Evento DECEVAL Octubre/2017

La evidencia digital en el Código General del

Proceso
Retos y reflexiones emergentes en un mundo digitalmente modificado

Jeimy J. Cano M., Ph.D, CFE

Profesor Asociado
Escuela de Administración

Agenda 2

• Introducción
• Convergencia tecnológica
• Retos emergentes – Delincuencia digitalmente modificada
• Fundamentos conceptuales tradicionales
• Código general del proceso
• Ejemplos digitalmente modificados
• Cambio de paradigma
• Reflexiones finales
• Referencias

JCM-17 DECEVAL * Evidencia Digital 2

JCM-17 All rights reserved 1

Evento DECEVAL Octubre/2017

Introducción

JCM-17 DECEVAL * Evidencia Digital 3

Transformación digital 4

WEF-Accenture (2017) Digital Transformation

Initiative. P.63. Recuperado de:
http://reports.weforum.org/digital-transformation

JCM-17 DECEVAL * Evidencia Digital 4

JCM-17 All rights reserved 2

Evento DECEVAL Octubre/2017

Convergencia tecnológica
Retos y tendencias

JCM-17 DECEVAL * Evidencia Digital 5

Convergencia tecnológica 6

Grandes
Computación Redes Computación Computación Internet de
datos y
cognitiva sociales móvil en la nube las cosas
analítica

Datos personales y corporativos

JCM-17 DECEVAL * Evidencia Digital 6

JCM-17 All rights reserved 3

Evento DECEVAL Octubre/2017

7
Convergencia tecnológica
Howard, C., Plummer, D. C., Genovese, Y., Mann, J., Willis, D. A. y Mitchell Smith, D. (2012)
The nexus of forces: Social, Mobile, Cloud and Information. Gartner report. Recuperado

Densidad
Digital
de: https://www.gartner.com/doc/2049315

Con ideas de: KÁGANER, E., ZAMORA, J. y SIEBER, S. (2013) Cinco habilidades del líder
digital. IESE Insight. No.18. Tercer trimestre

JCM-17 DECEVAL * Evidencia Digital 7

Ecosistemas Digitales Criminales 8

ECOSISTEMA DIGITAL
Infraestructura del adversario

Requerimientos Estrategia técnica

Mercado potencial
(Interrupción, (Recolectar información, Prototipos y simulaciones
(Estados, actores no-
interceptación, cazar vulnerabilidades, (Vulnerabilidades de día
cero, botnets, APT,
Oferta y demanda
(Ventas y Mercado de
estatales, hacktivistas, despliegue en DeepWeb,
hackers criminals, bandas modificación, intrusion, Comando & Control,
cubrir los rastros, cripto- código entrada)
criminales organizadas) Engaño) monedas) de explotación)

Motivaciones políticas, Disrupciones políticas,

CIRCUITOS DE FEED-BACK / FEED-FORWARD
económicas, sociales y económicas, sociales y
tecnológicas tecnológicas

JCM-17 DECEVAL * Evidencia Digital 8

JCM-17 All rights reserved 4

Evento DECEVAL Octubre/2017

Retos emergentes – Delincuencia digitalmente modificada

Evidencia digital

JCM-17 DECEVAL * Evidencia Digital 9

10
Premisas de la delincuencia digital
Máxima efectividad, con el mínimo de
esfuerzo.

Uso de plataformas
Máximo anonimato, con digitales públicas y
el mínimo de evidencia gratuitas, asistidas por
posible. comunidades
especializadas.

Máxima ambigüedad Uso de

jurídica, con el mínimo de criptomonedas como
conocimiento tecnológico medio de pago.
disponible.

JCM-17 DECEVAL * Evidencia Digital 10

JCM-17 All rights reserved 5

Evento DECEVAL Octubre/2017

11
Estrategias resilientes del malware
EMPAQUETAR ANTI MÁQUINA VIRTUAL
Mecanismos auto-defensivos Si se ejecuta en máquina virtual
para entorpecer y/o demorar a modifica secuencia de ejecución y
los analistas de seguridad cambia comportamiento.

