Orden de volatilidad y adquisición de evidencias

La informática forense es la aplicación de métodos científicos para recopilar, preservar, analizar y presentar evidencias digitales de una manera admisible legalmente. Los investigadores forenses reconstruyen las cronologías de los ataques, identifican la causa raíz de los incidentes y recuperan datos eliminados u ocultos. Esta disciplina opera bajo estrictos requisitos procedimentales, porque las evidencias que se manipulan incorrectamente, incluso desde el punto de vista técnico, pueden no ser admisibles en procedimientos judiciales. La informática forense conecta los ámbitos técnico y jurídico.

El orden de volatilidad define la secuencia en la que deben recopilarse las evidencias digitales, desde las más volátiles (desaparecen antes) hasta las menos volátiles (persisten durante más tiempo). Los investigadores forenses siempre recopilan primero los datos más volátiles, porque se perderán al apagar o reiniciar el sistema. Recopilar las evidencias en el orden incorrecto destruye datos que podrían haberse capturado. El estándar RFC 3227 proporciona un orden de volatilidad ampliamente adoptado para los procedimientos forenses.

La adquisición de memoria (captura de RAM) es una de las acciones forenses más valiosas y urgentes. La RAM contiene: procesos en ejecución y sus argumentos, versiones descifradas de los archivos cifrados que se están utilizando, tablas de conexiones de red, credenciales almacenadas en caché por el sistema operativo, claves de cifrado presentes en la memoria y malware sin archivos que existe únicamente en la RAM. La memoria debe adquirirse mientras el sistema está encendido; un reinicio o apagado destruye por completo estas evidencias. Entre las herramientas se incluyen Magnet RAM Capture, WinPmem y LiME (para Linux).

La creación de imágenes de disco genera una copia forense bit a bit de un dispositivo de almacenamiento, incluidos todos los datos, los archivos eliminados, el espacio no asignado y los metadatos del sistema de archivos. Para evitar la modificación accidental de las evidencias originales, se conecta un bloqueador de escritura entre el disco que contiene las evidencias y la estación de trabajo forense: permite los comandos de lectura, pero bloquea cualquier comando de escritura. Esto garantiza que las evidencias originales no se modifiquen durante la adquisición y preserva su integridad para los procedimientos judiciales.

El hashing criptográfico es fundamental para la integridad de las evidencias forenses. Cada elemento de evidencia debe someterse a hashing en el momento de su recopilación mediante SHA-256 (o MD5 por compatibilidad con sistemas antiguos). El hash se registra en la documentación de la cadena de custodia. Cada vez que se accede a la evidencia o se transfiere, se vuelve a calcular el hash; si coincide con el original, la evidencia no se ha modificado. Los tribunales exigen esta prueba de integridad para aceptar evidencias digitales. Una discrepancia entre hashes significa que la evidencia se ha alterado y puede no ser admisible.

La informática forense en vivo (en línea) recopila evidencias de un sistema en ejecución, capturando los datos volátiles antes del apagado. Es necesaria cuando se requiere analizar la memoria volátil, cuando no se puede desconectar el sistema o cuando el malware sin archivos no sería visible en el disco. La informática forense sobre sistemas apagados (fuera de línea) analiza sistemas apagados mediante imágenes de disco, lo que resulta más seguro y controlado. Los incidentes modernos suelen requerir una combinación de ambas: capturar los datos volátiles en vivo y, después, apagar el sistema y crear una imagen del disco para realizar un análisis más profundo.

Durante un incidente activo que afecta a varios sistemas, los investigadores deben realizar un triaje: priorizar qué sistemas examinar primero. Los criterios de triaje incluyen: sistemas con el nivel de acceso más alto (controladores de dominio y bases de datos), sistemas que probablemente contengan mecanismos de persistencia del atacante, sistemas con la actividad maliciosa más reciente y sistemas con mayor impacto empresarial. La recopilación de nivel de triaje utiliza la telemetría de EDR y la recopilación selectiva de artefactos en lugar de crear imágenes completas de los discos, lo que permite analizar rápidamente muchos sistemas de forma simultánea.

Los archivos de captura de paquetes (PCAP)** registran todo el tráfico de red a nivel de paquete. Durante un incidente, las evidencias PCAP pueden revelar: credenciales transmitidas en texto claro, comandos enviados a sistemas comprometidos a través de canales de C2, datos exfiltrados (transferencias salientes de gran volumen), movimiento lateral (patrones de conexiones internas) y fuentes de descarga de malware. Las capturas PCAP se adquieren mediante Wireshark, tcpdump o sondas de red. La adquisición de PCAP requiere autorización, ya que captura todo el tráfico de un segmento y puede incluir comunicaciones privilegiadas.

Los entornos de nube presentan desafíos forenses únicos. No se dispone de acceso físico al hardware subyacente, ya que los proveedores de nube controlan la capa del hipervisor. Las imágenes de disco de las máquinas virtuales pueden capturarse mediante instantáneas a través de las API de la nube. Los datos de registro (CloudTrail y Azure Monitor) son la principal fuente de evidencias en los incidentes en la nube. La adquisición de memoria está limitada a las técnicas compatibles con el proveedor de nube o con la introspección de máquinas virtuales. La jurisdicción de las evidencias puede ser compleja si los servidores en la nube se encuentran en países distintos de aquel en el que ocurrió el incidente. Comprender estas limitaciones es esencial para investigar incidentes en la nube.

Los investigadores forenses utilizan herramientas especializadas diseñadas para gestionar las evidencias correctamente. Autopsy (de código abierto) y FTK (Forensic Toolkit) (comercial) analizan imágenes de disco y extraen artefactos. Volatility analiza volcados de memoria para extraer procesos, conexiones de red y artefactos de malware. Magnet AXIOM se ocupa tanto de la informática forense digital como de la forense de dispositivos móviles. Wireshark analiza archivos PCAP. X-Ways Forensics es un conjunto de herramientas comercial ligero, pero potente. Los investigadores deben utilizar herramientas validadas para garantizar la integridad de las evidencias.

La preparación forense significa que una organización ha tomado medidas antes de un incidente para garantizar que las evidencias digitales puedan recopilarse de forma eficiente y sean admisibles legalmente. Entre sus componentes se incluyen: registro exhaustivo configurado en todos los sistemas críticos, conservación de registros durante el tiempo suficiente para respaldar las investigaciones (90-365 días), procedimientos documentados para la gestión de evidencias, personal de primera respuesta capacitado para no alterar las evidencias, herramientas forenses preparadas o disponibles con poca antelación y autorización legal revisada previamente (por ejemplo, el consentimiento de los empleados conforme a las políticas de supervisión).

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que: el orden de volatilidad exige capturar primero la RAM y los procesos en ejecución, porque se pierden cuando se apaga el sistema, los bloqueadores de escritura evitan cualquier modificación de las evidencias originales durante la creación de imágenes de disco y el hashing con SHA-256 durante la recopilación y la verificación garantiza la integridad de las evidencias para su admisibilidad legal. A continuación, exploraremos la cadena de custodia y la admisibilidad legal.