Informática forense

La informática forense desarrolla hipótesis y responde preguntas sobre el ciberincidente o delito mediante la recolección de evidencia que ayude a esclarecerlo (^{Carrier & Spafford, 2004}), con el fin de preservar la integridad de los datos, analizarlos y resolver el delito (^{Kent et al., 2006}). Además, la herramientas y técnicas forenses disponibles pueden aclarar los ciberincidentes, para así satisfacer la demanda proveniente de los ataques informáticos (^{National Institute of Standards and Technology [NIST], 2020}).

Por otra parte, en el análisis de la información, debe mitigarse la volatilidad de los datos durante el proceso de recopilación y conservación de pruebas en la escena del crimen digital. Más aún durante el proceso de preservar rastros y evidencias, cuando puede haber volatilidad de la memoria, ya que los datos almacenados requieren de energía para conservarse en esta fase, denominadapost mortem (^{Vallim, 2017}).

Etapa 1. Análisis de antecedentes

La revisión de literatura logró demostrar la viabilidad de la informática forense como estrategia de investigación de ciberincidentes en telemedicina. El análisis se basó en diferentes fuentes de información: primero se recurrió a Google Académico para lograr obtener un grupo amplio de referencias; luego, la búsqueda se refinó en la base de datos Pubmed usando los siguientes metadatos: "informática forense", "ciberseguridad" y "telemedicina". Como resultado, se analizaron 54 fuentes, incluidos artículos y libros de investigación.

Etapa 2. Evaluación de herramientas de la informática forense y su funcionalidad en modo live forensics

En esta segunda etapa, se plantearon las herramientas tecnológicas que configuran el hardware y el software para la investigación, recopilación y análisis del reporte de ciberincidentes de robo de datos en telemedicina. Se tomó como único referente al Instituto Nacional de Normas y Tecnología de Estados Unidos (^{NIST, 2019}). El criterio de inclusión fueron las herramientas y su funcionalidad registradas hasta octubre de 2019 en su sitio web. Se logró diferenciar las herramientas y su funcionalidad de acuerdo con la volatilidad de los datos, es decir, durante la vida de estos, estrategia conocida como live forensics.

Desarrollo

Herramientas de volatilidad en memoria RAM

Como se ha dicho, la integridad y disponibilidad de las pruebas puede verse fácilmente comprometida con algo tan simple como apagar el dispositivo sospechoso. Esto debido a que en una pesquisa del espacio RAM puede encontrarse información muy valiosa (^{Bidgoli, 2006}).

En el estudio de volatilidad de datos se detectaron diecisiete herramientas utilizadas en el proceso de captura y análisis de memoria (^{NIST, 2019}): Active Defense, Belkasoft Evidence Center, Belkasoft Live RAM Capture, DC3 Memory Analysis Tool (DMAT), DFF, Elcomsoft Forensic Disk Decryptor, ILookIXimager, Internet Evidence Finder (IEF), IEF Triage, Mac Memory Reader, MacQuisition, Magnet Axiom, Magnet RAM Capture, Mem Marshal, OSForensics, Responder Professional y Windows Memory Reader.

El error de apagar o reiniciar el sistema

Al desconectar la fuente de alimentación energética o apagar la máquina, se pierde la información de los procesos y programas en ejecución, de los datos que residen en el espacio de archivo de intercambio o de paginación, y de la información de conexión de red, porque estas fuentes de información son volátiles. Además, la información se pierde irremediablemente cuando se apaga el sistema host o se corta la energía (^{Bidgoli, 2006}).

Manejo incorrecto de dispositivos informáticos

La manipulación incorrecta de un dispositivo durante la conservación y la recopilación puede provocar la pérdida de datos digitales. Si el dispositivo no se manipula correctamente durante dichos procesos, la evidencia física puede resultar contaminada (^{SWGDE, 2020}). Además, la documentación de todas las pruebas, incluido el sistema comprometido, ayuda al proceso de investigación (^{Cichonski et al., 2012}). De esta manera, el hecho de no definir adecuadamente un plan de manejo de datos ante un ciberincidente puede ocasionar que no haya recursos después de un evento, lo cual define la responsabilidad en el manejo inadecuado de datos (^{Network Working Group [NTWG], 1997}).

