El orden de volatilidad establece en qué secuencia recolectar la evidencia: primero lo que desaparece más rápido. Algo volátil se borra solo (como la RAM al apagar); algo no volátil persiste (como el disco).
Por qué importa
En la memoria suele estar lo más valioso de un ataque: procesos en ejecución, conexiones de red activas, claves y malware que nunca tocó el disco. Si apagás la máquina, todo eso se pierde para siempre.
De más volátil a menos volátil
- Registros de CPU y caché (instantáneo).
- Memoria RAM (procesos, conexiones, datos en uso).
- Estado de red (conexiones activas, tablas).
- Procesos en ejecución.
- Disco (archivos, sistema de archivos).
- Logs remotos y backups (lo más estable).
La tensión con la contención
El instinto dice "apaga la máquina para detener el ataque", pero apagarla destruye la memoria. Muchas veces se hace primero una captura de RAM en caliente (con el equipo vivo) y luego se contiene. Es una decisión de criterio: contener rápido vs preservar evidencia.
Conociendo el orden, el paso siguiente es cómo recoger esa evidencia sin alterarla. Ese es el próximo tema: la adquisición de evidencia.