Incautación, embalaje y transporte

Una vez asegurado y documentado el lugar de los hechos, los elementos se ponen bajo custodia o sus datos se copian en el lugar. En ambos casos, la evidencia debe llegar al laboratorio en el estado en que se encontró, y cualquier persona debe poder comprobar que no se ha abierto ni sustituido durante el trayecto. La forma de realizar las copias se trata en el Módulo 4, y la forma de registrar las transferencias, en el Módulo 5.

Incautar el elemento o copiar los datos

Poner un dispositivo bajo custodia proporciona al examinador el original, tiempo y un entorno controlado. Copiar en el lugar, lo que constituye una adquisición (Módulo 4), a veces es la única opción y, en otras ocasiones, la mejor.

• Incautar cuando el dispositivo sea portátil, la autorización lo permita, el examen vaya a llevar tiempo o el propio dispositivo sea relevante, por ejemplo, para examinar el hardware de un teléfono o demostrar quién lo tenía en su poder.
• Copiar en el lugar cuando el sistema no pueda retirarse ni detenerse, como un servidor empresarial o una matriz de almacenamiento; cuando los datos estén cifrados y solo puedan leerse mientras el sistema esté en funcionamiento; cuando llevarse el hardware resulte desproporcionado (Módulo 2); o cuando los datos se encuentren en un servicio en la nube.

Algunos casos requieren ambas medidas: una copia en vivo de la memoria y de un volumen desbloqueado, seguida de la incautación del dispositivo.

Etiquetado e identificación

Cada elemento recibe un número de evidencia único que lo acompaña en todos los registros e informes. Muchas organizaciones combinan la referencia del caso, las iniciales de quien lo recoge y un número secuencial. Las partes que pueden separarse, como una computadora portátil, su cargador y una tarjeta de memoria encontrada en su interior, reciben cada una su propio número y se registran como relacionadas.

• Fotografíe cada elemento con su etiqueta visible antes de embalarlo.
• Coloque las etiquetas en el embalaje o utilice etiquetas atadas, y no cubra los números de serie, los puertos ni los tornillos del propio dispositivo.
• Anote en la lista de evidencias el número de evidencia, una descripción, dónde se encontró, la fecha y la hora, y quién lo incautó.

Embalaje

El embalaje protege los elementos de los daños físicos, la electricidad estática, las señales de radio y la manipulación indebida.

• Las bolsas antiestáticas protegen las unidades sin carcasa, los módulos de memoria y las placas de circuitos de las descargas electrostáticas, que pueden dañar los componentes. Las bolsas de plástico comunes pueden acumular electricidad estática y se evitan para los componentes electrónicos sin carcasa.
• Las cajas rígidas con acolchado protegen contra el aplastamiento y los golpes. Las unidades de disco duro, que tienen piezas móviles, son especialmente sensibles a los impactos.
• Las bolsas o los sobres de papel son adecuados para elementos que puedan estar húmedos, porque el plástico sellado puede retener la humedad.
• Las bolsas de Faraday (bolsas de blindaje de RF) bloquean las señales de telefonía móvil, Wi-Fi y Bluetooth que entran y salen de teléfonos, tabletas y dispositivos vestibles.

Bolsas de Faraday y descarga de la batería

Un teléfono dentro de una bolsa de blindaje sigue buscando una red, lo que suele agotar su batería más rápido de lo normal. Si la batería se agota, el teléfono se apaga y, cuando vuelve a encenderse, gran parte de sus datos puede permanecer cifrada hasta que se introduzca el código de acceso. Mantenga cargados los teléfonos aislados, con una batería externa dentro de la bolsa o con una bolsa que tenga un puerto de carga blindado; un cable de carga que pase por la abertura de la bolsa puede introducir señales y anular el blindaje. Abra la bolsa solo dentro de una caja o sala blindada; de lo contrario, el teléfono volverá a conectarse. Compruebe las bolsas periódicamente, por ejemplo, llamando a un teléfono de prueba colocado en su interior.