Documentar las acciones en interacción con el entorno del ciberincidente

El protocolo presentado en este estudio muestra la importancia de desarrollar una cadena de custodia definida con claridad. Asimismo, esta se debe seguir fielmente para evitar acusaciones de manejo inadecuado o violaciones de rastro digital, y así actuar de manera apropiada para preservar datos volátiles y no volátiles (^{Kent et al., 2006}). En este sentido, una gestión preventiva define acciones para manejar el ciberincidente antes de que ocurra, con lo cual se logra desarrollar una cultura segura de conductas para la toma de decisiones. Esta planificación limita e incluso evita esta clase de incidentes, así como posibles daños derivados de estos.

De esta forma, la protección de la información también incluye preparar pautas de manejo de ciberincidentes como parte de un plan de contingencia, destinado a eliminar gran parte de la ambigüedad que provoca un ciberincidente y así conducir a un conjunto de respuestas apropiadas y completas. En la Tabla 2 se muestran los objetivos que debe tener dicho plan de acción.

Debido a la naturaleza del ciberincidente, puede haber un conflicto entre analizar la fuente original de un problema y restaurar los sistemas o servicios (NTWG, 1997).

Escala de cribado para primera respuesta en tres tipos de acción

A continuación se presenta la escala de cribado para la preservación de rastros y evidencias con base en el protocolo de Manchester, que soporta las actividades durante la primera respuesta. En la Tabla 3 se muestra el conjunto de acciones para identificar, aislar y proteger la escena del ciberincidente en aras de preservar los rastros.

Las acciones de primera respuesta usadas para identificar, aislar y proteger la escena del ciberincidente tienen como objetivo preservar los restos digitales. Las acciones de identificación comienzan antes del ciberincidente, con la determinación de la cadena de custodia, y durante él, con acciones inmediatas para preservar los datos. Con el fin de aislar la escena del crimen, los datos volátiles (urgentes) y no volátiles (poco urgentes) son identificados, conservados y recopilados para su posterior análisis. El almacenamiento de datos para proteger los rastros se considera no urgente. Esta clasificación de poco urgente y no urgente denota mucha importancia, puesto que evidencia que la prioridad es identificar y aislar para proteger los rastros y evidencias como acción primaria.

Escenarios de ciberincidentes en telemedicina

El desarrollo de escenarios para el manejo de ciberincidentes ayuda a los miembros del equipo de respuesta a ciberincidentes a discutir sobre la toma de decisiones. Al responder al ciberincidente, los empleados de la institución de salud deben responsabilizarse de sus acciones. Sin embargo, si es un empleado subcontratado, debe tener un funcionario supervisor que evalúe su trabajo. Todos los demás modelos organizacionales generalmente tienen un jefe responsable de los equipos y uno o más corresponsables que asumen esa autoridad en ausencia del jefe.

Los miembros del equipo deben tener excelentes habilidades técnicas en administración de sistemas, administración de redes, programación, soporte técnico y detección de intrusos. Además, deben contar con habilidades blandas para resolver problemas con base en el pensamiento crítico. Sin embargo, no es necesario que todo el equipo sea de técnicos expertos; en la mayoría de casos, las consideraciones prácticas y financieras lo impiden. En lugar de ello, se requiere al menos una persona altamente competente para cada área considerada prioritaria de tecnología, como un profesional de la salud capacitado y consciente de las acciones de primera respuesta. El equipo analiza cada pregunta y determina la respuesta más viable al ciberincidente (^{Cichonski et al., 2012}). En el protocolo de este estudio, el funcionario competente puede ser un profesional de la salud capacitado para lidiar con este tipo de eventos.

Como se ha dicho, son necesarios ciertos pasos al manejar un ciberincidente. En todas las actividades relacionadas con la seguridad, el punto más importante son las políticas institucionales vigentes. Sin política ni objetivos definidos, las actividades realizadas quedan desenfocadas. Por eso, los objetivos deben ser definidos previamente por los funcionarios del equipo de la institución y en compañía de un asesor legal. Uno de esos objetivos fundamentales es restaurar el control de los sistemas afectados y limitar así el impacto de los daños.

