Memoria primero y con hash

Lo que se pierde primero se adquiere primero. En un equipo encendido, las conexiones y los procesos cambian segundo a segundo, la memoria se pierde al apagar, el disco sobrevive y los registros que viven en otros equipos suelen estar a salvo. Existe una guía pública de recolección de evidencia, la RFC 3227, que ordena las fuentes así: de la más volátil a la más persistente.

Un hash anotado al terminar una captura es la promesa de que la imagen no cambió. Se vuelve a calcular al verificar y los dos valores tienen que ser idénticos, carácter por carácter. Si no lo son, la copia ya no es la que se hizo, o se hizo mal. La bitácora del turno anterior tiene las dos cosas escritas.

La cadena de custodia dice quién entregó cada evidencia, quién la recibió, cuándo y con qué firma. Entregar y recibir no son lo mismo: la persona que captura no es la persona que custodia, y una evidencia sin receptor no tiene custodia aunque exista en un disco.

Una imagen sin integridad probada no es prueba: cualquier abogado de la otra parte la desmonta en una pregunta. La pregunta correcta es si se puede repetir. Si el original sigue intacto y hay sitio donde escribir, repetir es la respuesta; lo que no se hace nunca es retocar los números para que cuadren, ni borrar el intento fallido.

Aislar un equipo no es capturarlo. Entre una cosa y otra el equipo sigue encendido, con la memoria cambiando y con un atacante que puede notar el corte. Ese intervalo se mide y se pone en el informe: es una limitación honesta de la adquisición, no un defecto escondido.