Volatilidad, lo que se pierde primero

El orden de volatilidad ordena la evidencia de la que desaparece antes a la que dura más. La guía clásica para recoger y archivar evidencia (la RFC 3227, de 2002) lo da así: registros y caché; tabla de enrutamiento, caché ARP, tabla de procesos y memoria; sistemas de archivos temporales; disco; registros y monitoreo remoto del sistema; configuración física y topología; y medios de archivo. Lo que está arriba se pierde en segundos o al apagar; lo que está abajo se conserva meses.

Para el analista de SOC la idea útil no es memorizar la lista: es preguntarse, por cada fuente, cuándo se pierde y quién puede evitarlo. Los registros remotos que ya llegaron al SIEM están en un punto bastante seguro; lo que vive solo en el equipo no.

Un equipo con una alerta grave sigue encendido. El analista de SOC suele ser el primero en verlo y la tentación es hacer algo: reiniciarlo, apagarlo «por si acaso», pedirle al usuario que lo cierre. Cada una de esas acciones destruye lo más volátil: la memoria y el estado de la red. Lo que corresponde es avisar al equipo de respuesta, no apagar ni reiniciar, dejar el equipo tal cual y, si el procedimiento lo autoriza, aislarlo de la red sin apagarlo.

Qué se hace con ese equipo lo decide el procedimiento de respuesta; el analista aporta la hora, el alcance y lo que vio. Su trabajo inmediato es no estropear lo que otros van a necesitar.

Abre la consola. A las 02:10 salta la alerta de pbz-pc30 y el equipo de respuesta llega a las 08:30. La tabla fuentes lista lo que rodea al equipo. Una de esas fuentes es la concesión DHCP: el servidor reparte direcciones por un tiempo y solo guarda la concesión vigente, sin historial. Cuando venza y la dirección se reasigne, ya no habrá forma de decir qué equipo tenía esa dirección a la hora de la alerta.

La tabla concesiones dice cuándo empezó la concesión y cuánto dura. La hora de vencimiento no está escrita: se calcula.

No todo lo que se pierde es del SOC. La memoria es de respuesta; la concesión DHCP es de redes. Lo que el SOC puede guardar él mismo, hoy, desde sus consolas es lo que se queda como su responsabilidad inmediata. Mira de quién es cada fuente y cuánto tarda en perderse: hay una, de las que son del SOC, que se renueva y se pisa mucho antes que las demás.

Esa fuente es la primera en la lista de lo que hay que copiar antes de cerrar el turno: exportar su valor actual y anotar la fecha y la hora de la consulta.