Comprime tamaño del ejecutable Protege la esencia de su comportamiento

Limita el análisis del código Protege la esencia de su código

OFUSCAR ANTI DEPURADORES

Disuadir estudio estático y Detección de debuggers
manual del código malicioso (depuradores) con uso de
secciones de memoria conocida

Ideas tomadas de: Paus, L. (2017) 5 tácticas de los cibercriminales que le arruinan el día a los analistas de malware. Recuperado de: https://www.welivesecurity.com/la-es/2017/08/04/tacticas-
de-los-cibercriminales-arruinan-dia-analistas/

JCM-17 DECEVAL * Evidencia Digital 11

Crimen como servicio 12

Tomado de:
https://cchs.gwu.edu/sites/cchs.gwu.edu/files/Responding%20to%2
0Cybercrime%20at%20Scale%20FINAL.pdf

JCM-17 DECEVAL * Evidencia Digital 12

JCM-17 All rights reserved 6

Evento DECEVAL Octubre/2017

13

Fundamentos Conceptuales Tradicionales

Evidencia digital

JCM-17 DECEVAL * Evidencia Digital 13

Contexto de base 14

Elementos materiales
probatorios
Procedimientos técnicos

Evidencias

Técnica Jurídica

Pruebas

JCM-17 DECEVAL * Evidencia Digital 14

JCM-17 All rights reserved 7

Evento DECEVAL Octubre/2017

15
Evolución de los elementos materiales probatorios
2000s 2003s 2005s 2008s 2013 2015 2020+

Desktops y Laptops
CD, DVD, USB, Discos Externos

Teléfonos móviles
SmartPhones, SIMCards, Memorias SD

Dispositivos móviles
iPad, iPhone, iCloud

Vestibles (Wearables)
iWatch, iglass, Dispostivos médicos

Tendencias transversales
Computación en la nube, computación móvil, redes sociales, IoT, grandes datos y analítica
Recursos generales requeridos
Personas, procesos y tecnología
JCM-17 DECEVAL * Evidencia Digital 15

Definiciones básicas 16

JCM-17 DECEVAL * Evidencia Digital 16

JCM-17 All rights reserved 8

Evento DECEVAL Octubre/2017

17
Principios que gobiernan la Evidencia Digital

Relevancia: Confiabilidad:
Valida la repetibilidad y
Elementos que son pertinentes a la
auditabilidad de un proceso
situación que se analiza o investiga, con el
fin de probar o no una hipótesis que se ha aplicado para obtener una
planteado alrededor de los hechos. evidencia digital.

Suficiencia (Completitud):
Las evidencias recolectadas y analizadas son las Tomado de: ISO/IEC 27037:2012. Tecnología de la información –
Técnicas de seguridad – Directrices para la identificación,
requeridas para sustentar los hallazgos y verificar recolección, adquisición y preservación de la evidencia digital.
las afirmaciones efectuadas sobre la situación
investigada.
JCM-17 DECEVAL * Evidencia Digital 17

Normas ISO 18

JCM-17 DECEVAL * Evidencia Digital 18

JCM-17 All rights reserved 9

Evento DECEVAL Octubre/2017

Normas ISO 19

1. Las clases fueron definidas en el ISO/IEC 27043:2015 Information

technology -- Security techniques -- Incident investigation principles
and processes, publicado en Marzo de 2015.

2. El detalle de las actividades está dado por la ISO/IEC 27035-2 (en

desarrollo) ISO/IEC 27037:2012 y la ISO/IEC 27042.

