Priorizar la recolección

Los datos no desaparecen todos a la misma velocidad: lo que describe el estado de este momento se pierde en cuanto algo cambia o se cierra, y lo que está escrito en disco seguirá ahí dentro de una hora. Recolectar por orden de volatilidad es copiar primero lo más efímero, aunque sea pequeño o parezca poco importante.

Un paquete de triaje es el conjunto de artefactos que la regla de la organización mete en una misma recolección. La regla combina varios criterios a la vez, y un artefacto que cumple uno pero incumple otro se queda fuera: no entra en el paquete, pero tampoco desaparece de la lista, porque se recoge después por otra vía.

Una caza lanza la misma pregunta a muchos equipos a la vez y devuelve una fila por equipo con su estado y sus coincidencias. Una coincidencia es un indicio, no una conclusión: dice que el nombre buscado existe en ese equipo, y el siguiente paso es recoger lo que lo rodea.

Que un equipo no devuelva resultado no significa que no tenga nada: significa que no se sabe. Un equipo apagado, sin conexión, sin permisos o con la tarea agotada queda sin responder, y esa cifra se anota en el registro de la recolección para no dar la caza por terminada sin decir lo que falta.

El triaje responde las primeras preguntas con rapidez y poco volumen, pero hay equipos para los que no es suficiente. La decisión de una imagen completa no se toma por miedo sino por criterios escritos: lo que el triaje confirmó, qué uso puede tener el equipo ante una autoridad y si ya existe una copia entera, porque repetirla es perder tiempo que otro equipo necesita.