La evidencia de una fuga

Las fuentes de evidencia no duran lo mismo: cada una guarda un tiempo y después se sobrescribe. El primer trabajo ante un incidente, antes de analizar, es copiar lo que va a desaparecer antes y dejar constancia de cuándo y por quién. Lo que se pierde por demora no se recupera, y un análisis sin la fuente que lo respaldaba queda a medias.

La tabla de retención dice cuánto guarda cada fuente.

Una alerta del motor puede describir dos hechos muy distintos. Si la acción es «bloqueado», la salida no ocurrió: hubo un intento y el control lo frenó. Si es «permitido», la salida se completó, aunque haya sido detectada. Mezclarlos en un informe («hubo cuatro fugas») exagera; ignorar el permitido («todo se bloqueó») minimiza. La diferencia está en una columna.

Abre las alertas de la persona y localiza la que terminó en una salida completada.

Un solo sistema casi nunca cuenta toda la historia. El motor vio una salida permitida; el proxy, que registra todo el tráfico hacia un destino, puede contar más. Pero ve menos de cada subida: dirección, momento y tamaño, no el nombre del archivo ni el contenido. Por eso se cruzan las dos fuentes: lo que una afirma, la otra lo confirma o lo deja sin explicar.

Suma lo que el proxy registró como subido a ese destino por la persona.

Dos de las tres subidas ocurrieron desde un portátil de obra donde el agente del motor no está instalado, así que el motor no registró nada de ellas. El proxy confirma que 48 y 95 megabytes salieron hacia el almacenamiento personal, y nada más. La frase del informe tiene que quedarse en lo que cada fuente sostiene.

Un informe honesto separa tres cosas: lo confirmado, lo que se sabe que ocurrió pero no su contenido, y lo que se intentó y no salió.

Una copia de evidencia vale lo que valga la prueba de que no cambió desde que se hizo. La cadena de custodia anota quién copió qué, cuándo y si se verificó la integridad. Una copia sin esa verificación no es inútil, pero cualquiera que la discuta tiene un argumento fácil. Se arregla antes de analizar, no después.

Revisa los cuatro registros de la custodia de este incidente.