Qué es la evidencia digital
La evidencia digital es cualquier dato de un equipo que ayuda a probar qué ocurrió. Si la recoges mal, puede cambiar o desaparecer, y entonces ya no sirve.
Una academia de idiomas de Valencia descubre que alguien ha entrado en su servidor web. El técnico lo apaga para arreglarlo. Sin querer, borra la memoria, donde estaban las pistas.
Al final de esta lección
Nota
Puedo recoger evidencia digital sin estropearla.
Palabras clave
| Palabra | Qué significa |
|---|---|
| Evidencia digital | un dato de un equipo que ayuda a probar un hecho |
| Volatilidad | la rapidez con que un dato desaparece |
| Cadena de custodia | el registro de quién tuvo la evidencia y cuándo |
| Copia forense | una copia exacta, que se hace sin tocar el original |
| Integridad | que la evidencia sigue igual que cuando se recogió |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Se recoge primero lo que desaparece antes
Un dato volátil se pierde rápido, por ejemplo cuando se apaga el equipo. Un dato persistente se queda en el disco.
La regla es el orden de volatilidad: recoge primero lo más volátil y deja para el final lo más estable. Así guardas lo que se perdería antes.
Ejemplo: el orden de volatilidad
| Orden | Dato | Cuánto dura |
|---|---|---|
| 1 | Caché y registros del procesador | Nanosegundos |
| 2 | Memoria RAM y procesos en marcha | Hasta que se apaga el equipo |
| 3 | Conexiones de red abiertas | Segundos o minutos |
| 4 | Archivos del disco | Meses o años |
| 5 | Registros guardados en otro servidor | Mientras ese servidor los conserve |
| 6 | Copias de seguridad | Años |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Un error frecuente
Advertencia
Mucha gente cree que lo más seguro es apagar el equipo enseguida. Al apagar se borra la memoria, con los procesos y las conexiones. Antes de apagar, decide qué hay que guardar y apunta lo que ves en pantalla.
Trabaja siempre sobre una copia
Cada vez que abres un archivo puedes cambiarlo sin querer. Por eso se hace una copia forense y se analiza la copia. El original se guarda cerrado.
Para probar que la copia es exacta se calcula su huella, que verás en la lección siguiente. En el laboratorio, la carpeta case es de solo lectura, y para probar algo haces antes una copia.
La carpeta de pruebas del laboratorio
ls caseSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Apunta siempre la zona horaria del equipo
date -u +%ZSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Apunta la hora y la zona del equipo
Un registro dice una hora, pero no siempre dice en qué zona. Por eso el primer apunte es la hora del equipo y la hora real, por ejemplo la de un móvil.
La diferencia entre las dos te sirve después, cuando juntes varios registros. La orden anterior imprime UTC, la hora universal que se usa como referencia.
La cadena de custodia sigue la prueba
Una prueba solo vale si se sabe dónde ha estado. La cadena de custodia es una hoja donde cada persona anota qué recibió, cuándo y para qué.
Si hay un hueco, alguien podría decir que la prueba se cambió en ese hueco. Una hoja completa evita la duda.
Ejemplo: una hoja de cadena de custodia
| Fecha y hora | Quién | Qué hizo | Elemento |
|---|---|---|---|
| 14/10 09:05 | Marta Ruiz | Retira el disco del servidor | Disco 1 |
| 14/10 09:20 | Marta Ruiz | Lo mete en una bolsa sellada | Disco 1 |
| 14/10 11:40 | Pablo Gil | Lo recibe y lo guarda en el armario | Disco 1 |
| 15/10 08:30 | Pablo Gil | Hace la copia forense | Disco 1 y copia A |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.