Qué es un informe forense
Un informe forense es el documento que cuenta qué se encontró, cómo se encontró y qué se puede afirmar. Debe permitir que otra persona repita el trabajo y llegue a lo mismo.
Un buen análisis con un mal informe se pierde. El jefe de la empresa, un juez o un compañero solo conocerán lo que escribas.
Al final de esta lección
Nota
Puedo escribir un informe que otras personas pueden comprobar.
Palabras clave
| Palabra | Qué significa |
|---|---|
| Hecho | algo que se observa en la evidencia y se puede comprobar |
| Opinión | una conclusión tuya, que va más allá de lo observado |
| Limitación | lo que no se pudo saber o comprobar |
| Reproducible | que otra persona repite los pasos y obtiene lo mismo |
| Cita de evidencia | el archivo y la línea de donde sale un hecho |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Un hecho se comprueba, una opinión se argumenta
Un hecho es algo que ves en la evidencia: una línea de un registro, una huella, una fecha. Otra persona puede mirar el mismo dato y ver lo mismo.
Una opinión es lo que concluyes a partir de los hechos. Puede ser razonable, pero depende de ti. En el informe van separadas y se dice cuál es cuál.
Ejemplo: del hecho a la opinión
| Hecho | Opinión que podrías sacar |
|---|---|
| El archivo informe.sh se modificó el 14/10 a las 03:12 | Lo subió el atacante |
| Hay 40 intentos fallidos desde una dirección | Es un robot |
| La huella de la copia no coincide con la del original | Alguien editó la copia |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Cada hecho cita su evidencia
Un hecho sin fuente no se puede comprobar. Escribe el archivo y la línea de donde sale, para que otra persona llegue al mismo dato.
Con grep -n ves el número de línea de lo que buscas. La orden siguiente busca una palabra en una sola línea del archivo de fechas del laboratorio.
Una palabra y el número de su línea
grep -n "owner" case/mtimes.txtSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Ejemplo: una frase floja y una frase comprobable
| Frase floja | Frase comprobable |
|---|---|
| Hubo muchos intentos | Hay 40 líneas Failed password entre las 02:10 y las 02:20 |
| El disco está dañado | La huella de la copia no coincide con la del original |
| Fue de noche | La línea 88 de auth.log marca las 03:05:09 |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Un informe tiene una estructura fija
Un orden fijo ayuda a quien lo lee. Primero va un resumen corto para quien solo tiene un minuto. Después, el detalle.
Repite siempre el mismo esquema. Así cualquier lector sabe dónde buscar cada cosa.
Ejemplo: las partes de un informe
| Parte | Qué contiene |
|---|---|
| Resumen | Lo ocurrido y lo más importante, en pocas líneas |
| Alcance | Qué equipos y qué datos se revisaron |
| Método | Los pasos, las órdenes y las huellas de las copias |
| Hechos | Lo observado, cada uno con su cita de evidencia |
| Conclusiones | Lo que se opina a partir de los hechos |
| Limitaciones | Lo que no se pudo saber, y por qué |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Un error frecuente
Advertencia
Mucha gente cree que un informe fuerte no admite dudas. Al revés: un informe que oculta lo que no sabe pierde la confianza del lector. Escribe lo que no pudiste comprobar, y por qué.