Identificación e incautación · Lección 2 de 3
Aseguramiento del lugar de los hechos
8 min de lectura
Los primeros minutos en el lugar de los hechos determinan gran parte de lo que puede lograrse en un examen. Un clic descuidado, un apagado bienintencionado o permitir que el propietario vuelva al teclado pueden alterar o destruir evidencia antes de que alguien registre cómo estaban las cosas. La tarea del primer interviniente es evitarlo: garantizar la seguridad de las personas, controlar el área, documentar antes de tocar nada y registrar el estado de cada dispositivo. Los motivos que fundamentan las decisiones sobre mantener los dispositivos encendidos o apagados se explican en el Módulo 1, y la autorización legal para acceder al lugar y realizar un registro se trata en el Módulo 2.
La función del primer interviniente
ISO/IEC 27037 describe dos funciones. Un primer interviniente en evidencia digital (DEFR) es una persona autorizada, capacitada y cualificada para actuar en primer lugar en el lugar de los hechos con el fin de recopilar y adquirir evidencia digital. Un especialista en evidencia digital (DES) tiene conocimientos técnicos más profundos y puede abordar situaciones que superan las competencias del DEFR, como capturar datos en vivo de un servidor complejo. En un equipo pequeño, una misma persona puede desempeñar ambas funciones, pero la distinción es útil: las actuaciones en el lugar de los hechos deben mantenerse dentro de las competencias de quien las realiza. Un buen DEFR conoce esos límites y recurre a un especialista en lugar de improvisar.
La seguridad es lo primero
Ninguna evidencia justifica una lesión. Primero, compruebe si existen peligros en el lugar: equipos eléctricos dañados, cables expuestos, baterías de litio hinchadas o sobrecalentadas, objetos cortantes y, en ocasiones, personas hostiles. Los dispositivos también pueden contener evidencia forense tradicional, como huellas dactilares o ADN. Use guantes y coordínese con los especialistas en inspección del lugar de los hechos para que la evidencia física se recopile sin dañar la evidencia digital, y viceversa.
Controle el área y a las personas
- Aleje a las personas de las computadoras, los teléfonos y otros dispositivos, y no permita que nadie los toque, ni siquiera el propietario o un responsable de TI.
- Anote quién estaba presente, quién utiliza cada dispositivo y quién tuvo acceso a él antes de su llegada.
- Esté atento a los intentos de acercarse a un dispositivo, llamar a alguien que pueda eliminar datos de forma remota u ocultar objetos pequeños.
- Mantenga un registro de todas las personas que entran y salen del área.
- Cuando esté permitido, haga preguntas generales sobre dispositivos, cuentas y contraseñas (Lección 3.1).
Documente antes de tocar nada
Las fotografías y las notas preservan el lugar tal como se encontró, de modo que puedan responderse preguntas posteriores, como qué mostraba una pantalla. Trabaje de lo general a lo particular:
- Fotografías o video generales de la sala que muestren dónde se encuentra cada dispositivo.
- Cada dispositivo por delante y por detrás, incluidas las pantallas, los cables, los puertos y los periféricos conectados.
- La pantalla de cada dispositivo en funcionamiento, a una distancia que permita leerla.
- Cada cable, etiquetado en ambos extremos con el puerto al que estaba conectado, antes de desconectar nada.
- Un croquis sencillo que muestre las posiciones de los dispositivos y los números de identificación de evidencia que se les asignarán.
Registre la hora de cada paso a partir de una fuente horaria fiable y anote la hora que muestra cada dispositivo. La diferencia será importante más adelante, al analizar las marcas de tiempo (Módulo 6).
Dispositivos encendidos, apagados o en estados intermedios
El Módulo 1 explica por qué los dispositivos en funcionamiento y los apagados se tratan de forma distinta. En el lugar de los hechos, lo importante es la actuación práctica y su registro.
| Estado encontrado | Actuaciones prácticas | Qué registrar |
|---|---|---|
| Apagado | Déjelo apagado. No lo encienda para comprobar nada. | Que estaba apagado, así como cualquier luz o sonido |
| Encendido, con la pantalla visible | Fotografíe la pantalla. No explore el contenido. Decida con un especialista si es necesario capturar datos en vivo (Módulo 4). | Contenido de la pantalla, ventanas abiertas, indicios de cifrado, hora mostrada |
| Encendido, con la pantalla oscura | Algunos procedimientos permiten mover ligeramente el ratón, sin hacer clic, para activar la pantalla. | Exactamente qué hizo y qué apareció |
| Teléfono o tableta, encendido | Aíslelo de las redes y manténgalo encendido. No lo apague sin un motivo. | Estado de bloqueo, nivel de batería, notificaciones visibles, indicadores de red |
| Debe apagarse | En una computadora de escritorio, una práctica habitual es desconectar el cable de alimentación de la computadora en lugar de utilizar el comando de apagado. | La decisión, el motivo, el método y la hora |
Los teléfonos requieren especial cuidado: un teléfono que se apaga y vuelve a encenderse suele regresar a un estado en el que la mayoría de sus datos permanecen cifrados hasta que se introduce el código de acceso. En las computadoras portátiles cuya batería no puede extraerse, mantener pulsado el botón de encendido fuerza el apagado del sistema. Los servidores que ejecutan servicios empresariales constituyen un caso distinto (Lección 3.3).
