La adquisición es copiar la evidencia de forma exacta y verificable para analizarla sin alterar el original. Principio de oro del forense: nunca se trabaja sobre el original.
La imagen forense
Una imagen forense es una copia bit a bit del medio: clona todo el disco, incluido el espacio aparentemente vacío (donde pueden quedar archivos borrados recuperables). No es un "copiar y pegar" normal.
Cómo se hace bien
- Bloqueador de escritura (write blocker): hardware/software que permite leer el original pero impide escribir en él, garantizando que no se modifique.
- Herramientas de imaging dedicadas (formatos como E01/RAW).
- Todo el análisis se hace sobre la imagen; el original se guarda resguardado.
Verificación con hash
| Paso | Acción |
|---|---|
| 1 | Calcular el hash del original |
| 2 | Crear la imagen |
| 3 | Calcular el hash de la imagen |
| 4 | Coinciden → copia exacta y verificable |
Ese hash, registrado en la cadena de custodia, prueba más tarde que la evidencia no fue alterada.
Tipos de adquisición
- En frío (post-mortem): sobre el disco apagado.
- En caliente (live): con el equipo encendido, imprescindible para capturar la memoria (recordar el orden de volatilidad).
Con la imagen verificada, comienza el análisis. Lo primero a examinar son los artefactos del sistema de archivos, el próximo tema.