Adquisición e integridad · Lección 1 de 3
Tipos de adquisición
8 min de lectura
La adquisición es el paso en el que se copian los datos de su fuente de una forma que permite verificarlos posteriormente (el Módulo 1 explica en qué se diferencia de la recopilación). Una imagen completa de un disco duro, una copia de determinados buzones de correo, una captura de la memoria de un equipo en funcionamiento y una exportación de una cuenta en línea son adquisiciones, y cada una captura algunos datos, deja fuera otros y modifica algo. Esta lección describe los tipos principales y cómo elegir entre ellos. La Lección 4.2 explica cómo los valores hash protegen la copia, y la Lección 4.3, cómo se crean las imágenes de disco.
Física, lógica y selectiva
- La adquisición física, también llamada imagen bit a bit o de disco completo, copia todos los sectores del dispositivo, en orden: la tabla de particiones, todas las particiones, el espacio no asignado (áreas que el sistema de archivos marca como libres y que a menudo aún contienen datos eliminados) y el espacio residual (bytes sin utilizar al final del último clúster de un archivo). Es la copia más completa.
- La adquisición lógica copia los archivos y las carpetas tal como los presenta el sistema de archivos, con sus nombres, rutas y marcas de tiempo. Es más rápida y ocupa menos espacio, pero deja fuera los archivos eliminados, el espacio no asignado y el espacio residual.
- La adquisición dirigida o selectiva copia únicamente los elementos elegidos según determinados criterios, como el buzón de correo de un usuario, una carpeta de proyecto o los archivos de un intervalo de fechas. Es habitual en el descubrimiento electrónico (ISO/IEC 27050).
Una imagen de volumen es una copia bit a bit de una partición, en lugar de toda la unidad. Conserva el espacio no asignado de esa partición y suele utilizarse para copiar un volumen descifrado de un sistema en funcionamiento.
En una unidad de estado sólido, una imagen física copia todos los bloques que la unidad presenta, no la memoria flash de reserva que su controlador se guarda para sí, y los bloques borrados mediante TRIM (Módulo 1) suelen devolver ceros al leerse.
Adquisición en frío y en vivo
- La adquisición en frío (también llamada estática o fuera de línea) se realiza sobre un sistema apagado: la unidad se conecta a través de un bloqueador de escritura, o el equipo se inicia desde un medio de arranque forense que no escribe en ella. Si se realiza correctamente, no modifica nada en la fuente y puede repetirse: al volver a crear una imagen de una unidad en buen estado se obtiene el mismo valor hash.
- La adquisición en vivo se realiza sobre un sistema en funcionamiento. Permite capturar la memoria (procesos, conexiones de red, claves de cifrado, malware que nunca llega al disco) y los datos de los volúmenes desbloqueados en ese momento.
La adquisición en vivo tiene un costo. La herramienta se ejecuta en el sistema y lo modifica, y la memoria sigue cambiando mientras se copia. El resultado no puede reproducirse ni verificarse frente a la fuente, porque esta ya no existe en ese estado; el hash de una imagen de memoria solo la protege desde el momento de la captura. Las notas detalladas compensan lo que no puede reproducirse. A menudo se combinan ambos tipos: primero la memoria y los volúmenes desbloqueados, siguiendo el orden de volatilidad (Módulo 1), y después la unidad tras el apagado.
Adquisición local y remota
La mayoría de las adquisiciones son locales: el examinador se encuentra junto al dispositivo. La adquisición remota copia datos a través de una red. En las organizaciones, los agentes de equipos finales, pequeños programas instalados previamente en los equipos, pueden crear una imagen de un disco, capturar la memoria o recopilar archivos de un equipo ubicado en otro país. Esto agiliza la respuesta a incidentes, pero añade requisitos:
- autorización para cada equipo y para cualquier transferencia transfronteriza (Módulo 2);
- una conexión cifrada y un hash calculado en la fuente y de nuevo en la copia recibida;
- notas sobre la huella del propio agente, ya que se ejecuta en el sistema en vivo.
Dispositivos móviles
La adquisición de teléfonos y tabletas casi siempre se realiza mientras están encendidos, a través de su propio sistema operativo o de un modo de inicio especial, por lo que toda adquisición móvil modifica un poco el dispositivo. Habitualmente se describen tres niveles.
- Lógica: datos que el sistema operativo proporciona mediante sus interfaces normales o su función de copia de seguridad, como contactos, mensajes y fotos.
- Sistema de archivos (o sistema de archivos completo): una copia del sistema de archivos, incluidas las bases de datos de las aplicaciones y los registros del sistema que nunca aparecen en una copia de seguridad. A menudo requiere acceso con privilegios elevados.
- Física: una copia bit a bit de la memoria flash. En muchos dispositivos actuales, los datos del usuario se cifran archivo por archivo, por lo que una copia física no puede descifrarse sin las claves que el dispositivo protege.
