Adquirir en la nube

En la nube, una instancia se puede borrar con un clic, y la reacción instintiva es destruir la máquina comprometida para quitarla de en medio. Es el equivalente a apagar de un tirón, pero peor: al destruir la instancia se pierde su memoria, su disco efímero —el almacenamiento local que no sobrevive a la instancia— y todo lo que no se haya copiado antes. La adquisición correcta toma primero una instantánea (snapshot) del disco y una captura de la memoria con la máquina viva, y solo entonces se decide qué hacer con la instancia, que se conserva aislada mientras tanto.

Destruir primero y adquirir después es adquirir una máquina que ya no existe. En la nube no queda ni el disco; la prisa por «cortar» se come la prueba entera.

La nube guarda una fuente que el equipo físico no tiene tan a mano: los registros del proveedor —quién accedió a la consola, qué llamadas se hicieron, qué tráfico salió—. Son evidencia valiosísima para reconstruir el incidente, pero tienen fecha de caducidad: muchos rotan y se borran solos pasado un plazo. Por eso entran en el orden de volatilidad como algo que se adquiere pronto: se exportan y se copian a un almacén propio antes de que el reloj del proveedor los elimine. Esperar a «mirarlos luego» es arriesgarse a que luego ya no estén.

En un equipo físico el disco espera; en la nube, parte de la evidencia tiene un temporizador en marcha desde antes de que empieces a investigar.

Lo que se aprendió en la sala anterior se mantiene, traducido a la nube: la instantánea y las capturas se guardan en un almacén separado del de la instancia comprometida —otra cuenta o un depósito protegido—, nunca en el mismo volumen que estás copiando, y cada imagen lleva su hash para probar que nadie la alteró. Guardar la evidencia en la misma cuenta que el atacante quizá controla es dejarla a su alcance; separarla y sellarla con un hash es lo que la hace defendible.

La lógica encadena igual que en el disco físico: se adquiere en orden, se escribe en un medio aparte, se prueba la integridad con hash. Cambia el soporte, no el principio.

Abre el laboratorio de la adquisición en la nube. Hay dos registros: uno descartado —se destruyó la instancia antes de copiar nada— y uno válido, que capturó memoria y disco con la máquina viva, exportó los registros del proveedor antes de que rotaran y lo guardó todo aparte con su hash. La cadena de custodia del registro válido lleva al final el código de la sala.