Metodología forense y cadena de custodia
Antes de abrir una imagen de disco o un volcado de memoria, un analista forense necesita algo que no se aprende con ninguna herramienta: una disciplina de trabajo que garantice que la evidencia que recoge hoy sigue siendo válida —y defendible— dentro de seis meses, delante de un tribunal, un cliente o un comité de dirección. Este módulo sienta esa base; el resto del curso da por hecho que la conoces.
- Distinguir el análisis forense digital de otras disciplinas de seguridad con las que se confunde (pentesting, respuesta a incidentes, threat hunting).
- Entender el orden de volatilidad y por qué dicta en qué orden se recoge la evidencia.
- Conocer los marcos de referencia que estandarizan una investigación forense (NIST SP 800-86, ISO/IEC 27037, SWGDE).
- Aplicar correctamente una cadena de custodia: qué documenta, quién la firma y por qué un hash es la prueba de que nadie ha tocado la evidencia.
- Reconocer qué autoriza legalmente a analizar un dispositivo o una evidencia, y qué no.
1. ¿Qué es el análisis forense digital?
El análisis forense digital (DFIR, de Digital Forensics and Incident Response) es la disciplina que identifica, preserva, analiza y documenta evidencia digital de forma que su integridad y su origen puedan demostrarse ante un tercero: un tribunal, un cliente, un regulador o la propia dirección de una empresa. No es lo mismo que otras disciplinas con las que se solapa a menudo:
| Disciplina | Pregunta que responde | Cómo se diferencia del forense |
|---|---|---|
| Pentesting / Red Team | ¿Hasta dónde podría llegar un atacante hoy? | Simula un ataque futuro; el forense reconstruye uno que ya ocurrió. |
| Respuesta a incidentes (IR) | ¿Cómo paro esto ahora y recupero el servicio? | Prioriza la contención y la continuidad; el forense prioriza la integridad de la evidencia, aunque sea más lento. |
| Threat hunting | ¿Hay ya un atacante dentro que no hemos detectado? | Es proactivo y exploratorio; el forense suele arrancar de un incidente ya confirmado. |
| Análisis forense digital | ¿Qué pasó exactamente, cuándo, cómo y quién lo hizo? | El objetivo final no es el hallazgo, es la reconstrucción defendible de los hechos. |
En la práctica, un mismo incidente real suele pasar por las cuatro: IR contiene el fuego, forense reconstruye lo ocurrido con el rigor necesario para un informe o un proceso legal, y threat hunting (o un pentest posterior) valida que el agujero está cerrado.
2. El orden de volatilidad: por qué la secuencia importa
No toda la evidencia digital dura lo mismo. Algunos datos desaparecen en segundos al apagar un equipo; otros sobreviven años en una cinta de backup. El orden de volatilidad (formalizado en la RFC 3227) establece qué recoger primero cuando el tiempo es limitado, de lo más efímero a lo más duradero:
| # | Fuente de evidencia | Vida típica |
|---|---|---|
| 1 | Registros y caché de la CPU | Nanosegundos |
| 2 | Tablas de enrutamiento, caché ARP, tabla de procesos, estadísticas del kernel, memoria RAM | Se pierde al apagar el equipo |
| 3 | Sistemas de archivos temporales | Minutos a horas |
| 4 | Disco duro / almacenamiento persistente | Meses a años, hasta que se sobrescribe |
| 5 | Monitorización y logs remotos relevantes para el sistema | Depende de la política de retención |
| 6 | Configuración física y topología de red | Hasta el siguiente cambio de infraestructura |
| 7 | Medios de archivo (backups, cintas) | Años |
3. Marcos de referencia que estandarizan una investigación
No hace falta inventar el proceso cada vez: existen marcos públicos que cualquier informe forense serio debería poder citar.
| Marco | Qué aporta |
|---|---|
| NIST SP 800-86 | Guía de referencia para integrar el análisis forense en la respuesta a incidentes: identificación, preservación, análisis, informe. |
| ISO/IEC 27037 | Estándar internacional sobre identificación, recolección, adquisición y preservación de evidencia digital. |
| SWGDE (Scientific Working Group on Digital Evidence) | Buenas prácticas y documentos de consenso usados habitualmente como referencia en procedimientos periciales. |
Ninguno de los tres te dice qué comando ejecutar; te dicen en qué orden y con qué garantías hay que trabajar, que es exactamente lo que hace que un hallazgo técnico se sostenga o se caiga cuando alguien lo cuestiona.
4. Cadena de custodia: el eje de todo el curso
La cadena de custodia es el registro documental e ininterrumpido de quién ha tenido acceso a una evidencia, cuándo, dónde y para qué, desde el momento en que se recoge hasta que se presenta. Si hay un hueco en esa cadena —una hora sin registrar, un disco que pasó de mano en mano sin firma—, cualquiera puede argumentar que la evidencia pudo alterarse en ese hueco, y el hallazgo pierde valor probatorio aunque sea técnicamente correcto.
- Qué es la evidencia (nº de serie, descripción, tamaño, ubicación original).