Qué no hacer
- No explore archivos, lea mensajes, abra aplicaciones ni compruebe «solo una cosa». Cada acción modifica datos y marcas de tiempo.
- No conecte unidades USB ni otros dispositivos, salvo que sea un paso deliberado y documentado de una adquisición.
- No ejecute antivirus ni herramientas de limpieza. Pueden poner archivos en cuarentena o eliminarlos y modificar sus metadatos.
- No apague una computadora desde su menú sin considerar antes el cifrado y los datos volátiles.
- No permita que el propietario o un colega dispuesto a ayudar manejen el dispositivo por usted.
Aislamiento de los dispositivos de las redes
El aislamiento impide el acceso remoto, la sincronización y los comandos de borrado remoto. En la práctica:
- Conexiones por cable: fotografíe y etiquete el cable de red; después, desconéctelo del dispositivo y registre la hora.
- Teléfonos y tabletas: active el modo avión y confirme que Wi-Fi y Bluetooth también estén desactivados, porque en muchos teléfonos pueden permanecer activos en modo avión; o coloque el dispositivo en una bolsa con blindaje de RF (Lección 3.3). Registre cada interacción con el dispositivo.
- Dispositivos administrados por la organización: solicite al equipo de TI, a través de un contacto autorizado que no esté implicado en el asunto, que suspenda los comandos de bloqueo o borrado remoto de su sistema de administración de dispositivos.
- El router: apagarlo aísla todo a la vez, pero puede contener registros volátiles y listas de clientes (Lección 3.1), por lo que primero debe registrar o preservar lo necesario.
Registro de identificadores y estados
Para cada dispositivo, registre la marca, el modelo, el número de serie, cualquier etiqueta de inventario y, en el caso de los teléfonos, el IMEI (el identificador único del teléfono), que suele estar impreso en una etiqueta, en la bandeja de la SIM o en la caja. Añada su estado: encendido, apagado o en suspensión; bloqueado o desbloqueado; nivel de batería; si se está cargando o no; conexiones de red; y cualquier contenido que aparezca en la pantalla. Un formulario preimpreso ayuda a garantizar que no se omita nada y a mantener la uniformidad de los registros entre los miembros del equipo (Módulo 5).
Un caso práctico resuelto
Los investigadores de Northline Freight llegan a una de las oficinas de contabilidad de la empresa para recopilar evidencia sobre pagos a proveedores que han sido alterados. Un empleado está sentado en el escritorio desde el que se rastreó la actividad.
- El DEFR pide al empleado que se aleje del escritorio y anota quién más está en la sala.
- Se fotografían la sala, el escritorio y las pantallas. La computadora de escritorio está encendida con la aplicación de contabilidad abierta, hay una unidad USB en un puerto frontal y un teléfono sobre el escritorio.
- Se fotografía la pantalla sin tocar el ratón ni el teclado. El disco está cifrado, por lo que el DEFR llama al especialista, quien decide si se debe capturar la memoria antes de cortar la alimentación (Módulo 4).
- Se fotografía el teléfono, se aísla de las redes y se conecta a una batería externa.
- Se fotografía en su ubicación original una nota adhesiva bajo el teclado que parece mostrar una contraseña y se deja constancia de ella.
- Se fotografía un pequeño NAS situado en un armario y se etiquetan sus cables; el responsable de TI confirma que realiza copias de seguridad de las computadoras de la oficina.
- Los números de serie, los estados y las horas se anotan en el formulario del lugar de los hechos antes de embalar nada (Lección 3.3).
Enfoque del examen: Prepárese para explicar la función del primer interviniente en evidencia digital (DEFR) y en qué se diferencia de la del especialista en evidencia digital (DES) en ISO/IEC 27037. Prevea preguntas basadas en situaciones sobre el orden de las primeras actuaciones (seguridad, control de las personas, fotografías antes de tocar), qué hacer con los dispositivos encontrados encendidos o apagados, qué no hacer (explorar el contenido, conectar unidades USB, ejecutar antivirus, apagar sin evaluar las consecuencias), el aislamiento práctico de las redes y sus ventajas e inconvenientes, y qué identificadores y estados registrar.