La evidencia que no se borra

La evidencia de un incidente en la nube es el hallazgo exportado, el registro de auditoría, la copia del disco, la configuración de red y de identidad en el momento del incidente, y lo que había en memoria si hubo forma de capturarlo. Responder sin preservarla es como apagar un incendio sin fotografiar lo que ardió: la fuga se cierra, pero nadie sabrá por dónde entró el fuego.

Dos hábitos la protegen: copiar antes de cambiar, y no tocar lo que no se va a usar. Limpiar para ordenar, liberar para ahorrar o reiniciar para arreglar son tres formas de destruir evidencia con buena intención.

No toda pérdida es igual. Perder algo que existe en otro sitio es molesto; perder lo único que había es definitivo. En una revisión posterior se hace un inventario de la evidencia con una pregunta por elemento: ¿se puede recuperar? Si la respuesta es sí, de dónde. Si es no, qué acción lo borró y a qué hora.

Lee la bitácora y el inventario de la evidencia y localiza la acción de la guardia que borró material que existía y no tenía copia en ningún sitio. No cuentes lo que nunca se capturó: eso es una carencia del runbook, no una acción de la guardia.

La copia del disco de una instancia en la nube se hace con una instantánea del volumen. Mientras el estado no sea «completed», la copia no es utilizable. Eso importa para el orden: no se retira la máquina original hasta que la copia esté completa. Medir cuánto tarda también sirve: si la copia tarda minutos, una guardia que pone plazos sabrá cuánto esperar antes de seguir con lo demás.

Calcula cuánto tardó la copia del disco de marejada-etl-01, desde que se inició hasta que quedó completa. Responde en minutos, solo el número.

Cuando hay que recoger evidencia, se empieza por lo que antes desaparece. Es el orden de volatilidad que describe el RFC 3227, una guía de recolección y archivo de evidencia: primero lo más efímero (memoria, procesos, conexiones activas), después los discos y por último lo que se conserva por mucho tiempo, como los registros archivados.

En la nube cambian las herramientas, no el principio. Una instancia encendida guarda en memoria cosas que un disco no tiene; por eso se aísla sin apagar. Apagarla o reiniciarla borra esa capa para siempre.

Una copia sin identificador no es evidencia: nadie podrá decir de dónde salió ni a qué volumen corresponde. Por eso la bitácora anota el identificador de la copia y el del volumen origen, y el informe los cita. Quien revise el caso meses después debe poder ir de un dato a otro sin preguntar a nadie.

Busca el identificador de la copia del volumen y escríbelo tal cual aparece.