Fundamentos de la evidencia digital · Lección 2 de 3
Volatilidad y fragilidad
7 min de lectura
La evidencia digital no espera. La memoria se vacía cuando se pierde la alimentación eléctrica, los registros se sobrescriben, los teléfonos reciben mensajes y comandos de borrado remoto, y las unidades de estado sólido eliminan por sí solas los datos borrados. Incluso el examinador modifica un sistema en cuanto interactúa con él. Esta lección explica por qué la evidencia digital es volátil y frágil, el orden en que suelen preservarse los datos volátiles y las decisiones que se derivan de ello. La incautación de dispositivos se aborda en el Módulo 3, y la creación de copias, en el Módulo 4.
Volátil y frágil no son lo mismo
- Los datos volátiles desaparecen cuando un dispositivo pierde la alimentación eléctrica o finaliza un proceso: el contenido de la memoria (RAM), los procesos en ejecución, las conexiones de red abiertas y las claves de cifrado que se mantienen mientras un disco está desbloqueado.
- Los datos frágiles sobreviven a un corte de alimentación, pero cambian fácilmente: archivos, registros y marcas de tiempo que se alteran por el uso normal, el mantenimiento automático o una manipulación descuidada.
Ambos llevan a la misma regla: determinar desde el principio qué podría perderse, preservarlo en un orden razonable y documentar qué se hizo y por qué.
El orden de volatilidad
El RFC 3227, "Directrices para la recopilación y el archivo de evidencia", publicado en 2002, propone recopilar la evidencia desde la más volátil hasta la menos volátil. Su orden sigue siendo la referencia estándar:
- Registros del procesador y caché
- Tabla de enrutamiento, caché ARP, tabla de procesos, estadísticas del núcleo y memoria
- Sistemas de archivos temporales
- Disco
- Datos de registro remoto y de supervisión relevantes para el sistema
- Configuración física y topología de red
- Medios de archivo
En la práctica, los registros del procesador y las cachés no pueden capturarse de forma independiente; lo que los examinadores pueden preservar es el contenido de la memoria y el estado en vivo que comunica el sistema operativo, como los procesos en ejecución y las conexiones de red. Lo importante es el principio: si dos fuentes están en riesgo, se empieza por la que desaparecerá primero.
Qué modifica la evidencia digital
| Fuente | Qué puede modificarla o destruirla | Primera consideración habitual |
|---|---|---|
| Memoria (RAM) | Pérdida de alimentación, apagado, reinicio; la actividad normal la sobrescribe constantemente | Capturar la memoria antes de apagar un sistema en ejecución, cuando sea relevante para el caso y esté permitido |
| Unidades de estado sólido | TRIM y la recolección de basura eliminan los bloques borrados mientras la unidad recibe alimentación, incluso sin actividad del usuario | No mantener una unidad encendida más tiempo del necesario; crear su imagen cuanto antes |
| Teléfonos y tabletas | Mensajes entrantes, actualizaciones automáticas, comandos de borrado o bloqueo remoto | Aislar el dispositivo de todas las redes y mantenerlo cargado |
| Registros del sistema y de las aplicaciones | Rotación y límites de tamaño que sobrescriben las entradas más antiguas | Preservar los registros cuanto antes, incluidas las copias almacenadas en servidores centrales de registros |
| Cuentas en la nube | El usuario, otros dispositivos sincronizados o las reglas de retención del proveedor | Solicitar al proveedor que preserve los datos y recopilarlos en cuanto se cuente con autorización |
Las marcas de tiempo merecen una mención especial. Abrir un archivo, explorar una carpeta o simplemente iniciar un sistema operativo puede actualizar las marcas de tiempo y los registros del sistema. En Windows, por ejemplo, conectar un dispositivo USB para examinarlo crea nuevas entradas en el registro y en los registros de instalación. Los datos del dispositivo original deben examinarse mediante copias verificadas, no explorando directamente el dispositivo.
