Etiquetas y comentarios

Una etiqueta agrupa: marca un elemento con un nombre para encontrarlo después y para sacarlo en un informe. Autopsy trae etiquetas por defecto, entre ellas Bookmark (marcador), Follow Up (a revisar) y Notable Item (elemento notable), y permite crear las propias. Las etiquetas aparecen bajo la rama Tags del árbol, separadas por el usuario que las puso.

Un comentario explica: se escribe al etiquetar («Tag and Comment») y puede haber varios en un mismo elemento. Una marca sin comentario obliga a quien lea el caso a adivinar por qué se marcó.

Como las etiquetas quedan agrupadas por usuario, el caso conserva quién hizo cada marca y cuándo. Eso importa cuando varias personas trabajan el mismo caso: se sabe a quién preguntar y se puede reconstruir el orden en que se tomaron las decisiones.

Mira la tabla de etiquetas del caso. El segundo examinador trabajó poco.

Un comentario puede contener tres cosas distintas: un hecho que la evidencia sostiene («el MD5 coincide con el de referencia»), una inferencia razonable que se presenta como tal («indica que el documento se editó en este equipo») y una conclusión que la evidencia no alcanza («la gerente lo hizo para entregarlo a alguien»). El tercer tipo es el peligroso: una frase sin respaldo, en un caso que se comparte, termina citada como si fuera un resultado.

Lee los comentarios del caso. Uno de ellos atribuye una intención y una persona.

Corregir un comentario no es borrarlo: es sustituirlo por lo que sí consta. Lo que consta de ese archivo es que existe en la memoria USB, con el mismo contenido que la lista original, y que lo demás se desconoce: quién lo copió, cuándo exactamente y para qué.

Una buena práctica de equipo es que cada elemento marcado como notable lleve al menos un comentario que diga por qué. No es una regla de la herramienta: es una regla de trabajo, y se comprueba cruzando la tabla de etiquetas con la de comentarios.

Cruza las dos tablas, mirando solo los elementos con la etiqueta Notable Item.