Listas de artefactos de alto valor

Los datos no desaparecen todos a la misma velocidad. El documento RFC 3227, «Guidelines for Evidence Collection and Archiving», propone recoger por orden de volatilidad, de lo más efímero a lo más estable: registros y cachés de procesador, tabla de rutas, caché ARP, tabla de procesos y memoria, sistemas de archivos temporales, disco, registros remotos, configuración física y medios de archivo.

En un servidor de archivos eso se traduce así: lo que describe el estado de este momento (conexiones, sesiones, procesos) se copia antes que lo que está escrito en disco y seguirá allí dentro de una hora.

Un artefacto no vale por sí mismo sino por la pregunta que contesta. Abre la estación y lee artefactos.csv: la columna «responde» dice, para cada fila, qué se puede saber con ese artefacto. Elegir bien es cruzar la pregunta del caso con esa columna.

El tamaño importa porque define cuánto tarda la copia y cuánto cabe en el soporte. Lee notas.txt para saber qué significa cada prioridad. El primer paquete lleva solo la prioridad 1: suma sus tamaños, que están en megabytes.

La carpeta de clientes completa tiene prioridad 3. Dejarla fuera del primer paquete no es descuido, es una decisión: es el artefacto más grande con diferencia y su contenido no responde a las primeras preguntas (quién, desde dónde, cuándo). Si el análisis de lo anterior lo pide, se copia después, con su propia entrada en el registro.