Este resumen recoge todas las preguntas y respuestas relacionadas con la informática forense para las fuerzas del orden en LanCologne: desde la incautación de pruebas digitales, pasando por la valoración de las pruebas y la identificación de los autores, hasta los sistemas informáticos empresariales, los informes periciales y su uso en los tribunales. Haga clic en una categoría para ver las preguntas correspondientes.
Valoración de las pruebas, verosimilitud e hipótesis de investigación
- ¿Cómo se investigan por igual las huellas digitales incriminatorias y exculpatorias?
- ¿Cómo se desglosa una pregunta de investigación digital en subpreguntas que puedan verificarse técnicamente?
- ¿Cómo se transforma una suposición inicial de la investigación en hipótesis y contrahipótesis que puedan verificarse técnicamente?
- ¿Cómo se evalúa el valor probatorio de un único artefacto digital?
- ¿Cómo se combinan varios indicios débiles para obtener una conclusión técnica global sólida?
- ¿Cómo se sopesan los resultados preocupantes frente a los resultados técnicos que los contradicen?
- ¿Cuándo se puede considerar fiable un resultado técnico negativo?
- ¿Cuándo tiene mayor peso una exclusión técnica que una mera falta de pruebas?
- ¿Cómo se documenta de forma fiable una explicación alternativa técnicamente plausible?
- ¿Cómo se comprueba si la declaración de un imputado es técnicamente verosímil?
- ¿Cómo se comprueba si es técnicamente posible realizar un testimonio sobre un proceso digital?
- ¿Cómo se relacionan entre sí los distintos dispositivos incautados a un imputado?
- ¿Cómo se concilian las declaraciones contradictorias con las pruebas digitales?
- ¿Puede el malware constituir una explicación alternativa que incida en contra o a favor?
- ¿Cómo se mantiene la distinción entre el análisis técnico y la decisión de investigación?
- ¿Cómo se documenta el caso en el que dos métodos reconocidos llegan a conclusiones diferentes?
- ¿Cómo se investigan los indicios de técnicas anti-forenses o de eliminación de pruebas?
- ¿Cómo se comprueba técnicamente la verosimilitud de una cadena de eventos digitales alegada?
- ¿Cómo se tratan las pruebas digitales contradictorias en la fase de instrucción?
- ¿Cuándo es relevante para una investigación la ausencia de un artefacto digital?
- ¿En qué casos resulta conveniente que las autoridades investigadoras soliciten una segunda investigación forense informática independiente?
- ¿Cómo se validan de forma independiente los análisis forenses ya existentes?
- ¿Cómo se distinguen entre sí las huellas digitales de varios acusados?
- ¿Cómo se diferencian técnicamente los rastros digitales dentro de un grupo de autores?
- ¿Cómo se comprueban las denuncias de manipulación de los sellos de tiempo digitales?
- ¿Cómo se distingue entre la supuesta eliminación de rastros y la limpieza habitual del sistema?
- ¿Cómo se documenta de forma fiable una explicación técnica alternativa que descarte la responsabilidad?
- ¿Cuándo puede descartarse técnicamente una hipótesis de investigación?
Identificación de los autores, cuentas y acceso remoto
- ¿Se puede asociar una actividad digital a una cuenta de usuario o a una persona física?
- ¿Cómo se evalúan los distintos dispositivos de origen posibles de un contenido digital?
- ¿Cómo se tratan las cuentas compartidas a la hora de identificar a los autores?
- ¿Cómo se comprueba, como hipótesis contraria, el uso de datos de acceso robados o cedidos a terceros?
- ¿Cómo se evalúan los eventos de MFA en la asignación de usuarios?
- ¿Cómo se valoran los tokens de sesión a la hora de reconstruir el uso de la cuenta?
- ¿Cómo se sincronizan los datos de los proveedores de servicios en la nube con los datos de los dispositivos locales?
