Extraer y documentar la evidencia

La evidencia se protege antes de analizarse. Se calcula la huella (un resumen criptográfico, un hash) del archivo original y se anota; el original se guarda en un lugar de solo lectura, y todo el análisis se hace sobre una copia. Si la huella de una copia coincide con la del original, son idénticas; si cambia, algo se modificó. En este laboratorio las huellas son marcadores ficticios.

El registro de custodia es una tabla que dice qué archivo, quién, cuándo, qué hizo y con qué huella. Cada copia exacta repite la huella del original. Un extracto (un subconjunto de paquetes) es otro archivo y tiene su propia huella, que se anota junto con el filtro de visualización que lo produjo. Un paso sin huella es un paso que no se puede comprobar después.

Abre custodia.

La huella permite comprobar sin discutir. Si una copia de trabajo, que debía ser exacta, tiene una huella distinta de la del original, algo cambió: pudo ser una corrupción al copiar, un guardado accidental o una edición. La evidencia no se descarta: se repite la copia desde el original, se anota el incidente y se verifica de nuevo.

Compara las huellas de custodia. Un extracto no cuenta: es otro archivo con su propia huella.

Un extracto debe contener lo mínimo que sostiene el hallazgo, no toda la captura. Cuanto más se saca, más datos personales o secretos salen del sitio donde estaban protegidos. En Colombia los datos personales están regulados por la Ley 1581 de 2012: quien trata la captura tiene un responsable del tratamiento y un propósito, y no se comparte más de lo necesario. Si en el extracto aparece una clave en claro, el informe cita el paquete y el protocolo, no la reproduce, y recomienda cambiarla.

Abre contenido_en_claro y extractos.

Las vacantes de nivel medio piden escribir informes de seguridad en inglés. La regla es la misma que en español: una frase de hallazgo dice qué se observó, dónde y cuándo, con cifras, y deja la interpretación para otra sección. No atribuye intención a una persona ni afirma lo que la captura no puede probar.