En el peor de los casos, apagar el sistema o desconectarlo de la red eléctrica puede ser la única solución práctica. En esas circunstancias, tratar de atrapar intrusos puede tener una prioridad muy baja en comparación con la integridad del sistema. Por ejemplo, monitorear la actividad de un hacker es útil, pero puede considerarse un riesgo permitir su acceso continuo (^{NTWG, 1997}).

Protocolo de informática forense para conservación de rastros y evidencias

Con el protocolo desarrollado en este estudio, la institución de salud debe establecer la cadena de custodia con base en recomendaciones internacionales y respetando las leyes de cada país. La institución puede tardar más en establecer la cadena de custodia ajustada a las recomendaciones internacionales, de modo que debe tener planes alternativos que consideren la toma de decisiones durante el ciberincidente.

La prioridad en el protocolo es crear la cadena de custodia que se utilizará durante el ciberincidente y que ayudará a tomar decisiones. Antes del ciberincidente, cada actor recopila los datos volátiles y no volátiles esenciales para su trabajo.

Los actores, el profesional de la salud y el experto identifican qué datos deben priorizarse durante el ciberincidente, además de determinar qué datos se respaldarán y con qué frecuencia. Los actores viabilizan la cadena de custodia comprobando sus acciones en cada etapa. En la Tabla 4 se muestran las decisiones prácticas en prioridad 1 ante un ciberincidente.

Para la prioridad 2 del protocolo, se identifica la acción de la cadena de custodia que se utilizará durante el ciberincidente para una mejor toma de decisiones. A nivel inmediato, cada actor identifica su acción sobre la cadena de custodia para preservar los datos volátiles y no volátiles. Los actores denuncian el ciberincidente ante las autoridades competentes de acuerdo con la normativa de su país; anotan el comportamiento del ciberincidente y las características del equipo, e identifican la prioridad de preservación. En la Tabla 5 se muestran las decisiones prácticas en prioridad 2.

Para la prioridad 3 del protocolo, se aíslan los datos volátiles de acuerdo con la acción de la cadena de custodia. Es un nivel urgente, donde cada actor tiene como objetivo preservar los datos volátiles. Los actores analizan el comportamiento de los datos volátiles, identifican la acción de cadena de custodia para los datos volátiles, toman nota de cada manipulación de dichos datos para luego informar su manejo e identifican el software de recopilación de datos volátiles. Los actores también aíslan los datos volátiles para preservarlos de acuerdo con la cadena de custodia. En la Tabla 6 se muestran las decisiones prácticas ante un ciberincidente en prioridad 3.

Para la prioridad 4 del protocolo, se aíslan los datos no volátiles de acuerdo con la acción de la cadena de custodia. Es un nivel urgente, donde cada actor tiene como objetivo preservar los datos no volátiles. Los actores describen el comportamiento de los datos no volátiles, identifican la acción de la cadena de custodia para dichos datos para informar de su manejo e identifican el software para su recolección. Los actores también aíslan los datos no volátiles para preservarlos de acuerdo con la cadena de custodia. En la Tabla 7 se muestran las decisiones prácticas ante un ciberincidente en prioridad 4.

Para la prioridad 5 del protocolo, se protegen los datos no volátiles de acuerdo con la acción de la cadena de custodia. Es un nivel no urgente, donde cada actor tiene como objetivo almacenar datos volátiles y no volátiles. Los actores identifican la forma de almacenar ambos tipos de datos y aplican el método de almacenamiento para datos no volátiles. Los actores guardan y protegen los datos de acuerdo con la cadena de custodia. En la Tabla 8 se muestran las decisiones prácticas ante un ciberincidente en prioridad 5.

Con el protocolo sugerido en este estudio, la institución de salud puede iniciar su propia cadena de custodia, en la que analizará los puntos críticos para preservar rastros y evidencias de datos volátiles y no volátiles. Sin embargo, es necesario que la acción pueda ser modificada según el ciberincidente y de acuerdo con los actores, la institución de salud y la legislación específica de cada país.

El éxito del protocolo de preservación de evidencias depende de factores como la formación y sensibilización de los profesionales de la salud, la adecuación de las tecnologías que pueden ser utilizadas en el entorno de uso de activos computacionales, y también su compatibilidad con el uso de las herramientas forenses mencionadas en esta investigación. De esta manera, este aporte constituye un documento de referencia que sistematiza la toma de decisiones con la inclusión de niveles de urgencia del ciberincidente.

