Exportar evidencia de red

Exportar evidencia empieza por una solicitud escrita: qué se quiere, de qué equipo, en qué ventana de tiempo, quién la pide y quién la autoriza. Sin ventana ni equipo, se termina exportando de más. Los datos de tráfico pertenecen a personas y a procesos de la empresa, y solo se sacan con la autorización de quien responde por ellos y bajo la política interna de respuesta a incidentes.

Cada archivo exportado se debe poder comparar con la solicitud: la fuente, la ventana, el filtro.

Consulta solicitud y luego exportaciones. Compara la columna desde y hasta con la ventana pedida.

La regla de oro es exportar lo mínimo que contesta la pregunta: un equipo, una ventana, un filtro. Una captura de toda una zona de una tarde contiene el tráfico de gente y de servicios que no tienen nada que ver con el caso. Es evidencia contaminada con datos ajenos y un problema de privacidad.

Cuando un filtro no es posible, se documenta por qué y se restringe quién accede al archivo.

Mira la columna filtro de exportaciones.

Para que otra persona confíe en un archivo, hay que poder demostrar que no cambió desde que se sacó. Eso se hace con una huella (el resultado de una función resumen, o hash, calculada sobre el archivo) que se anota junto al archivo, y con un responsable que lo sacó y que responde de él. Si la huella del archivo recibido no coincide con la anotada, el archivo cambió.

En esta lista las huellas son marcadores de ejemplo. Un archivo sin huella o sin responsable no se entrega tal cual: se completa antes.

Cuenta las exportaciones a las que les falta una de las dos cosas.

La nota que acompaña a cada archivo cuenta la historia: fuente, ventana, filtro aplicado, huella, quién lo sacó, cuándo y a quién se entregó. Con eso, quien la reciba puede reproducir la búsqueda y saber qué no está en el archivo, que es tan importante como lo que sí está.

Hay cosas que no se exportan aunque se puedan: capturas completas de zonas enteras «por si acaso», archivos con contenido de personas ajenas al caso, y cualquier cosa sin autorización escrita. Si la evidencia que se necesita está en un archivo demasiado grande, se pide una versión filtrada a quien administra la fuente, o se acota la ventana, en lugar de entregar todo.