Destruir evidencia sin querer

Cada tipo de dato dura un tiempo distinto en un equipo comprometido. La memoria y las conexiones activas desaparecen al apagar o reiniciar; el disco aguanta más, pero cada acción sobre el equipo lo cambia; los registros remotos dependen de cuánto tiempo los conserva el servidor que los guarda. La guía clásica sobre recogida de evidencia, la RFC 3227, propone el mismo criterio: recoger primero lo que antes se pierde.

De ahí sale la regla práctica para el primer minuto: aislar de la red es reversible y conserva todo; apagar no es reversible.

La bitácora de acciones es la mejor evidencia de lo que el propio equipo hizo. Se lee con una pregunta fija: ¿esta acción conserva el estado del equipo o lo pierde? Una acción que conserva, como aislar de la red, convive con una captura posterior. Una que lo pierde, como cortar la corriente, no tiene vuelta atrás.

Se busca en la bitácora la acción que cortó la corriente de un servidor sin capturar nada antes.

Reinstalar un equipo «para dejarlo limpio» borra el disco entero: la persona atacante deja de estar, pero también todo lo que habría explicado cómo llegó y qué tocó. Si luego se necesita demostrar el alcance, no queda con qué.

La limpieza va después de la copia, nunca en su lugar. En la bitácora hay un equipo donde la limpieza se hizo primero.

Los registros no se guardan para siempre. Cada fuente conserva un número de días y después sobrescribe. Si el equipo tarda más que esa retención en llegar a una fuente, el primer evento sospechoso ya no está, y con él se pierde el momento en que empezó todo.

Se compara la retención de cada fuente con los días transcurridos desde el primer evento y se cuentan las fuentes que ya lo sobrescribieron.

Aislar un equipo de la red lo deja inofensivo para el resto de la organización y deja intacta su memoria. Desde ahí, el orden es el de la volatilidad: memoria y conexiones, después disco, y todo con hora, autor y hash en la bitácora.

La bitácora de la mañana trae una acción que sí lo hizo así. Se reconoce porque cada paso conserva lo que el siguiente necesita.