Adquisición y orden de volatilidad

El orden de volatilidad ordena la evidencia de la que se evapora rápido a la que aguanta: registros de la CPU y caché (se van en un instante), memoria RAM (se va al apagar), estado de la red y procesos (viven mientras la máquina viva), disco (sobrevive al apagado), y copias de seguridad (aguantan meses). La regla de adquisición sale directa de ahí: se captura lo volátil antes que lo persistente. La memoria RAM se pierde en cuanto se corta la corriente, así que su imagen se saca con la máquina encendida y antes de tocar el disco; el disco, que no se va a ningún lado, se adquiere después.

Invertir el orden —clonar el disco y luego acordarse de la memoria— es adquirir la RAM cuando ya no existe. El disco espera; la memoria no.

Una vez adquiridas las imágenes, todo el análisis se hace sobre una copia de trabajo, no sobre la imagen maestra ni sobre la máquina original. La imagen maestra se guarda intacta como referencia; se duplica, y sobre el duplicado se busca, se monta, se rompe si hace falta. Si el análisis corrompe algo, se descarta la copia y se saca otra del maestro, sin haber tocado la evidencia original ni una vez. Trabajar sobre el único ejemplar que tienes es apostar el caso entero a no equivocarte.

El principio es el mismo de la fase anterior, ahora aplicado a las imágenes: la fuente no se toca. Lo que se manosea es siempre una copia reemplazable.

En cuanto se saca una imagen se calcula su hash (una huella criptográfica del contenido) y se anota. Cualquiera puede recalcularlo después: si el hash coincide, la imagen es idéntica a la que se adquirió y nadie la alteró; si difiere aunque sea en un bit, la imagen cambió y su valor como prueba se desploma. El hash es lo que convierte "confía en que no lo toqué" en "compruébalo tú mismo". Se calcula del original y de cada copia, y se registra junto a quién adquirió, cuándo y con qué herramienta —la cadena de custodia.

Sin hash, una imagen forense es un archivo cualquiera: nadie puede distinguir la evidencia fiel de una manipulada, y un informe construido sobre ella no se sostiene.

La imagen se escribe en un destino externo —otro disco, un recurso de almacenamiento aparte—, nunca sobre el propio disco que estás copiando. Escribir la imagen en la misma máquina pisa espacio libre, y ese espacio libre es justo donde viven los ficheros borrados que quizá necesites recuperar: guardar la copia ahí destruye parte de lo que ibas a analizar. En un entorno forense de nube esto se traduce en volcar la imagen a un volumen separado del de la máquina comprometida, tratado también como evidencia.

La lógica encadena todo lo de esta sala: adquieres en orden, trabajas sobre copia, pruebas la integridad con hash, y guardas la copia lejos de la fuente para no comértela mientras la sacas.

Abre el laboratorio de la adquisición de Molino. Hay dos registros: uno descartado y uno válido. El válido es el que respeta el orden —memoria antes que disco— y anota el hash de cada imagen para probar que nadie las alteró. Abre su cadena de custodia: al final está el código de la sala.