DFIR combina Digital Forensics (investigar qué ocurrió analizando la evidencia) e Incident Response (actuar para contener y recuperar). La cadena de custodia es el primer principio: garantiza que la evidencia sea válida y verificable.
Qué es la cadena de custodia
El registro documentado e ininterrumpido del recorrido de cada evidencia: quién la recogió, cuándo, dónde estuvo, quién la manipuló y qué se le hizo, en todo momento.
Si la cadena se rompe (no se sabe quién tuvo la evidencia, o pudo alterarse), la evidencia pierde validez.
Por qué importa
- Legal: para que un tribunal acepte la evidencia, debe demostrarse íntegra e inalterada.
- Técnico: se calcula un hash de la evidencia al adquirirla; si el hash se mantiene, se prueba que no fue modificada.
Qué se documenta
| Campo | Ejemplo |
|---|---|
| Identificación | Qué es y de qué equipo salió |
| Responsable | Quién la recogió y la custodia |
| Fecha/hora | De cada manipulación |
| Hash | Valor de integridad (al adquirir y al verificar) |
| Traspasos | Cada cambio de manos, firmado |
La integridad se prueba con hash: misma huella antes y después = evidencia intacta (ver el tema Hash e integridad del pilar de Criptografía).
Antes de recoger evidencia hay que decidir en qué orden, porque parte de ella desaparece en segundos. Ese es el próximo tema: el orden de volatilidad.