informe técnico detallado que incluya la metodología aplicada, la cadena de custodia, la cronología de los hechos, la lista exacta de archivos comprometidos y las recomendaciones de seguridad para corregir la vulnerabilidad. Verificación: El informe detalla de forma irrefutable el vector de entrada y el alcance de la exfiltración para fines legales o corporativos.

Para realizar un análisis forense digital y rastrear la copia o transferencia de archivos hacia dispositivos de almacenamiento USB en Windows, es necesario examinar diversos artefactos del sistema operativo que registran la conexión de hardware, la actividad del sistema de archivos y el comportamiento del usuario.

A continuación, se detallan los artefactos clave que todo investigador debe analizar:

1. El Registro de Windows (Registry Hives)

El Registro almacena información histórica sobre cada dispositivo USB que se ha conectado al equipo, lo que permite identificar marcas, modelos, números de serie y las fechas de primera y última conexión.

• Hive SYSTEM:
  • ControlSet00x\Enum\USBSTOR: Muestra los dispositivos de almacenamiento masivo conectados, incluyendo el identificador único del fabricante, modelo y número de serie (clave para saber si se usó un pendrive específico).
  • ControlSet00x\Control\DeviceClasses: Relaciona los dispositivos con las letras de unidad asignadas (E:, F:, etc.).
• Hive SOFTWARE:
  • Microsoft\Windows Portable Devices\Devices: Contiene registros si el dispositivo se conectó como MTP (como un smartphone o cámara).

2. Archivos SetupAPI (setupapi.dev.log)

Ubicados en la ruta %SystemRoot%\inf\setupapi.dev.log (y sus respaldos históricos setupapi.dev.log.xx), este archivo de texto plano registra de forma cronológica la instalación y detección de cualquier hardware nuevo.

• Información clave: Es una de las fuentes más fiables para obtener la fecha y hora exactas (timestamp) en la que un dispositivo USB específico fue insertado por primera vez y en conexiones posteriores, incluso si el registro fue borrado parcialmente.

3. Visor de Eventos de Windows (Event Logs)

Los registros del sistema capturan eventos críticos relacionados con la inserción de dispositivos y la interacción con los archivos.

• Microsoft-Windows-Kernel-PnP/Operational (Canal Plug and Play):
  • Eventos ID 400 y 410: Indican cuando un dispositivo fue detectado, configurado y conectado correctamente al bus USB.
• Microsoft-Windows-DriverFrameworks-UserMode/Operational:
  • Registra la actividad de los controladores en modo usuario, útil para identificar el ciclo de vida del dispositivo de almacenamiento (conexión y desconexión).
• Registro de Seguridad (Security.evtx):
  • Si la directiva de auditoría de acceso a objetos está habilitada, los Eventos ID 4663 (se intentó acceder a un objeto) y 4656 permiten rastrear operaciones de lectura/escritura sobre archivos específicos si estos permisos fueron configurados previamente.

4. El Diario de USN y la tabla $MFT (Sistema de Archivos NTFS)

El USN Journal (Update Sequence Number Journal) y la tabla maestra de archivos ($MFT) registran todos los cambios realizados en el sistema de archivos NTFS.

• Rastreo de escritura: Aunque el diario USN no guarda el nombre del dispositivo USB de destino de forma directa, registra la creación, modificación y escritura de metadatos de archivos. Cruzar las marcas temporales (timestamps) de los archivos modificados con la hora exacta en que se conectó el USB permite inferir qué datos fueron manipulados o copiados.

5. Artefactos de Actividad del Usuario (Shellbags y LNK)

Para entender qué hizo el usuario antes o durante la transferencia de datos:

• Shellbags (UsrClass.dat y NTUSER.DAT): Registran las carpetas que el usuario abrió, la vista utilizada y las fechas de acceso. Permiten comprobar si el usuario navegó por directorios confidenciales (ej. Recursos Humanos o Finanzas) justo antes de conectar la memoria USB.
• Archivos LNK (Accesos directos) y Jump Lists: Muestran los archivos recientes que fueron abiertos o ejecutados, ayudando a construir la línea temporal de la actividad previa a la exfiltración.