Generación de artefactos forenses en un cyber range

Abstract

La formación práctica en Análisis Forense Digital y Respuesta a Incidentes (DFIR) requiere entornos donde los estudiantes puedan analizar evidencia digital en condiciones realistas. Tectonic, el cyber range desarrollado por el Grupo de Seguridad Informática del Instituto de Computación, automatiza el despliegue de laboratorios de ciberseguridad mediante Infraestructura como Código, pero no cuenta con mecanismos para generar los artefactos forenses que dichos escenarios necesitan. La creación manual de artefactos realistas genera una alta carga operativa para los instructores y dificulta la incorporación de actividad de fondo coherente que permita a los estudiantes distinguir artefactos relevantes del ruido circundante, replicando las condiciones reales de una investigación forense. Este proyecto amplía las capacidades de Tectonic para soportar escenarios de DFIR. Se realizó una investigación del estado del arte en las distintas vertientes del análisis forense y en los enfoques de generación de artefactos sintéticos en cyber ranges, de la cual se derivaron los requerimientos de la solución. Para satisfacer estos requerimientos se diseñó una arquitectura en cuatro niveles de abstracción. Una capa transversal (Capa 0) que provee datos sintéticos pseudoaleatorios que dotan de realismo a los artefactos. Sobre esta base, la Capa 1 define primitivas atómicas, la Capa 2 las combina en flujos de actividad coherentes, y la Capa 3 encapsula perfiles de comportamiento para desplegar escenarios completos mediante una única declaración de alto nivel. La implementación, integrada al ecosistema de Tectonic mediante un lenguaje de especificación, cubrió las vertientes de red y sistema de archivos. La solución fue validada mediante un caso de estudio, generando una captura de tráfico de red y una imagen de disco. Los artefactos resultantes fueron analizados exitosamente con herramientas estándar de la industria, confirmando que los artefactos generados son técnicamente correctos, reproducibles y analizables en condiciones reales de práctica forense.