Aplicación práctica

Como escenario de la aplicación práctica del protocolo de estudio, se toma como ejemplo el ciberincidente del Hospital Oncológico de Barretos, Brasil, ocurrido en 2017. Este fue causado por una variante del virus "Petya", que infecta las computadoras con Windows y pide un "rescate" pagado con monedas digitales. El virus, de tipo ransomware, invade el sistema y codifica los datos y cifras de las máquinas infectadas. Restablecer el acceso requiere el uso de una clave en poder de los delincuentes, que liberan tras el pago del rescate. En este caso, el rescate solicitado era de US$300 por computador, para un total de US$360 000 por el rescate de todas las máquinas infectadas. El ciberincidente canceló aproximadamente 3000 consultas y pruebas de 350 pacientes que quedaron sin radioterapia. El equipo se turnó en régimen de 24 horas con el objetivo de restablecer el sistema, lo que tuvo consecuencias para otras unidades del hospital. La normalización de la atención de pacientes fue posible a los 6 días del ciberincidente (^{Guimarães, 2017}).

La atención médica es un objetivo atractivo para los delitos cibernéticos por dos razones fundamentales: es una fuente rica de datos valiosos y sus defensas son débiles. En este sector, las violaciones de ciberseguridad incluyen el robo de información médica y los ataques de ransomware en hospitales, que pueden incluir ataques a dispositivos médicos implantados. Las Dichas violaciones pueden reducir la confianza del paciente, dañar los sistemas de salud y amenazar la vida humana (^{Coventry & Branley, 2018}).

El ransomware también puede secuestrar archivos de datos enormes, lo que dificulta la atención del paciente durante periodos más prolongados. Un ataque de denegación de servicio a gran escala, en el que una red de datos está sobrecargada deliberadamente con las actividades de los médicos, impide el acceso a los registros médicos electrónicos (^{Jarret, 2017}). Este tipo de ataques tiene más éxito cuando la víctima desconoce la seguridad del sistema. En este sentido, los usuarios pueden protegerse de posibles extorsiones simplemente aplicando las buenas prácticas y políticas de respaldo de la información o implementando software de restauraciones del sistema (^{Britz, 2013}). Las instituciones de salud que no han dispuesto copias de seguridad en la cadena de custodia digital eventualmente se ven obligadas a pagar el rescate por la necesidad de recuperar los datos, y ese pago acaba fomentando la continuación del delito (^{Santana et al., 2017}).

El escenario de aplicación con el protocolo desarrollado en este estudio plantea la hipótesis de que el virus ransomware se instala y solicita el rescate por los datos secuestrados en cada computador. El virus infectó las computadoras en la sala de examen de imágenes, lo que imposibilitó el uso de la máquina que opera el equipo. Las personas que han sido programadas para el examen respectivo están esperando en la sala de espera y otras personas programadas para las próximas horas están en camino al sitio. La toma de decisiones ante el ciberincidente es decisiva, pues allí el tiempo es crítico para la solución.

De acuerdo con la escala de clasificación para preservar rastros, en la fase de identificación, el profesional que opere el equipo tendrá a disposición la cadena de custodia, con la que ya se ha decidido previamente qué datos se deben priorizar, respaldar y verificar su periodicidad. Este profesional será el first responder en telemedicina y debe tener en cuenta el comportamiento del sistema y las características del equipo involucrado. El ciberincidente debe informarse a las autoridades correspondientes y su identificación es responsabilidad del primer respondiente. Luego, identifica cuáles son los datos volátiles y no volátiles, su prioridad de preservación y las decisiones que se tomarán ante el ciberincidente.

De forma aislada, el first responder tiene como objetico preservar los datos volátiles y no volátiles para que no se pierdan e incluso contaminen durante su manipulación. Sin embargo, el ransomware bloquea la máquina y no es posible gestionar la preservación de datos volátiles y no volátiles. Si es posible, el primer respondiente se centrará en los datos volátiles que se pueden perder cuando se apaga el equipo, y luego de los datos no volátiles que se pueden recopilar después de apagar la máquina. Si capturar el criminal no es prioridad de la institución, el enfoque de la recolección debe estar en los datos de la institución de salud.

