Recopilación de evidencias y cadena de custodia

Las evidencias digitales recopiladas durante la respuesta a incidentes pueden utilizarse en procedimientos legales, medidas disciplinarias de RR. HH. o revisiones normativas. Las evidencias deben recopilarse, preservarse y documentarse siguiendo los procedimientos adecuados para mantener su admisibilidad y su integridad.

Categorías de evidencias:

• Volátiles: contenido de la RAM, procesos en ejecución y conexiones de red; se pierden al reiniciar
• No volátiles: imágenes de disco, archivos de registro y registros de bases de datos
• De red: capturas de paquetes y registros de NetFlow
• De aplicaciones: registros de acceso, registros de auditoría y correos electrónicos

Recopile los datos volátiles antes de apagar un sistema:

Cree una imagen forense (una copia bit a bit) del medio de almacenamiento. Utilice bloqueadores de escritura para evitar cualquier modificación del original. Verifique mediante un hash:

Un bloqueador de escritura es un dispositivo de hardware o software que impide realizar escrituras en el medio que contiene las evidencias durante la creación de imágenes. Sin un bloqueador de escritura, el propio proceso de creación de imágenes podría modificar las marcas de tiempo de acceso u otros metadatos y contaminar las evidencias.

La cadena de custodia documenta quién manipuló las evidencias, cuándo y por qué. Incluye:

• Identificador y descripción de las evidencias
• Fecha y hora de recopilación
• Persona que las recopiló (nombre y firma)
• Ubicación de almacenamiento
• Registros de transferencia (quién las recibió y cuándo)

Preservación de evidencias:

• Almacene los originales en bolsas de evidencias selladas y etiquetadas
• Trabaje únicamente con copias verificadas
• Almacene las evidencias en ubicaciones seguras con acceso controlado
• Documente los valores hash para verificar la integridad
• No trabaje nunca con el medio original que contiene las evidencias

Los registros suelen ser las evidencias más valiosas. Preserve:

Cuando se prevea un litigio o una investigación normativa, emita una retención legal: una directiva para preservar todos los registros potencialmente relevantes. Esto suspende los calendarios normales de retención de datos. No preservar los datos puede dar lugar a sanciones por destrucción de pruebas.

Herramientas forenses comunes:

• Autopsy/Sleuth Kit — análisis forense de discos
• Volatility — análisis de memoria
• Wireshark — análisis de capturas de paquetes
• FTK Imager — creación de imágenes de disco
• SIFT Workstation — distribución forense basada en Ubuntu

Los dispositivos móviles requieren un tratamiento especializado: active el modo avión para impedir el borrado remoto y colóquelos en una bolsa de Faraday para bloquear las señales. Utilice herramientas de análisis forense móvil (Cellebrite, Oxygen Forensic) que comprendan los sistemas de archivos móviles y las estructuras de datos de las aplicaciones.

¿Por qué debe recopilarse la memoria volátil (RAM) antes que los demás tipos de evidencias?

La recopilación de evidencias debe seguir los procedimientos adecuados para que estas sean admisibles. Recopile primero los datos volátiles (RAM, procesos y conexiones), ya que desaparecen al reiniciar. Utilice bloqueadores de escritura para crear imágenes de disco. Mantenga la documentación de la cadena de custodia. Calcule el hash de todo para demostrar la integridad. La retención legal suspende la eliminación de datos. Trabaje únicamente con copias verificadas, nunca con los originales.