Contener y preservar discos

Contener una máquina sospechosa sin perder evidencia sigue un orden. Primero se aísla la red (por ejemplo, con una etiqueta de red a la que se aplica una regla de cortafuegos que deniega el tráfico), para que deje de comunicarse sin apagarla. Luego se toma una instantánea del disco, que es una copia del disco en ese instante. Solo después se detiene la máquina, sabiendo que al detenerla se pierde la memoria volátil, y que la instantánea no la contiene.

Borrar la máquina es lo último y, en general, no es necesario: detenida cuesta mucho menos y conserva todo.

Al crear una máquina, cada disco asociado tiene una opción que decide si se borra con la máquina. En los discos de arranque suele estar activada. Si lo está y alguien borra la máquina, el disco desaparece con ella y la evidencia también.

La tabla de instancias muestra esa opción para cada máquina. Hay seis máquinas nuevas y una máquina de carga nocturna que no es parte del caso.

El registro de acciones deja la hora de cada paso. Lo que ocurre entre la instantánea y la parada queda en el disco vivo pero no en la copia: por eso la diferencia de tiempo importa y se anota. Se calcula en minutos, restando la hora de la instantánea a la de la parada.

Una instantánea sin etiqueta se confunde con las del respaldo diario. Se marca con el identificador del caso, para que cualquiera la reconozca y para que ninguna regla de limpieza la borre sin saberlo. La etiqueta se anota en el informe junto con el nombre de la instantánea.

La tabla de instantáneas dice que la copia no está en un proyecto forense aparte: sigue en el mismo proyecto que se investiga, donde quien tiene los permisos que se investigan podría borrarla. Una cadena de custodia mínima registra quién tomó la copia, cuándo, de qué disco, con qué nombre y dónde está, y si se separó del entorno comprometido.