Reconocimiento de las fuentes de evidencia

Antes de recopilar cualquier elemento, alguien debe reconocer dónde podría haber evidencia. La identificación, la primera fase del proceso forense (Módulo 1), es más difícil de lo que parece: los rastros de un solo suceso pueden encontrarse en una docena de dispositivos, en varios servicios en línea y en la memoria de las personas involucradas. Esta lección examina las fuentes que debe buscar un investigador, incluidas las que suelen pasar inadvertidas, y cómo decidir cuáles abordar primero. La protección del lugar se trata en la Lección 3.2, y la adquisición de datos, en el Módulo 4.

Partir de las preguntas

Las preguntas del caso determinan qué se considera una fuente. En un caso de acoso, lo más importante son los mensajes y las cuentas y los dispositivos desde los que se enviaron; en un caso de robo de datos, los medios de almacenamiento, la sincronización en la nube y los registros de acceso del servidor de archivos. Para cada pregunta, plantéese dónde se habrían creado, copiado o sincronizado los rastros de las acciones relevantes. Las respuestas suelen agruparse en unas pocas categorías: los dispositivos, la red, los servicios en línea y las propias personas.

Computadoras y medios de almacenamiento

Las computadoras de escritorio y portátiles siguen siendo fuentes fundamentales: documentos, historial del navegador, clientes de correo electrónico, aplicaciones de chat, registros del sistema operativo y registros de dispositivos conectados. Su almacenamiento se presenta en varias formas.

• Las unidades de disco duro (HDD) almacenan datos en platos magnéticos giratorios. Los datos eliminados suelen conservarse hasta que se sobrescriben.
• Las unidades de estado sólido (SSD) utilizan memoria flash. Muchas se conectan mediante la interfaz SATA; las unidades NVMe se conectan mediante PCI Express y suelen ser pequeñas tarjetas M.2. Algunas computadoras portátiles tienen el almacenamiento soldado a la placa base, por lo que no hay ninguna unidad que se pueda extraer.
• Las memorias USB y las tarjetas de memoria, como las tarjetas SD y microSD, son pequeñas y fáciles de ocultar. Una tarjeta microSD tiene aproximadamente el tamaño de una uña.
• Los medios ópticos (discos CD, DVD y Blu-ray) son menos comunes hoy en día, pero siguen apareciendo en archivos y sistemas antiguos.

Los medios extraíbles aparecen en lugares inusuales: dentro de libros, bolsillos de abrigos, fundas de teléfono o consolas de videojuegos, pegados con cinta adhesiva debajo de cajones o camuflados como llaveros o bolígrafos. Búsquelos de forma deliberada.

Teléfonos, dispositivos vestibles y objetos conectados

Los teléfonos y las tabletas suelen contener más información sobre la vida de una persona que cualquier computadora: mensajes, llamadas, contactos, fotos con datos de ubicación y datos de aplicaciones. También son los dispositivos más expuestos a cambios remotos, por lo que reciben un tratamiento especial en las Lecciones 3.2 y 3.3.

• Los dispositivos vestibles, como los relojes inteligentes y las pulseras de actividad, registran la actividad, la frecuencia cardíaca y, en ocasiones, la ubicación, y suelen sincronizarse con una aplicación del teléfono y con el servicio en la nube del fabricante.
• Los dispositivos domésticos inteligentes y de IoT (Internet de las cosas), como los altavoces inteligentes, los timbres con cámara, los termostatos y las cerraduras inteligentes, conservan historiales de eventos: cuándo se desbloqueó una puerta o cuándo se detectó movimiento. Gran parte de ese historial suele encontrarse en el servicio en la nube del fabricante, al que se accede mediante la cuenta del usuario, y no en el dispositivo.
• Los vehículos pueden contener teléfonos vinculados, contactos, registros de llamadas e historial de navegación en el sistema de infoentretenimiento, mientras que las unidades telemáticas pueden comunicar la ubicación y los eventos de conducción a un proveedor de servicios.
• Las consolas de videojuegos tienen cuentas de usuario, mensajería, navegadores y almacenamiento, y es fácil pasarlas por alto.