- ¿Cómo se utilizan los datos de la estación remota en los procedimientos de comunicación?
- ¿Cómo se examina una supuesta conexión remota como hipótesis alternativa sobre la autoría del delito?
- ¿Cómo se sincronizan los registros del servidor con los datos locales de la aplicación?
- ¿Cómo se reconstruye una cadena de eventos incompleta?
- ¿Cómo se comprueba si dos sucesos digitales están relacionados causalmente entre sí?
- ¿Cómo se gestionan varios dispositivos con la misma cuenta en la nube?
- ¿Cómo se distingue entre el comportamiento automático del sistema y la acción consciente del usuario?
Metodología de análisis técnico, marcas de tiempo y calidad de los datos
- ¿Cómo se documentan los límites de extracción de un conjunto de datos forenses?
- ¿Cómo se comprueba si un analizador forense ha interpretado correctamente una estructura de datos?
- ¿Cuándo es necesario realizar una comprobación de los datos brutos?
- ¿Cómo se analizan los artefactos digitales desconocidos o poco comunes?
- ¿Cómo se evalúan desde el punto de vista forense las nuevas versiones de las aplicaciones y los cambios en las estructuras de las bases de datos?
- ¿Cómo se tienen en cuenta los App-Update como causa de datos aparentemente contradictorios?
- ¿Cómo se evalúan los diferentes estados de los datos de una misma aplicación en varios dispositivos?
- ¿Cómo se evalúan los sellos de tiempo cuya semántica es desconocida o está poco documentada?
- ¿Cómo se detectan los errores de zona horaria entre dispositivos, Servern y sistemas en la nube?
- ¿Cómo se tienen en cuenta los retrasos en la sincronización en una línea temporal de la investigación?
- ¿Cómo se utilizan los hash de archivos en las investigaciones policiales de mayor envergadura?
- ¿Cómo se pueden reducir de forma eficaz los datos duplicados en las investigaciones?
Garantía, seguridad y fundamentos jurídicos
- ¿Cómo se recogen y documentan técnicamente las pruebas digitales incautadas?
- ¿Cómo se analizan técnicamente los soportes de almacenamiento electrónicos con arreglo al artículo 110 del Código de Procedimiento Penal?
- ¿Cómo se documenta la integridad de una copia de seguridad forense para la investigación?
- ¿Cuándo es recomendable realizar una copia de seguridad en tiempo real de un sistema en funcionamiento?
- ¿Cómo se analizan forénsicamente los ordenadores cifrados en el marco de una investigación judicial?
- ¿Cómo se clasifican técnicamente los teléfonos inteligentes bloqueados en el marco de una investigación judicial?
- ¿Cómo se recopilan y organizan las pruebas digitales complejas para la Fiscalía y el posterior juicio oral?
- ¿Cómo se cuantifica la influencia de los datos incompletos en la evaluación de la investigación?
- ¿Cómo se formula una conclusión técnica con un grado de certeza gradual?
- ¿Qué operaciones se pueden seguir realizando tras restablecer los ajustes de fábrica?
- ¿Cómo se valora el formateo o la reinstalación en el marco de una investigación judicial?
- ¿Cómo se utilizan las copias de seguridad y las instantáneas como fuentes de investigación?
- ¿Cómo se evalúan de forma pericial las pruebas dañadas o incompletas?
Modificaciones del sistema, migración y cambios posteriores
- ¿Cómo se evalúan las huellas tras un sistema operativo Upgrade?
- ¿Cómo se evalúan los rastros tras un cambio de dispositivo o una migración?
- ¿Cómo se evalúan los datos tras su recuperación a partir de una copia de seguridad?
- ¿Cómo se documentan los cambios posteriores en el sistema derivados de medidas de investigación o de seguridad?
- ¿Cómo se abordan los nuevos hallazgos técnicos que se salen del ámbito de la investigación inicial?