NIST SP 800-101 describe otros métodos, desde la extracción manual (fotografiar la pantalla) hasta chip-off (extraer el chip de memoria).
El estado de bloqueo suele determinar qué es posible. Los teléfonos modernos cifran los datos del usuario con claves que dependen en parte del código de acceso. Antes del primer desbloqueo tras un reinicio (BFU), la mayoría de los datos del usuario permanecen cifrados; después del primer desbloqueo (AFU), se puede acceder a muchos más datos, aunque la pantalla vuelva a bloquearse. Por eso, un teléfono que se encuentra encendido se mantiene cargado y aislado (Módulo 3).
Nube y servicios en línea
No es posible crear una imagen de los datos almacenados por un servicio en línea. Son habituales tres vías:
- Exportación del proveedor: el proveedor entrega los datos en respuesta a una solicitud legal, a menudo con registros que el usuario nunca ve.
- Exportación de la cuenta con autorización: una persona autorizada inicia sesión, con consentimiento u otra base legal, y utiliza la función de descarga del servicio, documentando cada paso.
- Recopilación mediante API: una herramienta utiliza la interfaz de programación de aplicaciones (API) del servicio con credenciales autorizadas para descargar elementos y sus metadatos, como suelen hacer las organizaciones con sus propias cuentas empresariales.
La adquisición en la nube siempre es lógica: no hay espacio no asignado, y los elementos eliminados solo existen mientras el proveedor los conserve. Los formatos de exportación y los metadatos dependen del servicio. Calcule el hash de cada exportación en cuanto la reciba.
Elección de un método
| Método | Qué captura | Qué omite o modifica |
|---|---|---|
| Física (en frío) | Todos los sectores, incluidos los datos eliminados y no asignados | La memoria y el estado de ejecución; el contenido cifrado sin la clave |
| Lógica | Archivos y carpetas activos con sus metadatos del sistema de archivos | Los datos eliminados, el espacio no asignado y el espacio residual |
| Selectiva | Solo los elementos que cumplen los criterios | Todo lo demás; es difícil volver a examinarlo si se pierde la fuente |
| En vivo (memoria y estado de ejecución) | Procesos, conexiones, claves, volúmenes desbloqueados | Modifica el sistema; no puede repetirse ni verificarse frente a la fuente |
| Remota | Disco, memoria o archivos de equipos distantes | Depende del agente, que modifica el sistema |
| Móvil (de lógica a física) | Desde datos de tipo copia de seguridad hasta el sistema de archivos completo | Limitada por el estado de bloqueo y el cifrado; el dispositivo debe estar encendido |
| Exportación de la nube | Datos de la cuenta, a menudo con registros del proveedor | No hay espacio no asignado; los elementos eliminados solo están disponibles durante el plazo de conservación |
Elija el método preguntándose qué requieren las cuestiones que deben resolverse, qué podría perderse, qué permite la autorización y qué es técnicamente posible. Una imagen física mantiene abiertas la mayoría de las opciones; una copia selectiva suele ser la elección proporcionada para un servidor que almacena datos de otras personas. Documente siempre qué no se adquirió y por qué, para que un revisor pueda distinguir una limitación deliberada de una omisión involuntaria.
Un ejemplo resuelto
Mei, investigadora de una empresa ficticia, Northgate Freight, responde a una sospecha de fraude en la nómina. El equipo de escritorio de la persona sospechosa está en funcionamiento con una unidad cifrada, los archivos de nómina se encuentran en un servidor compartido por 400 empleados, y la persona sospechosa utiliza una cuenta de correo electrónico corporativo alojada en un servicio externo.
- Mei captura la memoria y una imagen del volumen desbloqueado, anota cada comando y registra la clave de recuperación que proporciona el departamento de TI.
- Apaga el equipo de escritorio y crea una imagen física de su unidad a través de un bloqueador de escritura.
- El servidor debe permanecer en línea, por lo que realiza una copia selectiva de las carpetas de nómina y de los registros de acceso.
- Recopila el buzón mediante la exportación administrativa del servicio y calcula el hash de cada archivo resultante.
Sus notas enumeran lo que dejó fuera, como las carpetas de otros usuarios, y el motivo.
Enfoque del examen: Sepa qué capturan las adquisiciones físicas, lógicas, selectivas y de volumen, y que solo las imágenes bit a bit incluyen el espacio no asignado y el espacio residual. Distinga la adquisición en frío de la adquisición en vivo y comprenda por qué una imagen de memoria no puede verificarse frente a su fuente. Conozca los niveles de adquisición móvil (lógica, sistema de archivos, física), los estados de bloqueo BFU y AFU, las vías para obtener datos de la nube y por qué los examinadores documentan lo que no adquirieron.