Fundamentos forenses y cadena de custodia

La informática forense es la recuperación, preservación y análisis disciplinados de evidencia digital para que los hallazgos resistan el escrutinio, incluso en los tribunales.

No se trata solo de recuperar datos. El requisito que la define es la capacidad de defensa: toda acción debe documentarse, poder repetirse y ser imparcial.

• Identificación de las fuentes de evidencia pertinentes
• Preservación sin alteraciones
• Análisis mediante métodos validados
• Presentación en informes claros y reproducibles

Al responder a un incidente activo, recopile la evidencia desde la fuente más volátil hasta la menos volátil. Los datos que desaparecen más rápido deben capturarse primero.

• Registros de la CPU y caché
• Tabla de enrutamiento, caché ARP, lista de procesos y conexiones de red
• RAM (memoria)
• Sistemas de archivos temporales
• Disco
• Registros remotos y medios de archivo

RFC 3227 codifica este principio. Si obtiene la imagen del disco demasiado pronto, perderá para siempre los artefactos activos de la RAM.

La cadena de custodia es el registro cronológico documentado que muestra quién manipuló la evidencia, cuándo, por qué y qué hizo con ella.

Una sola laguna puede hacer que la evidencia sea inadmisible. Se registra cada transferencia.

• Quién recogió y recibió el elemento
• Qué es el elemento (número de serie, hash, descripción)
• Cuándo ocurrió cada entrega
• Dónde se almacenó
• Por qué cambió la custodia

Los hashes criptográficos demuestran que la evidencia no ha cambiado. Calcule el hash durante la adquisición y vuelva a calcularlo más adelante; los valores coincidentes demuestran la integridad.

Utilice SHA-256 como estándar moderno. MD5 y SHA-1 todavía aparecen en herramientas antiguas, pero son vulnerables a colisiones; muchos laboratorios registran ambos para la verificación cruzada.

Un bloqueador de escritura se coloca entre el investigador y la unidad que contiene la evidencia, permite las lecturas y deniega física o lógicamente las escrituras. Esto garantiza que el original nunca se modifique durante la adquisición.

• Los bloqueadores de escritura de hardware son dispositivos en línea, preferidos para trabajos destinados a los tribunales
• Los bloqueadores de escritura de software configuran el sistema operativo para montar en solo lectura

Incluso montar una unidad normalmente puede actualizar las marcas de tiempo de acceso, por lo que un bloqueador es obligatorio para los medios originales.

La regla de oro: analice una copia verificada y preserve el original. El original se guarda como evidencia y se manipula lo menos posible.

La práctica recomendada consiste en crear al menos dos copias: una imagen de trabajo para el análisis y una copia maestra de archivo que se mantenga intacta. Los hashes de ambas deben coincidir con los de la fuente.

Las notas tomadas en el momento también son evidencia. Registre las acciones mientras las realiza, no después basándose en la memoria.

• Registre la hora de cada acción (use UTC para evitar ambigüedades)
• Fotografíe la escena y el estado del dispositivo
• Anote los nombres y las versiones de las herramientas
• Registre cualquier anomalía o error

Si no queda por escrito, ante un tribunal es como si no hubiera sucedido.

Antes de tocar nada, confirme la autoridad legal: una orden judicial, consentimiento, autorización interna o normativa aplicable. Exceder el alcance puede contaminar todo el caso y exponer al investigador a responsabilidad legal.

La informática forense está sujeta a la jurisdicción. Los datos transfronterizos, las expectativas de privacidad de los empleados y las leyes de protección de datos (GDPR, KVKK) limitan tanto lo que puede recopilar como la forma de hacerlo.

Los hallazgos deben ser reproducibles: otro perito que utilice herramientas validadas sobre la misma evidencia debería llegar a la misma conclusión.

Por eso los laboratorios utilizan herramientas confiables y controladas por versiones (probadas por NIST CFTT cuando es posible) y documentan sus versiones. Los scripts personalizados o no examinados debilitan la solidez de la defensa.

Una estación de trabajo dedicada y aislada evita la contaminación cruzada y la filtración accidental de evidencia a través de la red.

• Aislada físicamente o protegida con un firewall estricto
• Medios de destino esterilizados (borrados y verificados) para las imágenes
• Conjunto de herramientas validado (Autopsy, Sleuth Kit, Volatility, Wireshark)
• Acceso registrado

La integridad debe poder demostrarse no solo durante la adquisición, sino durante todo el almacenamiento. Calcule de nuevo el hash periódicamente y después de cada transferencia, comparándolo con el valor de referencia de la adquisición.

• Sellos de seguridad contra manipulaciones en los medios físicos
• Almacenamiento de evidencia con acceso controlado y registrado
• Hash registrado en cada transferencia de custodia

Si un hash posterior difiere del original, la evidencia se considera comprometida y sus conclusiones se ponen en duda.

Ponga a prueba su comprensión del orden de adquisición.

Ha cubierto los fundamentos de una informática forense defendible:

• El orden de volatilidad determina la secuencia de recopilación
• La cadena de custodia documenta cada transferencia
• El hashing (SHA-256) demuestra la integridad
• Los bloqueadores de escritura protegen los originales
• Trabaje siempre con copias verificadas
• La documentación, el alcance legal y la reproducibilidad hacen que la evidencia sea admisible

A continuación: convertir estos principios en imágenes de disco reales y recuperar artefactos.