Sellado

Cada paquete se cierra con cinta de seguridad que evidencia cualquier manipulación, y la persona que lo sella firma y escribe la fecha atravesando el sello, de modo que la firma abarque tanto la cinta como el paquete. Cualquier intento posterior de abrirlo rasga la cinta o interrumpe el trazo de la firma. Cuando un examinador abre el paquete más adelante, lo corta por un punto alejado del sello original, registra la apertura y vuelve a sellarlo con cinta nueva y una nueva firma, de modo que todo el historial permanezca visible.

Cables, cargadores y adaptadores de corriente

Incaute los cargadores y adaptadores de corriente que pertenezcan a los dispositivos incautados. Los teléfonos y las computadoras portátiles pueden utilizar conectores propietarios, y un teléfono guardado en una bolsa de blindaje necesitará alimentación en pocas horas. Las unidades externas y los dispositivos NAS pueden necesitar su propia fuente de alimentación para poder leerse, y es posible que más adelante se necesiten estaciones de acoplamiento, cables especiales y llaves de seguridad de hardware para acceder a los datos. Cada accesorio recibe su propio número de evidencia, vinculado al dispositivo al que pertenece.

Transporte

• Mantenga los elementos alejados del calor, como el de un automóvil estacionado al sol, y del frío que pueda provocar condensación al llevarlos al interior.
• Manténgalos alejados de imanes potentes, como los de los altavoces grandes, que pueden dañar los medios magnéticos.
• Protéjalos de la humedad, las vibraciones y los golpes, y sujete las cajas para que no puedan deslizarse ni caerse.
• No deje la evidencia sin vigilancia en un vehículo; llévela directamente a un lugar de almacenamiento seguro.
• Registre cada transferencia entre personas o lugares, con fecha, hora y firmas, en el registro de cadena de custodia (Módulo 5).

Un servidor de un centro de datos frente a una computadora portátil personal

Dos incautaciones en el mismo caso muestran el contraste. En el domicilio del sospechoso, la computadora portátil personal está apagada. El equipo la fotografía, la etiqueta junto con su cargador, la embala en una caja acolchada, la sella y se la lleva.

En la empresa donde trabaja el sospechoso, los datos pertinentes se encuentran en una máquina virtual de un centro de datos, en una matriz de almacenamiento compartida por decenas de sistemas que deben seguir funcionando. Llevarse el hardware no es posible ni proporcionado. En su lugar, con la ayuda de los administradores de sistemas y dentro del alcance acordado, un especialista adquiere en el lugar los archivos de disco de la máquina virtual y los registros pertinentes (Módulo 4), registra los valores hash de cada copia, anota quién hizo qué en cada paso y documenta la configuración: plataforma de virtualización, distribución del almacenamiento y ajustes de hora. Si alguna vez es necesario retirar discos físicos de una matriz RAID, se etiquetan sus posiciones en las ranuras, porque es posible que la matriz no pueda reconstruirse correctamente sin ese orden. Después se embalan y transportan las copias, no el servidor.

Embalaje según el tipo de dispositivo

Enfoque del examen: Muchas preguntas parten de una decisión: incautar el elemento o copiar los datos en el lugar. Además, sepa cómo se asignan los números de evidencia y las etiquetas, y qué embalaje es adecuado para cada dispositivo: bolsas antiestáticas para las unidades, cajas rígidas acolchadas, papel para los elementos húmedos y bolsas de Faraday para los teléfonos. Prevea preguntas sobre el efecto secundario de descarga de la batería de las bolsas de Faraday y cómo mantener los teléfonos cargados sin comprometer el blindaje, sobre la firma que atraviesa los sellos de seguridad que evidencian cualquier manipulación, sobre los riesgos del transporte (calor, imanes, humedad, golpes, vehículos sin vigilancia) y sobre los servidores cuyos datos se adquieren en el lugar en vez de incautarlos.