Imagen de memoria y de disco, a nivel de decisión

Una imagen de memoria ocupa aproximadamente lo mismo que la RAM del equipo: 64 GB de RAM piden unos 64 GB de destino, no unos pocos megas. Se escribe en un medio externo, nunca en el disco del equipo investigado, por la razón que ya conoces: ese espacio libre guarda ficheros borrados.

Y hay una pega que conviene tener presente: la herramienta que captura la memoria tiene que ejecutarse en el equipo vivo, y al cargarse ocupa memoria y deja huella. Esa huella no se evita; se documenta: qué herramienta se usó, de qué versión, desde qué medio y a qué hora. Lo inevitable se anota en vez de esconderse.

Una imagen de disco puede guardarse como copia cruda (los bytes del dispositivo, uno tras otro) o dentro de un contenedor forense, como el formato E01 (Expert Witness). La cruda es sencilla y la entiende cualquier herramienta, pero no lleva nada más que los datos. El contenedor guarda dentro del propio archivo los datos del caso, comprobaciones de integridad y el hash de la adquisición, y admite compresión.

No es que uno sea más fiel al original: los dos reproducen el dispositivo. La diferencia es qué viaja con la imagen y qué espacio ocupa, y la decisión se toma con el plan del caso delante.

En el plan de adquisición del servidor hay tamaños y un destino con espacio libre limitado. La regla del caso es que de cada imagen se guardan una maestra y una copia de trabajo del mismo tamaño, sin contar compresión. Con eso se calcula antes de empezar si el destino aguanta; descubrirlo a mitad de una adquisición es abortar una copia que no se puede repetir.

Si el cálculo sale en contra, la decisión es pedir más espacio, no recortar lo que se adquiere.

Un disco retirado de un equipo apagado se conecta a la estación forense a través de un bloqueador de escritura, un dispositivo (o un modo del sistema) que deja pasar las lecturas y rechaza cualquier escritura. Así el simple hecho de conectarlo no modifica nada: sin bloqueador, un sistema operativo puede escribir en el disco al montarlo. La imagen se escribe en otro disco, el de destino, que sí se conecta directo.

En la ficha de cada disco quedan anotados su número de serie, su uso y cómo se conecta. Esa serie es lo que se apunta en la cadena de custodia para que nadie confunda origen y destino.

Cuando se puede, se imagina el dispositivo físico completo, no solo un volumen. Así se conserva la tabla de particiones, el espacio sin asignar y las áreas que una imagen de volumen no incluye, que es donde a veces queda lo que alguien intentó esconder o borrar. Una imagen solo del volumen donde corre el sistema es una vista recortada del disco.

Hay excepciones razonadas, como un volumen cifrado ya desbloqueado en un equipo vivo, y se anotan con su motivo. Pero «solo lo relevante» no es un motivo: lo que es relevante se sabe después de analizar, no antes de adquirir.