- ¿Cómo se documenta técnicamente un hallazgo fortuito?
Peritajes, procedimientos judiciales y Ministerio Público
- ¿Por qué puede una autoridad de investigación penal recurrir a un perito informático forense externo?
- ¿Cómo se comprueba la solidez técnica de un informe forense ya existente?
- ¿Cómo se resume de forma comprensible un informe forense informático para que la fiscalía pueda tomar una decisión?
- ¿Cómo se prepara un informe forense informático complejo para el juicio oral?
- ¿Cómo se documentan los resultados técnicos para responder a las consultas del tribunal y de la defensa?
- ¿Cómo se lleva a cabo un segundo análisis reproducible a partir de la misma base de datos?
- ¿Cómo se elabora un informe final de evaluación forense informática para las fuerzas del orden?
- ¿Cómo se documenta de forma reproducible una investigación forense informática para la defensa y el posterior juicio?
- ¿Cómo se elabora un informe pericial en el proceso de investigación de la Fiscalía?
- ¿Cómo se preparan los resultados de la investigación forense informática para que puedan explicarse posteriormente en un procedimiento judicial?
Tecnologías de la información empresarial, sistemas en la nube y de redes
- ¿Es posible asignar a personas concretas el uso de una cuenta de servicio compartida?
- ¿Cómo se valoran los inicios de sesión en Active Directory en el marco de una investigación judicial?
- ¿Cómo se clasifican desde el punto de vista forense los inicios de sesión con Entra-ID o con identidades en la nube?
- ¿Cómo se correlacionan entre sí los registros locales de los ordenadores y los registros centrales del servicio de directorios?
- ¿Se puede saber qué usuario ha accedido a un servidor de archivos?
- ¿Se puede reconstruir el uso de un NAS en el marco de una investigación judicial?
- ¿Cómo se valoran los archivos y las versiones de SharePoint en la fase de instrucción?
- ¿Cómo se analizan los rastros de sincronización de OneDrive en las investigaciones?
- ¿Cómo se valoran los datos de auditoría de Microsoft 365 en un procedimiento de investigación?
- ¿Cómo se analizan los buzones de Exchange y los rastros de correo en el servidor?
- ¿Cómo se evalúan desde un punto de vista forense las comunicaciones de Teams y los elementos de las reuniones?
- ¿Es posible determinar si se han compartido datos de la empresa con terceros?
- ¿Cómo se reconstruyen los cambios en los permisos en los sistemas empresariales?
- ¿Se puede averiguar quién ha concedido derechos ampliados a un usuario?
- ¿Cómo se asignan las sesiones de servidor de terminales y de escritorio remoto a cada usuario?
- ¿Cómo se llevan a cabo los análisis forenses en entornos VDI?
- ¿Cómo se clasifican los datos de MDM en las investigaciones relacionadas con teléfonos inteligentes?
- ¿Es posible reconstruir técnicamente un borrado remoto?
- ¿Cómo se utilizan los sistemas de copias de seguridad en las redes empresariales como fuente de información para las investigaciones?
- ¿Cómo se analizan desde un punto de vista forense los sistemas de registro centralizados y los datos SIEM?
- ¿Cómo se utilizan los registros del cortafuegos como pruebas en las investigaciones?
- ¿Cómo se evalúan los registros de los servidores proxy y las pasarelas web en la red de la empresa?
- ¿Cómo se utilizan los datos de DHCP y de acceso a la red para la asignación de dispositivos?
- ¿Cómo se valoran los datos del controlador WLAN en los procedimientos de investigación?
- ¿Se puede demostrar el uso de un ordenador concreto del puesto de trabajo en la red de la empresa?
- ¿Cómo se correlacionan el servidor de archivos, el correo electrónico y los dispositivos finales para formar una cadena de eventos común?
- ¿Es posible determinar si se han filtrado datos de la empresa a través de servicios de almacenamiento en la nube privados?