Information security incident management -- Part 1: Principles of incident

management
Information security incident management -- Part 2: Guidelines to plan
and prepare for incident response
Information security incident management -- Part 3: Guidelines for CSIRT
operations
Guidelines for identification, collection, acquisition and preservation of
digital evidence
Specification for digital redaction

Storage security
Guidance on assuring suitability and adequacy of incident investigative
method
Guidelines for the analysis and interpretation of digital evidence

Incident investigation principles and processes

Guidelines for Security Information and Event Management (SIEM)

Electronic Discovery, Part 1 to 4

Governance of digital forensic risk framework

Aplicabilidad de los estándares a las clases de proceso de investigación y sus actividades. Tomado de: ISO/IEC 27042:2015 Guidelines for the analysis and interpretation of digital evidence. P. vii

JCM-17 DECEVAL * Evidencia Digital 19

Condiciones jurídicas de la Evidencia Digital 20

Evidencia Digital

Admisibilidad Valor Probatorio

Exigencias legales Peritos especializados (Expertos informática

Ley 527 de 1999 Art. 10 forense)
Ley 906 de 2004. Art.236

Criterio para valorar probatoriamente un

mensajes de datos
Ley 527 de 1999. Art. 11
JCM-17 DECEVAL * Evidencia Digital 20

JCM-17 All rights reserved 10

Evento DECEVAL Octubre/2017

21

Código General del Proceso

Evidencia digital

JCM-17 DECEVAL * Evidencia Digital 21

Proceso integrado 22

Violación de
la Ley
Descubrimiento/
Acusación
Identificación/
Recolección
Preservación/
Control Revisión/
Individualización
Análisis/
Reporte/
Ordenamiento Jurídico

Resultados
Oportunidad Hallazgos
Evidencia
Forense Admisible
Persuación
Méritos
Estándares Descubrimiento
Interrogatorio
Presentación del Caso
Testimonio de Expertos
Revisión Cruzada de Evidencias
Argumentos Finales
Ejecución de
Verdicto
Sentencia Sentencia

Adaptado de: CASEY, E. (2004) Digital Evidence and Computer Crime. Cap.4 Pág. 92. Academic Press.
JCM-17 DECEVAL * Evidencia Digital 22

JCM-17 All rights reserved 11

Evento DECEVAL Octubre/2017

La evidencia digital en el Código General del Proceso 23

Declaración
Cualesquier de parte
a otros Confesión
medios

Informes Juramento
MEDIOS
DE
PRUEBA
Testimonio
Indicios
de terceros

Dictámen
Documentos
pericial
Inspección
Art. 165 Medios de prueba judicial
JCM-17 DECEVAL * Evidencia Digital 23

24
La evidencia digital en el Código General del Proceso

DOCUMENTO

Todo objeto mueble que tenga carácter

representativo o declarativo

Escritos, impresos, planos, dibujos, cuadros,

mensajes de datos, fotografía, cintas
cinematográficas, discos, grabaciones
magnetofónicas,
videograbaciones,radiografías, talons,
contraseñas, cupones, etiquetas, sellos,
incripciones en lápidas, monumentos,
Art. 243 Distintas clases de edificios o similares
documentos
JCM-17 DECEVAL * Evidencia Digital 24

JCM-17 All rights reserved 12

Evento DECEVAL Octubre/2017

La evidencia digital en el Código General del Proceso 25

Art. 243 Distintas clases de
documentos

DOCUMENTO Ley 57 de 1887 - Código Civil

Colombiano – Art. 655
Todo objeto mueble que tenga carácter
representativo o declarativo
BIEN MUEBLE
▪ Muebles. Muebles son las que
pueden transportarse de un lugar a
otro, sea moviéndose ellas a sí
mismas como los animales (que por
eso se llaman semovientes), sea que
sólo se muevan por una fuerza
Escritos, impresos, planos, dibujos, cuadros, externa, como las cosas inanimadas.
mensajes de datos, fotografía, cintas
cinematográficas, discos, grabaciones
magnetofónicas,
videograbaciones,radiografías, talons,
contraseñas, cupones, etiquetas, sellos,
incripciones en lápidas, monumentos,
edificios o similares
JCM-17 DECEVAL * Evidencia Digital 25

