Preparación del entorno forense

El módulo 1 sentó el porqué: orden de volatilidad, cadena de custodia, hash como prueba de integridad. Este módulo resuelve el cómo material: con qué estación de trabajo analizas, cómo se adquiere una imagen sin tocar el original, qué formatos existen y por qué, y qué pasos sigues con cada "paquete de evidencia" de este curso antes de abrir una sola herramienta de análisis. A partir del módulo 3 este procedimiento se da por sabido en cada capítulo.

1. La estación de trabajo forense

Nunca analices evidencia directamente sobre tu equipo de uso diario: mezclas tus propios artefactos (tu historial, tus procesos, tu tráfico) con los del caso, y cualquier herramienta que instales o ejecutes puede escribir sobre datos que deberían quedar intactos. La práctica estándar es una máquina virtual dedicada, aislada de tu red de trabajo, con snapshot limpio antes de cada caso nuevo.

2. Tipos de adquisición: en vivo, post-mortem, lógica y física

Una copia lógica es más rápida pero invisible a lo que ya no existe: si el atacante borró un log, una copia lógica no lo recupera porque el sistema de archivos ya no lo lista. Una copia física sí conserva esos restos, porque copia el disco tal cual, bit a bit, sin preguntarle al sistema de archivos qué hay y qué no.

3. Herramientas de adquisición de imágenes

Todas hacen lo mismo en esencia —leer el dispositivo origen bit a bit y escribirlo en un fichero de imagen— pero varían en formato de salida, verificación integrada y comodidad de uso.

Ejemplo de adquisición con dcfldd, calculando el hash mientras copia en el mismo paso:

$ sudo dcfldd if=/dev/sdb of=evidencia_caso01.dd hash=sha256 hashlog=evidencia_caso01.sha256
4423680 blocks (138230Mb) written.
Total (sha256): a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2
4423680+0 records in
4423680+0 records out

Fíjate en que el hash se calcula durante la copia, no después: si el proceso se interrumpe a mitad, el hash resultante corresponde exactamente a lo que sí se llegó a copiar, y eso queda registrado en el log (hashlog) como parte de la cadena de custodia.

4. Formatos de imagen forense

En este curso usarás sobre todo RAW/DD por su compatibilidad universal con las herramientas FOSS de los módulos siguientes (Volatility3, Autopsy, TSK), y E01 cuando el caso lo entregue así para que practiques su conversión.

$ ewfacquire -t evidencia_caso01 /dev/sdb   # genera evidencia_caso01.E01 con metadatos del caso
ewfexport -t evidencia_caso01_raw -f raw evidencia_caso01.E01   # convierte E01 a RAW si una herramienta no soporta E01

5. Write-blockers: por qué existen y cómo se emulan en software

Un write-blocker es un dispositivo (o un modo de montaje) que permite leer un disco pero bloquea físicamente cualquier intento de escritura sobre él, incluidas las escrituras que el propio sistema operativo intenta hacer "sin preguntar" (actualizar metadatos de acceso, reconstruir el journal, indexar el contenido). Sin él, el simple hecho de conectar un disco a un Windows para "echar un vistazo" puede modificar marcas de tiempo y romper la integridad de la evidencia antes incluso de empezar.

$ sudo blockdev --setro /dev/sdb   # marca el dispositivo completo como solo lectura a nivel de bloque
sudo mount -o ro,noload /dev/sdb1 /mnt/evidencia   # noload: no reproduce el journal del sistema de archivos al montar

6. Verificar la integridad de la imagen ya adquirida

Tal y como se explicó en el módulo 1, el hash se calcula en el momento de adquirir y se vuelve a calcular después, antes de empezar el análisis, para confirmar que el fichero de imagen no se corrompió al copiarlo o transferirlo:

$ sha256sum evidencia_caso01.dd
a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2  evidencia_caso01.dd

Si el valor no coincide con el anotado en la cadena de custodia (o con el que acompaña al paquete de evidencia), no sigas analizando: vuelve a descargar o a copiar el fichero. Un hash que no cuadra invalida cualquier hallazgo posterior, por sólido que parezca.

7. El ciclo de trabajo de un caso de GhostForensics

Todos los casos prácticos de este curso (a partir del módulo 3) siguen exactamente el mismo patrón, así que una vez que lo entiendes lo aplicas a los que quedan:

1. Descargar el ZIP del caso desde el capítulo correspondiente.
2. Descomprimir y leer el LEEME.md: ahí está el contexto del caso (qué incidente se investiga), el objetivo concreto y el hash de referencia de cada fichero de evidencia.
3. Verificar el hash de cada fichero de evidencia contra el valor del LEEME.md antes de abrir nada, exactamente como en el punto 6.
4. Analizar siempre sobre la copia que te entrega el ZIP —nunca hay un "original" más allá que proteger en estos casos, pero el hábito es el mismo que tendrás que aplicar en un caso real—, aplicando lo explicado en el capítulo.
5. Documentar tus hallazgos a medida que los encuentras: qué artefacto, qué herramienta, qué conclusión.
6. Comparar con la solución paso a paso del caso cuando termines (o te encalles).

8. Cuando algo no cuadra

9. Buenas costumbres desde el principio

• Trabaja siempre en la VM forense aislada, nunca en tu equipo de uso diario.
• Verifica el hash antes de analizar, en cada caso, sin excepción, aunque te parezca repetitivo.
• Guarda tus notas de cada caso (comandos ejecutados, hallazgos, capturas) a medida que avanzas: es el hábito que sostiene el informe final del módulo 20.
• Nunca "arregles" o modifiques un fichero de evidencia para que una herramienta lo acepte; conviértelo a una copia nueva y deja el original intacto.

Autoevaluación

1. ¿Por qué una copia lógica puede no bastar para recuperar un fichero que el atacante borró?
2. ¿Qué diferencia principal hay entre el formato RAW/DD y el formato E01, y cuándo elegirías cada uno?
3. ¿Qué hace exactamente mount -o ro,noload y por qué el noload importa en un contexto forense?
4. Descargas el paquete de evidencia de un caso y el hash no coincide con el del LEEME.md. ¿Qué haces, y qué NO deberías hacer bajo ninguna circunstancia?
5. Describe de memoria los seis pasos del ciclo de trabajo de un caso de GhostForensics.