El presente estudio tuvo como objetivo preservar la memoria, por ser el primer paso en el análisis forense. Según ^{Dfir It (2015)}, el software MoonSols DumpIt es una forma fácil de obtener memoria, incluso si el investigador no se encuentra físicamente frente al equipo o el sistema. Está diseñado para ser usado por un usuario no técnico; puede hacerlo el first responder en telemedicina que opera el equipo de imágenes. Basta con un doble clic en el ejecutable para generar una copia de la memoria física en el directorio actual. La versión gratuita no se ha desarrollado durante algunos años, mientras que la versión comercial tiene capacidad de comprensión LZNT1 y cifrado RC4. Durante las pruebas, DumpIt asignó 780 kb de memoria, lo que Dfir It califica como un gran resultado.

Sensibilización y formación del protocolo de primera respuesta

Los pasos recomendados para identificar las fuentes de los datos parten por desarrollar un plan de adquisición, adquirirlos y verificar su integridad. El plan debe priorizar las fuentes de datos, estableciendo el orden en el que deben adquirirse los datos en función de su valor probable, la volatilidad de los datos y la cantidad de esfuerzos requeridos para recuperarlos. Antes de que comience la recopilación de datos, el analista debe tomar una decisión sobre la necesidad de recopilar y preservar rastros y pruebas para respaldar su uso en futuros procedimientos legales o disciplinarios. En tales situaciones, se debe seguir una cadena de custodia claramente definida para evitar acusaciones de manejo inadecuado o violación de los rastros (^{Kent et al., 2006}).

El protocolo desarrollado es una versión simplificada de las acciones que se pueden tomar para preservar los datos volátiles y no volátiles. Se inspiró en las recomendaciones del NIST, la NTWG y el SWGDE, en las que señalan las conductas más adecuadas para proceder durante el ciberincidente.

De acuerdo con ^{NTWG (1997)}, el ciberincidente puede ser tan complejo que es imposible hacer todo al mismo tiempo para responder a él, y es ahí donde las prioridades son esenciales. La pérdida de los datos generalmente no es un resultado aceptable. Otra gran preocupación es el efecto de la reacción en cadena del ciberincidente y, por tanto, saber qué partes se vieron afectadas. Cualquier plan para responder a ciberincidentes de seguridad debe estar guiado por políticas y regulaciones nacionales de cada país. Además, debe haber coherencia entre lo que se recopilará y lo que finalmente se utilizará; por ejemplo, solo es necesario crear mecanismos para monitorear y rastrear a los invasores si realmente se planea actuar y controlarlos, en caso de que sean capturados. Si bien las prioridades varían de una empresa a otra, las siguientes prioridades sugeridas pueden servir como punto de partida para definir la respuesta adecuada:

Mitigación de errores durante la conservación de rastros por un first responder

Además de las acciones dañinas desencadenadas por el ciberincidente, es necesario comprender cómo las decisiones tomadas por el equipo de primera respuesta pueden ser igualmente dañinas. Las acciones del equipo pueden afectar la identificación de la fuente del ciberincidente, la protección de datos, la recopilación de rastros y la recuperación del sistema. En este sentido, la conducta eficiente durante el ciberincidente tiene beneficios económicos, por mucho que la planificación y ejecución de estas conductas requieran inversión de tiempo y recursos financieros. Los ciberincidentes suelen ser perjudiciales para la institución al alterar la relación con los clientes actuales o potenciales, por lo cual su manejo eficiente minimiza la potencial exposición negativa. Otro beneficio del manejo eficiente de los ciberincidentes tiene que ver con cuestiones legales, ya que en el futuro cercano las organizaciones pueden ser consideradas responsables de ciberincidentes y sus efectos debido a su falta de preparación para enfrentarlos (^{NTWG, 1997}).

Impactos de la no identificación, aislamiento y protección de los datos

Como los computadores y otros dispositivos están conectados a la red, la recomendación es desconectarlos para asegurarse de que los datos no se modifiquen o destruyan de forma remota. Los dispositivos móviles generalmente tienen una función de restablecimiento que borra todo el contenido del usuario y restablece la memoria a las condiciones originales de fábrica. Dado que esto se puede hacer directamente o de forma remota, es necesario tomar precauciones inmediatas; por ejemplo, separar el dispositivo del usuario y aislarlo de la red para garantizar que los datos no se modifiquen ni se destruyan.

