El orden de volatilidad con el reloj en contra

La referencia clásica para recoger evidencia es la RFC 3227, que ordena las fuentes de la más volátil a la menos volátil: registros y caché del procesador; después la tabla de rutas, la caché ARP, la tabla de procesos, las estadísticas del núcleo y la memoria; luego los sistemas de archivos temporales; después el disco; más abajo los registros remotos y de monitoreo relevantes para el sistema, la configuración física y la topología de red; y al final los medios de archivo. Esa misma RFC advierte que no se apague el equipo hasta terminar la recolección: se puede perder mucha evidencia, y el atacante pudo haber alterado los scripts de apagado para destruirla.

Sirve para ordenar sin pensar cuando no hay otra información. Pero es un orden por naturaleza de la fuente, no por lo que le pasa a cada fuente en tu caso concreto.

Cada fuente tiene una ventana: el tiempo que queda antes de que deje de estar disponible. Una entrada de la caché ARP vence sola en minutos; la memoria aguanta hasta que alguien reinicie; el disco sobrevive al apagado. Estimar esa ventana es parte del trabajo: se mira qué tareas automáticas hay programadas (reinicios, limpiezas, rotación de registros) y qué hace el atacante con sus conexiones.

Abre el laboratorio, lee el inventario de fuentes y el aviso de la hora a la que llegaste, y localiza la fuente con la ventana numérica más corta.

La lista general pone los registros remotos por debajo del disco, y por eso mucha gente los deja para el final. Pero un servidor de registros que administra otro equipo tiene su propio ritmo de sobrescritura, y tú no lo controlas. Si su ventana es menor que la de la memoria del servidor que estás investigando, el orden de la RFC deja de servirte: lo que se evapora antes, incluso lejos del equipo, se pide antes.

Esto no contradice la regla; la aplica con datos reales. La volatilidad se mide en minutos restantes, no en el nombre de la categoría.

Algunas ventanas no se estiman: se calculan con un dato escrito. Los avisos de programación del servidor dicen a qué hora corre la limpieza automática de la carpeta temporal y a qué hora llegaste. La diferencia es el margen real que tienes antes de que esos archivos desaparezcan, y es el número que se anota en la cola de captura.

Cuando una ventana sale de dos horas escritas, se calcula, no se «siente». Una resta mal hecha no se nota hasta que el archivo ya no está.

Con las ventanas delante, se arma la cola: primero lo que vence antes, aunque la lista general lo ponga más abajo, y en paralelo lo que depende de otra persona. Pedir al otro equipo que exporte sus registros cuesta una llamada y no toca el servidor; mientras llega, tú capturas lo volátil del equipo. Una cola por categorías, sin mirar el reloj, pierde justo lo que ya estaba contado.

Y lo que no tiene ventana no se adquiere el primero solo porque sea «el disco, el clásico»: espera su turno.