La evidencia digital en el Código General del Proceso 26

Art. 243 Distintas clases de
documentos
DOCUMENTO
En En
movimiento reposo
Todo objeto mueble que tenga carácter
representativo o declarativo
Datos/
Información

Escritos, impresos, planos, dibujos, cuadros,

mensajes de datos, fotografía, cintas
cinematográficas, discos, grabaciones
magnetofónicas, En punto
videograbaciones,radiografías, talons,
contraseñas, cupones, etiquetas, sellos, final
incripciones en lápidas, monumentos,
edificios o similares
JCM-17 DECEVAL * Evidencia Digital 26

JCM-17 All rights reserved 13

Evento DECEVAL Octubre/2017

La evidencia digital en el Código General del Proceso 27

Art. 243 Distintas clases de

competition. Harvard Business Review. Noviembre.p.7

Porter, M. y Heppelmann, J. (2014) How Smart, connected products are transforming
documentos
DOCUMENTO

Todo objeto mueble que tenga carácter

representativo o declarativo

Escritos, impresos, planos, dibujos, cuadros,

mensajes de datos, fotografía, cintas
cinematográficas, discos, grabaciones
magnetofónicas,
videograbaciones,radiografías, talons,
contraseñas, cupones, etiquetas, sellos,
incripciones en lápidas, monumentos,
edificios o similares
JCM-17 DECEVAL * Evidencia Digital 27

28

Ejemplos digitalmente modificados

Evidencia digital

JCM-17 DECEVAL * Evidencia Digital 28

JCM-17 All rights reserved 14

Evento DECEVAL Octubre/2017

29
Análisis forense digital – HD Vs SSD

http://www.cheadledatarecovery.co.uk/how-do-hard-disk-drives-work/ http://www.maximumpc.com/article/features/autopsy?page=0,3

JCM-17 DECEVAL * Evidencia Digital 29

Análisis forense digital - Smartwatch 30

Porter, M. y Heppelmann, J. (2014) How Smart, connected products are transforming

principles/
pple-watch-apps-important-design-
http://thinkapps.com/blog/design/a

ed_View_Pic_042915.jpg
content/uploads/2015/04/Apple_Watch_Explod
http://www.itcle.com/wp-
competition. Harvard Business Review. Noviembre.p.7

JCM-17 DECEVAL * Evidencia Digital 30

JCM-17 All rights reserved 15

Evento DECEVAL Octubre/2017

31

Cambio de paradigma
Evidencia digital

JCM-17 DECEVAL * Evidencia Digital 31

32
Ecosistema tecnológico

JCM-17 DECEVAL * Evidencia Digital 32

JCM-17 All rights reserved 16

Evento DECEVAL Octubre/2017

33
Análisis forense en un ecosistema tecnológico

JCM-17 DECEVAL * Evidencia Digital 33

34
Visibilidad y confiabilidad de los rastros en un ecosistema
tecnológico

JCM-17 DECEVAL * Evidencia Digital 34

JCM-17 All rights reserved 17

Evento DECEVAL Octubre/2017

35
Cambios en la investigación criminal sobre un
ecosistema tecnológico
Tradicional Ecosistema tecnológico

Evidencia estática Evidencia dinámica

Paradigma positivista Paradigma sistémico

Orientado a dispositivos específicos Orientado a plataformas digitales

Una persona o grupo Comunidades distribuidas

Basada en procedimientos Basada en analítica de datos y

conocidos y probados patrones de reconocimiento
Dificultad Intermedia Dificultad Avanzada

