Adquisición de datos

 Escenario del incidente: Datos en peligro antes de la recogida

Cuando se produce un incidente, el primer instinto suele ser “echar un vistazo” al sistema activo.
Los clics imprevistos, los inicios de sesión de root o las copias de archivos pueden alterar las marcas de tiempo, los registros y el espacio no asignado antes de que nadie registre un estado limpio.

La adquisición de datos resuelve este problema.
Se centra en recopilar datos de forma controlada para preservar la integridad de las pruebas desde la primera acción.

Fundamentos de una adquisición sólida desde el punto de vista forense

La adquisición de datos en un contexto forense significa algo más que copiar archivos.
Define un proceso documentado que recopila datos, los protege de los cambios y muestra al tribunal o a la revisión interna cómo ha gestionado cada paso.

Objetivos clave:

• Minimizar los cambios en el dispositivo de origen

• Captar tantos datos relevantes como permita el ámbito de aplicación

• Demostrar que los datos recogidos siguen siendo idénticos a la fuente

• Proporcionar pasos repetibles que otro examinador pueda verificar

Ámbito y niveles de adquisición

Los investigadores eligen un nivel de adquisición en función del caso, el tiempo y el riesgo.

Niveles comunes:

• Imagen física (a nivel de bits): sector por sector copia de todo un disco o partición

• Adquisición lógicacopia de archivos, carpetas y particiones a nivel de sistema de archivos

• Recogida selectivacopia focalizada de artefactos específicos como registros, almacenes de correo electrónico o datos de navegación

Utiliza la imagen física para análisis y recuperación.
Usted elige métodos lógicos o específicos cuando las restricciones de tiempo o acceso limitan la obtención de imágenes completas.

Hashes y validación

Los hashes criptográficos demuestran que una copia coincide con su origen.
Durante la adquisición, se calculan hashes como SHA-256 para:

• El dispositivo o la imagen original

• La imagen adquirida o los conjuntos de pruebas exportados

A continuación se comparan los valores.
Cuando coincidan, podrá demostrar que los datos recopilados no han cambiado desde la adquisición hasta el análisis y la elaboración de informes.

Cadena de custodia y documentación

La integridad técnica por sí sola no basta.
Debe documentar quién accedió a un dispositivo, cuándo recopiló datos, qué herramientas utilizó y por dónde viajaron las pruebas.

Un registro básico de la cadena de custodia incluye:

• Identificador del caso y descripción del dispositivo

• Fechas y horas de adquisición y transferencias

• Nombres y firmas de los manipuladores

• Valores hash de los archivos de pruebas clave

Estos registros se conservan junto con las imágenes y las exportaciones para facilitar su revisión posterior.

Técnicas de adquisición en distintos dispositivos

Diferentes dispositivos requieren diferentes métodos de adquisición.
Los portátiles, los servidores, los servicios en la nube y el hardware móvil presentan limitaciones únicas.

Imágenes de disco y volumen

Para ordenadores de sobremesa y servidores, imagen de disco sigue siendo un método primario.
A menudo:

1. Apague el sistema si la situación lo permite.

2. Extraiga la unidad y conéctela a una estación de trabajo forense.

3. Utilice un bloqueador de escritura de hardware para evitar cualquier escritura en el disco de origen.

4. Cree una imagen a nivel de bits y calcule hashes durante o después de la adquisición.

A continuación, realiza el análisis en la imagen, no en el disco original.
Este enfoque protege las pruebas incluso si las herramientas fallan o los analistas cometen errores.

Adquisición en directo de sistemas en funcionamiento

A veces no se puede apagar un sistema, como un servidor de producción o un dispositivo que contenga pruebas volátiles.
A continuación, realiza la adquisición en directo.

Las acciones típicas incluyen:

• Captura de RAM con una herramienta de adquisición de memoria

• Recopilación de listas de procesos en ejecución, conexiones activas y registros volátiles

• Creación de imágenes de volúmenes lógicos mientras el sistema operativo sigue funcionando, con las mínimas perturbaciones posibles.

La adquisición en directo modifica inevitablemente el sistema en cierta medida.
Usted documenta esos cambios y explica por qué la recogida en directo ofrecía el mejor equilibrio entre valor probatorio y riesgo.

Colecciones en red y en la nube

Las investigaciones modernas van más allá de los discos locales.
Los datos pueden residir en almacenamiento en la nube, plataformas SaaS o recopiladores centrales de registros.

En estos casos, tú:

• Utilice las API de la plataforma para exportar registros, contenidos de buzones o historiales de archivos.

• Capturar el tráfico de red de las escuchas o los puertos span cuando esté legalmente autorizado.

• Conservar los metadatos del proveedor, como marcas de tiempo, identificadores de cuenta y direcciones IP.

Los archivos exportados se tratan como objetos de prueba y se les aplica el hash como a las imágenes locales.

Flujo de trabajo de software para una adquisición repetible

Las acciones manuales aumentan el riesgo de errores.
Una herramienta de adquisición bien diseñada le ayuda a seguir un proceso coherente en todo momento.

Un flujo de trabajo típico con una herramienta como Adquisición de datos EOS SECURE podría ser así:

1. Inicio Adquisición de datos EOS SECURE en una estación de trabajo reforzada.

2. Identifique los discos, volúmenes o fuentes remotas conectados mediante una lista clara de dispositivos.

3. Seleccione el objetivo y elija un tipo de adquisición (imagen física, conjunto lógico o perfil objetivo).

4. Configure las opciones de hash y las rutas de destino de las pruebas.

5. Ejecute la adquisición mientras la herramienta registra logs, hashes y marcas de tiempo.

La herramienta genera entonces un informe que puede adjuntar a la documentación de su caso.
Se evitan las órdenes ad hoc que luego resultan difíciles de repetir o explicar.

Procedimiento recomendado para la adquisición de discos Windows