- Quién la recogió, y quién la ha tenido en su poder en cada momento desde entonces.
- Cuándo se recogió y cuándo cambió de manos cada vez (fecha y hora exactas).
- Dónde se recogió y dónde se almacena mientras no se analiza.
- Por qué se recogió (referencia al caso o incidente).
- Cómo se transportó y se protegió de alteraciones (bolsa de evidencia sellada, cifrado del contenedor forense).
5. El hash: la prueba de que nadie ha tocado la evidencia
Un documento firmado dice que alguien tuvo la evidencia; un hash criptográfico (habitualmente SHA-256, a veces junto con MD5 por compatibilidad con herramientas antiguas) demuestra que el contenido no ha cambiado ni un bit desde que se calculó. La práctica estándar:
- Se calcula el hash de la evidencia en el momento de la adquisición (por ejemplo, de la imagen de disco recién creada), antes de analizar nada.
- Ese hash se anota en la cadena de custodia y, si es posible, se comparte con una tercera parte (el cliente, el responsable del incidente) antes de empezar el análisis.
- Se trabaja siempre sobre una copia de la evidencia original, nunca sobre el original.
- Al terminar, se vuelve a calcular el hash de la copia de trabajo y de la original: si coinciden entre sí y con el valor anotado al principio, queda demostrado que ni la adquisición ni el análisis alteraron nada.
$ sha256sum evidencia.dd
a1b2c3d4e5f6... evidencia.ddEste paso, trivial en apariencia, es el que convierte "confía en mí, no toqué nada" en una prueba verificable matemáticamente. Lo practicarás en el módulo 2 sobre tu primera adquisición de imagen.
6. Las fases de una investigación forense
- Identificación — qué dispositivos, cuentas o sistemas son relevantes para el caso, y qué autorización tienes para analizarlos.
- Preservación — asegurar que la evidencia no cambia desde el momento en que se identifica: aislar el equipo, calcular hashes, documentar el estado inicial.
- Recolección / adquisición — obtener una copia forense (bit a bit) de discos, memoria, tráfico de red o logs, siguiendo el orden de volatilidad (módulo 2).
- Análisis — examinar la copia en busca de artefactos relevantes: lo que ocupa la mayor parte de este curso (módulos 3 a 19).
- Documentación — registrar cada paso, cada herramienta usada y cada hallazgo a medida que ocurre, no al final de memoria.
- Presentación — el informe final: qué se encontró, con qué evidencia se sostiene y qué conclusiones permite (y cuáles no permite) extraer (módulo 20).
7. Qué autoriza un análisis forense (y qué no)
Ninguna técnica de este curso es legal ni ética fuera de estos supuestos:
- Autorización explícita del propietario legítimo del dispositivo o los datos: tu propio equipo, un contrato de respuesta a incidentes, una orden judicial, o la política interna de tu empresa que te habilita a investigar sus propios activos.
- Alcance definido: qué dispositivos, cuentas o periodo de tiempo entran en la investigación, y qué queda fuera.
- Minimización: acceder solo a los datos necesarios para responder a la pregunta del caso, no a todo lo que la evidencia contenga "por si acaso".
- Confidencialidad de todo lo encontrado, antes, durante y después del informe.
Analizar el dispositivo de otra persona sin ese marco —el ordenador de una expareja, el móvil de un compañero, una evidencia que te ha llegado "por un amigo"— no es análisis forense: es acceso no autorizado a datos ajenos, con independencia de lo buena que sea tu intención o de lo útiles que resulten técnicamente las herramientas que vas a aprender aquí. La autorización no se presume: se demuestra por escrito.
8. Código de conducta para este curso
- Todas las evidencias que analizarás en los casos de GhostForensics son sintéticas, generadas para el curso: no contienen datos reales de nadie.
- Ninguna técnica de este curso se aplica sobre un dispositivo ajeno sin autorización explícita y por escrito.
- Cuando trabajes un caso real —en prácticas, en un empleo o como perito—, el formulario de cadena de custodia se rellena desde el primer minuto, no al final.
- El objetivo de todo esto es reconstruir hechos de forma defendible, no demostrar lo hábil que eres con una herramienta.
A lo largo de todo el curso vas a investigar siempre el mismo caso, capítulo a capítulo. GhostForensics Lab reproduce ese mismo caso en un simulador web: úsalo entre capítulos para practicar sin tener que montar cada herramienta.
Autoevaluación
- Un equipo comprometido sigue encendido cuando llegas. ¿Qué evidencia deberías capturar antes de plantearte apagarlo, y por qué?
- ¿Qué diferencia al análisis forense digital de la respuesta a incidentes, aunque ambos convivan en el mismo caso real?
- ¿Qué demuestra exactamente un hash calculado en el momento de la adquisición, y qué NO demuestra por sí solo?
- Te entregan un portátil "para que mires qué hay dentro, es de mi pareja y creo que me engaña". ¿Qué le respondes?
- Nombra las seis fases de una investigación forense, en orden.