Aislamiento de host y preservación de evidencias

La memoria RAM es volátil: cuando se corta la energía, toda la información que contenía desaparece en milisegundos. En la RAM viven las claves de descifrado del ransomware, los procesos maliciosos inyectados que no tocaron el disco duro, las conexiones de red activas hacia el servidor C2 del atacante y los comandos ejecutados recientemente en memoria. Apagar la máquina borra la escena del crimen antes de que los forenses puedan analizarla.

La contención correcta consiste en desconectar el equipo de las comunicaciones: 1) Desconectar físicamente el cable de red Ethernet y apagar el interruptor de Wi-Fi. 2) Si la máquina está gestionada por un agente EDR corporativo, activar la función de 'Network Isolation', que bloquea todo el tráfico IP entrante y saliente excepto el canal de gestión cifrado del propio EDR. El malware queda incomunicado y no puede propagarse lateralmente ni recibir órdenes.

Con el host aislado, el equipo de respuesta conecta un medio de almacenamiento externo preparado previamente (con protección contra escritura) y ejecuta una herramienta de adquisición forense de memoria (como WinPmem o LiME). El volcado resultante es una copia bit a bit de los gigabytes de RAM del sistema, que se firma inmediatamente con un hash SHA-256 para garantizar que no fue alterada durante el proceso de investigación.

El RFC 3227 establece el orden formal en que debe recolectarse la evidencia según su velocidad de degradación: primero los registros de la CPU y cachés, luego la memoria física (RAM), luego el estado de las conexiones de red y procesos, luego los datos en disco duro y finalmente los respaldos remotos. Seguir este estándar asegura que el equipo no pierda las pruebas más efímeras al intentar clonar discos enteros primero.