- ¿Se puede demostrar técnicamente que se ha realizado una subida a un servicio web?
- ¿Cómo se comprueba la procedencia de un documento empresarial descargado?
Rastros de dispositivos, comunicaciones y ubicaciones
- ¿Cómo se valoran los archivos borrados en una investigación policial?
- ¿Cómo se reconstruye una secuencia de acontecimientos digitales para los investigadores?
- ¿Cómo se valoran los datos digitales de localización en la fase de instrucción?
- ¿Cómo se tienen en cuenta los rastros de sincronización en la nube en las investigaciones?
- ¿Cómo se analizan de forma fiable los datos de las aplicaciones de mensajería en una investigación judicial?
- ¿Cómo se comprueba el origen de un correo electrónico en una investigación judicial?
- ¿Cómo se evalúan los historiales de navegación y de búsqueda con fines de investigación?
- ¿Cómo se evalúan las bases de datos SQLite, los archivos WAL y los registros en los procedimientos de investigación?
- ¿Cómo se examinan los metadatos de las fotografías y los vídeos durante la fase de instrucción?
- ¿Cómo se comprueba la autenticidad de una captura de pantalla?
- ¿Qué importancia tienen los archivos y los contenedores cifrados para las investigaciones?
- ¿Cómo se evalúan las máquinas virtuales como entornos de investigación independientes?
Otras preguntas
- ¿Cómo se lleva a cabo una revisión independiente de un informe informático ya existente elaborado por otro organismo?
- ¿Cómo se distinguen los eventos automatizados derivados de acciones manuales?
- ¿Cómo se comprueban los procesos en segundo plano como explicación alternativa para los accesos a los archivos?
- ¿Cómo se tienen en cuenta el mantenimiento del sistema y la rotación de registros como causas de la falta de rastros?
- ¿Es técnicamente posible detectar una fuga de datos a través de dispositivos USB?
- ¿Se puede rastrear una fuga de datos a través de recursos compartidos en la red?
- ¿Cómo se tiene en cuenta el uso de una VPN a la hora de clasificar las actividades en Internet?
- ¿Cómo se clasifican técnicamente las conexiones de proxy, de retransmisión o de Tor?
- ¿Qué valor probatorio tiene una dirección IP en una investigación judicial?
- ¿Qué valor probatorio tienen las huellas de ADN en la fase de instrucción?
- ¿Cómo se valoran los registros del sistema y de seguridad como pruebas en una investigación?
- ¿Es posible reconstruir el uso de los derechos administrativos durante la fase de instrucción?
- ¿Se puede considerar la posibilidad de que la cuenta haya sido pirateada como hipótesis alternativa sobre el autor?
- ¿Cómo se tienen en cuenta los ordenadores compartidos a la hora de determinar la autoría de un delito?
- ¿Cómo se analizan grandes volúmenes de datos de forma específica en relación con una cuestión de la investigación?
- ¿Cómo se validan desde el punto de vista forense los términos de búsqueda y las listas de resultados?
- ¿Cómo se evalúan los datos borrados de las áreas no asignadas?
- ¿Cómo se valoran los resultados del «carving» en la fase de instrucción?
- ¿Se puede asignar un archivo a un soporte de datos concreto como fuente original?
- ¿Cómo se documenta la procedencia de una prueba digital?
- ¿Cómo se trata una prueba que ha sufrido modificaciones técnicas?
- ¿Cómo se evalúan técnicamente las cadenas de pruebas incompletas o con lagunas?
- ¿Cómo se resuelven las discrepancias entre la primera y la segunda evaluación?
- ¿Cómo se detectan los errores de análisis sintáctico y las interpretaciones erróneas en los informes existentes?
- ¿Cómo se unifican las diferentes fuentes de tiempo procedentes de la nube, Server y los dispositivos finales?
- ¿Cómo se sincronizan los relojes de los dispositivos con horas de referencia externas?