Dispositivos de red, cámaras y servicios en línea

• Los enrutadores y los cortafuegos muestran qué dispositivos se conectaron y adónde se dirigió el tráfico: listas de clientes conectados, concesiones DHCP (registros de qué dirección de red se asignó a qué dispositivo) y registros de conexiones. Muchos enrutadores domésticos conservan sus registros únicamente en la memoria, por lo que un reinicio los borra.
• Los dispositivos NAS (almacenamiento conectado a la red) son pequeños servidores de archivos que suelen contener archivos compartidos y copias de seguridad de varias computadoras en discos combinados en un arreglo RAID.
• Las cámaras y los grabadores de CCTV (DVR y NVR, grabadores de video digitales y en red) graban continuamente y sobrescriben las grabaciones más antiguas cuando el disco se llena, a menudo después de días o semanas. Sus relojes suelen estar desajustados, por lo que debe anotarse la diferencia entre la hora del grabador y una referencia fiable.
• Las cuentas en la nube y los servicios en línea, como el correo electrónico, el almacenamiento de archivos, las redes sociales, la mensajería y las copias de seguridad de dispositivos, pueden contener datos que ya no existen en ningún dispositivo. Un proveedor conserva esos datos, a menudo en otro país, y se obtienen a través del titular de la cuenta o del proveedor con la debida autorización (Módulo 2).

Fuentes menos evidentes

• Las impresoras y los dispositivos multifunción pueden conservar un historial de trabajos de impresión, copia y escaneo, y algunos modelos tienen almacenamiento interno.
• Las tarjetas SIM identifican la suscripción móvil. El número de serie de la tarjeta (ICCID) está impreso en ella, y una SIM puede almacenar una pequeña cantidad de contactos y mensajes de texto, aunque los teléfonos modernos conservan la mayoría de los datos en el propio teléfono.
• Las copias de seguridad en unidades externas, recursos compartidos de NAS, teléfonos antiguos y computadoras (que suelen contener copias de seguridad de teléfonos) pueden contener datos eliminados del dispositivo actual.
• Los dispositivos sincronizados: los mensajes, las fotos y el historial del navegador de un dispositivo suelen aparecer en una tableta, una segunda computadora o una aplicación de mensajería de escritorio vinculada a la misma cuenta.
• Las contraseñas y notas escritas: notas adhesivas, cuadernos y papeles cerca de una computadora. Más adelante pueden permitir desbloquear un dispositivo cifrado, por lo que se fotografían en el lugar donde se encuentran y se tratan como elementos de prueba.

La persona como fuente

Las personas presentes en el lugar suelen saber lo que ninguna herramienta puede averiguar rápidamente: qué dispositivos utilizan, qué cuentas tienen, si el almacenamiento está cifrado y cuáles son las contraseñas. Preguntar sobre estos aspectos, en términos generales, puede ahorrar días de trabajo. La posibilidad de hacer estas preguntas, y la obligación de responderlas, dependen del marco jurídico y de la función del investigador (Módulo 2). En las organizaciones, el personal de TI sabe dónde se conservan los registros, durante cuánto tiempo y quién tiene acceso administrativo. Registre cada pregunta, la respuesta y la hora. Una contraseña obtenida en el lugar no se utiliza para explorar el dispositivo; se utiliza más adelante, durante una adquisición controlada y documentada (Módulo 4).

Decidir qué atender primero

No todas las fuentes pueden tratarse a la vez. Partiendo del orden de volatilidad (Módulo 1), sopese cuatro factores.

1. Relevancia: en qué medida la fuente está directamente relacionada con las preguntas del caso.
2. Volatilidad y riesgo de pérdida: con qué rapidez podrían desaparecer los datos por un corte de energía, sobrescritura, rotación de registros o eliminación remota.
3. Singularidad: si los datos existen únicamente aquí o también en otro lugar, como en un servidor que ya se ha preservado.
4. Esfuerzo e impacto: cuánto tiempo lleva la recopilación y en qué medida afecta al propietario o a una empresa.

Un grabador de CCTV a punto de sobrescribir las grabaciones de la semana pasada puede tener prioridad sobre una computadora portátil apagada cuyos datos se conservarán. Registrar las prioridades y sus motivos ayuda a justificarlas.

Resumen de las fuentes

Enfoque del examen: Conozca los principales grupos de fuentes de evidencia (computadoras y medios de almacenamiento, teléfonos y tabletas, dispositivos vestibles, dispositivos de IoT y domésticos inteligentes, vehículos, dispositivos de red, grabadores de CCTV, consolas de videojuegos, cuentas en la nube) y los menos evidentes: impresoras, tarjetas SIM, copias de seguridad, dispositivos sincronizados y contraseñas escritas. Espere preguntas basadas en situaciones sobre la priorización de fuentes según su relevancia, volatilidad y riesgo de pérdida, singularidad y esfuerzo; sobre los registros de los enrutadores y la sobrescritura de grabaciones de CCTV; y sobre la persona como fuente de información acerca de dispositivos, cuentas y contraseñas.