La adquisición es copiar la evidencia de forma exacta y verificable para analizarla sin alterar el original. Principio de oro del forense: nunca se trabaja sobre el original.
La imagen forense
Una imagen forense es una copia bit a bit del medio: clona todo el disco, incluido el espacio aparentemente vacío (donde pueden quedar archivos borrados recuperables). No es un "copiar y pegar" normal.
Cómo se hace bien
- Bloqueador de escritura (write blocker): hardware/software que permite leer el original pero impide escribir en él, garantizando que no se modifique.
- Herramientas de imaging dedicadas (formatos como E01/RAW).
- Todo el análisis se hace sobre la imagen; el original se guarda resguardado.
Verificación con hash
| Paso | Acción |
|---|---|
| 1 | Calcular el hash del original |
| 2 | Crear la imagen |
| 3 | Calcular el hash de la imagen |
| 4 | Coinciden → copia exacta y verificable |
Ese hash, registrado en la cadena de custodia, prueba más tarde que la evidencia no fue alterada.
Tipos de adquisición
- En frío (post-mortem): sobre el disco apagado.
- En caliente (live): con el equipo encendido, imprescindible para capturar la memoria (recordar el orden de volatilidad).
Con la imagen verificada, comienza el análisis. Lo primero a examinar son los artefactos del sistema de archivos, el próximo tema.
CONTENIDO PARA MIEMBROS
Inicia sesión para leer la clase
La clase escrita completa es para quienes tienen cuenta. Crearla es gratis.