Individual y local Organizado y global

Afectaciones de empresas y Afectaciones de comunidades y

personas naciones
JCM-17 DECEVAL * Evidencia Digital 35

36

Reflexiones finales
Evidencia digital

JCM-17 DECEVAL * Evidencia Digital 36

JCM-17 All rights reserved 18

Evento DECEVAL Octubre/2017

Repensando la evidencia digital en un mundo 37

digitalmente modificado
Concepto Paradigma Detalles Ventajas Limitaciones

Modelo de flujo Alineado con el mundo

Validez incierta
dinámico digitalmente modificado
PARADIGMA
SISTÉMICO
Procedimientos Reconoce configuración
de productos/servicios Admisibilidad probatoria
propuestos y en digitalmente incierta
desarrollo modificados
EVIDENCIA
DIGITAL
Productos/servicios
Modelo Causa-
Validez formal digitalmente
Efecto modificados
PARADIGMA
MECÁNICO
Configuración de los
Procedimientos productos/servicios
Admisibilidad probatoria
definidos y probados digitalmente
modificados
JCM-17 DECEVAL * Evidencia Digital 37

38

Cada vez que desees sinceramente

un cambio, lo primero que debes hacer
es elevar tus estándares.
Anthony Robbins. Poder sin límites

JCM-17 All rights reserved 19

Evento DECEVAL Octubre/2017

Referencias
39
• Cano, J. (2015) Computación forense. Descubriendo los rastros informáticos. Segunda Edición. Bogotá, Colombia:
Alfaomega Editores.
• Darahuge, M. y Arellano, L. (2014) Manual de informática forense II. Buenos Aires, Argentina: Errapar S.A
• García, R. (2013) Sistemas complejos. Conceptos, método y fundamentación epistemológica de la investigación
interdisciplinaria. Barcelona, España: Gedisa Editorial.
• Goodman, M. (2015) Future crimes: everything is connected, everyone is vulnerable. New York, USA: Doubleday.
• Cano, J. (2015) Seguridad y control en el 2020. Algunas reflexiones sobre el futuro. Revista Sistemas. Asociación
Colombiana de Ingenieros de Sistemas – ACIS. No. 134. 52-59
• Cano, J. (2015b) El lado oscuro de la tecnología de información. Reflexiones desde la inseguridad de la información. Blog
IT-Insecurity. Recuperado de: http://insecurityit.blogspot.com/2015/01/el-lado-oscuro-de-la-tecnologia-de.html
• Howard, C., Plummer, D. C., Genovese, Y., Mann, J., Willis, D. A. y Mitchell Smith, D. (2012) The nexus of forces: Social,
Mobile, Cloud and Information. Gartner report. Recuperado de: https://www.gartner.com/doc/2049315
• Páramo, P. (2011) La investigación en ciencias sociales. Estrategias de investigación. Bogotá, Colombia: Universidad
Piloto de Colombia.
• Paus, L. (2017) 5 tácticas de los cibercriminales que le arruinan el día a los analistas de malware. ESET. Recuperado de:
https://www.welivesecurity.com/la-es/2017/08/04/tacticas-de-los-cibercriminales-arruinan-dia-analistas/
• Káganer, E., Zamora, J. y Sieber, S. (2013) Cinco habilidades del líder digital. IESE Insight. No.18. Tercer trimestre
• Ko, R. y Choo, R. (editors) (2015) The cloud security ecosystem. Technical, legal, business and management issues.
Waltman, MA. USA: Syngress Publications.

JCM-17 DECEVAL * Evidencia Digital 39

Para continuar aprendiendo … 40

Autor:
Jeimy J. Cano M., Ph.D, CFE

Editorial: Alfaomega

Edición: Segunda

Año: 2015

ISBN: 978-958-682-922-9

Mayor información en:

http://www.alfaomega.com.co/catalogo/computacion/computacion-forense-descubriendo-los-rastros-informaticos-2-edicion.html
JCM-17 DECEVAL * Evidencia Digital 40

JCM-17 All rights reserved 20

Evento DECEVAL Octubre/2017

41

La evidencia digital en el Código General del

Proceso
Retos y reflexiones emergentes en un mundo digitalmente modificado

Jeimy J. Cano M., Ph.D, CFE

Profesor Asociado
Escuela de Administración
@itinsecure
Blog:
http://insecurityit.blogspot.com

JCM-17 All rights reserved 21