Históricamente, los examinadores que han aislado un dispositivo móvil de la conec-tividad de la red lo programan en "modo avión". Sin embargo, en las últimas versiones, esta función no desactiva bluetooth, wifi ni otros protocolos inalámbricos, simplemente se pueden desconectar temporalmente. Por ello, los examinadores deben confirmar manualmente que se ha desactivado la conectividad de la red o considerar medios alternativos de aislamiento, incluso colocar el dispositivo en un gabinete protegido o el aislamiento de la red para teléfonos inteligentes. En todo caso, al desconectar el dispositivo para aislarlo de la red se corre el riesgo de afectar mecanismos de autenticación como las contraseñas o habilitar funciones de seguridad mejoradas, lo que podría hacer que los datos sean inaccesibles (^{SWGDE, 2020}).

La estrategia de contención de ciberincidentes es importante antes de que los recursos se sobrecarguen y se aumente el daño. Tomar decisiones también es parte esencial de la contención; por ejemplo, apagar un sistema, desconectarlo de la red o deshabilitar ciertas funciones. Estas decisiones son más fáciles de tomar si existen estrategias y procedimientos predeterminados para contener el ciberincidente, como la cadena de custodia. Las organizaciones deben definir riesgos aceptables al lidiar con ciberincidentes y desarrollar estrategias de acuerdo con el tipo de ciberincidente, ya que esto hace que la efectividad de la contención varíe. Por ello, las instituciones crean diferentes estrategias de contención para cada tipo de ciberincidente, con criterios documentados para facilitar la toma de decisiones (^{Cichonski et al., 2012}).

En cuanto a los datos volátiles del sistema operativo, estos solo se pueden recopilar en un sistema activo que no se haya reiniciado o apagado desde que ocurrió el incidente. Cualquier acción realizada en el sistema, iniciada por una persona o por el propio sistema operativo, casi con certeza los alterará de alguna manera. Por lo tanto, los analistas deben decidir lo antes posible si deben conservarse los datos volátiles en el sistema operativo.

Los criterios para tomar esta decisión deben estar documentados con anticipación, de modo que el analista pueda tomar la mejor decisión de inmediato. La importancia de esta decisión no se puede definir durante el ciberincidente porque podría ser demasiado tarde, ya que apagar el sistema o incluso desconectarlo de una red puede eliminar la oportunidad de recopilar información potencialmente importante. Por ejemplo, si un usuario ejecutó recientemente herramientas de cifrado para proteger los datos, la memoria RAM de la computadora puede contener un código hash de contraseña que se puede usar para proteger las contraseñas.

Por otro lado, la recopilación de datos volátiles del sistema operativo de una computadora en ejecución tiene sus propios riesgos. Por ejemplo, siempre existe la posibilidad de que los archivos y otros datos volátiles puedan cambiarse. Si el esfuerzo requerido para recopilar datos volátiles no es apropiado, los analistas pueden decidir realizar un cierre. Asimismo, deben elegir el método de apagado apropiado para cada sistema, pues cada método específico puede hacer que se conserven o corrompan diferentes tipos de datos. Así, es fundamental que los analistas conozcan el comportamiento de apagado típico de cada sistema operativo (^{Kent et al., 2006}).

Daños materiales e inmateriales de los delitos cibernéticos en Brasil y el mundo

El Centro de Estudios Estratégicos e Internacionales de Estados Unidos (Center for Strategic and International Studies [CSIS]) estima que el costo mundial del delito cibernético es de aproximadamente US$600 millones, lo que corresponde al 0,8 % del PIB mundial (^{CSIS, 2018}). ^{Cybersecurity Ventures (2017)} estima que, para el 2021, el ciber-delito le costará al mundo US$6 billones. En el caso específico de Brasil, el 54 % de los ciberataques notificados se originó dentro del país (^{CSIS, 2018}). El costo promedio anual de la ciberdelincuencia en Brasil fue de US$7,24 millones en 2018 (Ponemon Institute, 2019). Se han reportado 875 327 ciberincidentes al Centro de Estudios, Respuesta y Tratamiento de Ciberincidentes de Seguridad de Brasil (^{CERT, 2020}).