Límites de la recuperación y falsos hallazgos

La recuperación tiene límites que se declaran. Lo que se sobrescribió no vuelve. En discos de estado sólido el sistema puede avisar al controlador de qué bloques quedaron libres (TRIM) y este puede vaciarlos por su cuenta, de modo que un borrado reciente puede no ser recuperable aunque nadie haya escrito nada. Un archivo fragmentado se recorta mal por firmas. Y un cifrado de disco sin la clave deja todo ilegible.

Por eso un informe nunca dice «no había nada más»: dice qué métodos se aplicaron sobre qué copia y que, con ellos, no se encontró más. La ausencia de hallazgos no es la prueba de ausencia.

Un archivo carvado puede ser un componente de un programa instalado, una fuente o un controlador. Para descartarlo se compara su huella con una lista de archivos conocidos: las huellas de los archivos de los programas y del sistema que la empresa usa. Si coincide, es el archivo legítimo y no es un hallazgo del caso. Si no coincide, no se concluye que sea malo: solo que no está en la lista.

Compara las huellas de los recuperados con la lista de referencia.

El espacio no asignado de un soporte reutilizado contiene restos de usos anteriores. Los archivos recuperados por firmas traen a veces fechas internas (las de la propia foto o documento), y si esa fecha es anterior a la llegada del soporte a quien se investiga, el archivo no puede ser de su actividad. No se descarta por intuición: se descarta por una fecha que consta y se anota.

Mira la fecha interna de cada recuperado y contrástala con la fecha en que el soporte cambió de manos, que figura en el texto de lee-primero.

El mismo contenido puede salir varias veces: el carving encuentra dos copias del mismo archivo en distintos puntos del soporte. Dos archivos con la misma huella son el mismo contenido, y en el informe cuentan una vez. Contar nueve cuando hay menos infla el hallazgo y la contraparte lo ve a la primera.

Cuenta cuántos contenidos distintos hay.

Un archivo recuperado de espacio no asignado dice qué había, no quién ni cuándo lo borró. La fecha de un borrado y su autor salen de otras fuentes: el diario de cambios del sistema, las sesiones, los registros de eventos. Una frase del informe es tan buena como la fuente que la sostiene.

El borrador afirma que el operario borró un archivo concreto en una fecha concreta.