Preservar registros y capturas

La RFC 3227, guía de recolección y archivo de evidencia, propone recoger en orden de volatilidad: de lo que más rápido desaparece a lo que más dura. El orden va desde registros y caché del procesador, pasa por tablas de rutas, caché ARP, procesos y memoria, sigue con archivos temporales y disco, y termina con registros remotos, topología física y medios de archivo.

Para un defensor de red significa que las tablas de sesiones y los búferes se copian antes que los archivos de un disco, y los archivos antes que lo que está en una copia de respaldo.

Cada fuente declara cuántas horas de historia conserva. Algunas guardan semanas en disco; otras solo guardan lo último en memoria. Ante un incidente, el reloj corre contra la fuente de menor retención: si hay que elegir con qué empezar, empieza por ahí.

Mira la tabla de fuentes, sin contar la captura circular, cuya retención se calcula con los datos de su búfer.

Una captura circular guarda en un búfer de tamaño fijo; cuando se llena, el paquete nuevo sustituye al más viejo. La historia que cabe es el tamaño del búfer dividido entre lo que se captura por hora. El momento de interés se sobrescribe cuando pasan esas horas desde que ocurrió. Si nadie detiene la captura o copia lo que importa, la evidencia se pierde sin que nada falle.

Calcula la hora UTC en que se perdería la conexión de interés si no se actúa.

Algunas fuentes combinan dos debilidades: viven en memoria y no tienen copia fuera del equipo. Un reinicio, un fallo eléctrico o un cambio de configuración las borra, y con ellas la historia. Son las candidatas a copiarse primero y a corregirse después, enviando sus registros a un colector aparte.

Revisa las fuentes que no sobreviven a un reinicio y quédate con la que guarda más historia.

Preservar no es «guardar el archivo». Se exporta una copia al formato más cercano al original, se almacena en un destino ajeno al equipo investigado, con permisos de solo lectura, y se anota quién la hizo, cuándo, de dónde y con qué huella. Editar el original para limpiarlo, o reiniciar el equipo para cerrar el archivo, destruye justo lo que se quería conservar.