Toda acción deja un rastro
Un principio atribuido al criminólogo Edmond Locard afirma que todo contacto deja un rastro. También se aplica a los examinadores. Ejecutar una herramienta de captura de memoria carga esa herramienta en la memoria que se está capturando; conectar un dispositivo de almacenamiento genera registros sobre él; escribir comandos en un sistema en ejecución crea nuevos procesos. Estos cambios no siempre pueden evitarse. Lo que los hace aceptables es que se reduzcan al mínimo, se elijan de forma deliberada y se documenten para que cualquiera pueda distinguir los rastros del examinador de los del usuario.
Alimentación eléctrica, cifrado y conectividad
Tres preguntas orientan los primeros minutos ante cualquier dispositivo.
¿Está encendido o apagado?
Un dispositivo que se encuentra apagado normalmente se deja apagado: encenderlo inicia el sistema operativo, lo que modifica los datos. Un dispositivo que se encuentra en ejecución contiene datos volátiles que pueden ser valiosos, y es necesario decidir si deben preservarse antes de cortar la alimentación.
¿Están cifrados los datos?
El cifrado de disco completo, como BitLocker en Windows, FileVault en macOS o LUKS en Linux, protege los datos en reposo. Mientras el sistema está en ejecución y desbloqueado, los datos son legibles y las claves pueden estar en la memoria. Apagar el sistema puede hacer que los datos resulten ilegibles sin la contraseña o la clave de recuperación. Por tanto, identificar el cifrado en un sistema en ejecución es una de las observaciones iniciales más importantes.
¿Está conectado?
Los teléfonos, las computadoras portátiles y las carpetas sincronizadas con la nube siguen cambiando mientras están conectados. Un borrado remoto, un mensaje nuevo o una sincronización pueden alterar o destruir la evidencia. Aislar el dispositivo de las redes móviles, Wi-Fi y Bluetooth, por ejemplo mediante el modo avión o una bolsa con blindaje de radiofrecuencia, detiene estos cambios, pero cada método tiene efectos secundarios que se abordan en el Módulo 3.
La volatilidad más allá del dispositivo
Parte de la evidencia más valiosa nunca se encuentra en el dispositivo que se tiene delante.
- El tráfico de red solo existe mientras se transmite. A menos que alguien ya lo estuviera capturando, lo que queda son registros sobre él: registros de cortafuegos, proxy y DNS, registros de flujos y las conexiones que aparecen en un sistema en ejecución.
- Los registros de servidores y servicios en línea se conservan durante un tiempo limitado. Los períodos de retención varían de días a meses y dependen del proveedor, del plan de servicio y de la configuración de la propia organización.
- Los datos compartidos y sincronizados pueden modificarse desde cualquier lugar. Un archivo borrado en un dispositivo puede desaparecer de la nube y de todos los demás dispositivos vinculados a la cuenta.
Para estas fuentes, el primer paso suele ser una solicitud en lugar de una herramienta: pedir al propietario del sistema o al proveedor del servicio que preserve los registros pertinentes antes de que venza su período de retención, y documentar cuándo y cómo se hizo esa solicitud. Las organizaciones que planifican con antelación, conservando los registros de forma centralizada y durante el tiempo suficiente, facilitan mucho las investigaciones posteriores.
Rara vez existe una opción perfecta
La volatilidad obliga a sopesar ventajas e inconvenientes. Capturar la memoria modifica una pequeña parte del sistema, pero salva lo que de otro modo se perdería; desconectar la alimentación conserva el disco exactamente como está, pero pierde la memoria y puede bloquear un volumen cifrado. No hay una única respuesta correcta para todos los casos. ISO/IEC 27037 exige justificabilidad: debe poder explicarse por qué la decisión era la mejor opción dadas las circunstancias, teniendo en cuenta el objetivo de la investigación, los riesgos y la autorización. Documentar los motivos en el momento es lo que convierte una decisión basada en el criterio profesional en una decisión defendible.
Enfoque del examen: Conozca la diferencia entre datos volátiles y frágiles, el orden de volatilidad del RFC 3227 (la memoria antes que el disco, y el disco antes que los registros remotos y los medios de archivo), y por qué TRIM y la recolección de basura de las SSD, la rotación de registros y el borrado remoto ponen en riesgo la evidencia. Cabe esperar preguntas basadas en situaciones sobre sistemas cifrados en ejecución, el aislamiento de teléfonos de las redes y por qué los examinadores deben minimizar y documentar los cambios que provocan.