Exportar la evidencia y sus límites

Cuando un hallazgo se apoya en una captura, no se entrega la captura entera: se exporta un archivo nuevo con solo los paquetes que lo demuestran, aplicando un filtro de visualización. Se hace por dos razones. Una es la minimización: la captura completa contiene el tráfico de personas y servicios que el hallazgo no necesita, y entregar de más es una exposición innecesaria. La otra es práctica: quien lee el informe necesita veinte paquetes, no nueve mil.

Cada archivo exportado se nombra por el hallazgo que respalda y anota el filtro que lo produjo, para que cualquiera lo reproduzca desde el original.

Cada exportación se comprueba contra la carta antes de entregarla: ¿el filtro apunta a un equipo o a una red excluidos? Un puerto espejo recoge lo excluido sin que nadie lo pida, y una exportación hecha con un filtro por equipo puede acabar sacando justo ese tráfico. Esa exportación no se entrega ni se analiza: se aparta y se comunica.

Revisa en la lista de exportaciones cuál contiene lo que la carta excluye.

Una de las exportaciones se hizo sin filtro: es la captura completa de la primera media hora, con datos personales dentro. Como evidencia no sirve, porque no apunta a ningún hallazgo, y como entrega es un riesgo. Lo correcto es reemplazarla por exportaciones pequeñas, una por hallazgo, y conservar el original solo mientras la carta lo permita.

Para demostrar que un archivo no cambió se calcula su huella, un resumen criptográfico del contenido (SHA-256, por ejemplo). Se anota al exportar. Quien reciba el archivo calcula la suya y compara: si coinciden, es el mismo archivo; si no, algo cambió. La tabla de exportaciones guarda los seis primeros caracteres de la huella, y la de custodia dice quién la comprobó y cuándo.

Busca la huella anotada de la evidencia del ERP.

Capturar tráfico de una red sin permiso puede ser un delito. En Colombia, el artículo 269C del Código Penal, incorporado por la Ley 1273 de 2009, sanciona la interceptación de datos informáticos sin orden judicial previa; y los datos personales que aparezcan en una captura están protegidos por la Ley 1581 de 2012. Por eso lo que te respalda no es tu oficio ni la confianza de una llamada: es la autorización escrita de quien tiene autoridad sobre esa red, con el punto de captura, la ventana, las exclusiones y la conservación. La redacción de esa autorización debe revisarla alguien con formación jurídica; este curso no es asesoría legal.