Fundamentos de forense digital

La forense es la disciplina de la evidencia: recolectarla de modo que no pueda ser disputada, analizar copias en lugar de originales y documentar cada paso para que otro examinador llegue al mismo resultado.

Volatility 3Autopsy / The Sleuth KitKAPEFTK Imager / dc3ddPlaso / Timesketchhash tools (sha256sum)

Principios

Preservar: cambia lo menos posible y demuestra la integridad con hashes criptográficos calculados en la recolección.
Trabajar con copias: adquiere una imagen forense y analiza la imagen, nunca el original.
: recolecta primero la evidencia más frágil. Memoria, luego procesos en ejecución y conexiones de red, luego archivos temporales, luego disco, luego logs y respaldos.
: un registro escrito de quién tuvo la evidencia, cuándo y qué se hizo con ella. Es lo que hace creíble la evidencia en una disputa.
Documenta todo: comandos, horas (en UTC), herramientas y versiones, y tu razonamiento.
Legal y privacidad: ten autoridad para recolectar y maneja los datos personales como exigen la ley y la política. Involucra a asesoría jurídica cuando un caso pueda llegar a juicio.

Adquisición de evidencia

Usa un bloqueador de escritura, de hardware o software, para medios físicos, captura la memoria antes de apagar un sistema y calcula el hash del resultado. Los comandos de abajo son el patrón estándar; los casos reales suelen usar herramientas de adquisición dedicadas.

acquire-disk.shbash

# crea la imagen de un disco en solo lectura (usa un bloqueador de escritura en medios físicos)
sudo dd if=/dev/sdb of=case42/evidence01.img bs=4M conv=noerror,sync status=progress

# demuestra la integridad: registra el hash en la recolección y reverifica después
sha256sum case42/evidence01.img | tee case42/evidence01.img.sha256
sha256sum -c case42/evidence01.img.sha256

# haz una copia de trabajo y analiza esa, nunca la imagen original
cp case42/evidence01.img case42/work01.img

chain-of-custody.txttext

Caso: INC-2026-0142    Ítem: evidence01.img (disco de web-prod-03)
SHA-256: <hash registrado en la adquisición>

2026-10-13 15:10Z  recolectado por A. Silva, con bloqueo de escritura, dc3dd v7.2
2026-10-13 16:00Z  transferido a la bóveda de evidencia, bolsa sellada #118 (A. Silva -> M. Souza)
2026-10-14 09:05Z  retirado para análisis (M. Souza), hash reverificado OK
2026-10-14 17:30Z  devuelto a la bóveda, hash reverificado OK

Qué examinar

Memoria: procesos en ejecución y ocultos, conexiones de red, módulos cargados y código inyectado, credenciales en memoria.
Disco: línea de tiempo del sistema de archivos, archivos eliminados, programas ejecutados recientemente, ubicaciones de persistencia (elementos de inicio, tareas programadas, servicios).
Artefactos de Windows: logs de eventos, hives del registro, prefetch, amcache y shimcache, historial del navegador.
Artefactos de Linux: historial del shell, logs de autenticación y del sistema, tareas cron, claves SSH, binarios modificados.
Nube y SaaS: logs de auditoría y estado de configuración; la evidencia suele estar en los logs del proveedor, no en un disco.

memory-analysis.sh (Volatility 3)bash

vol -f mem.raw windows.pslist          # procesos en ejecución
vol -f mem.raw windows.pstree          # relaciones de padre e hijo
vol -f mem.raw windows.cmdline         # líneas de comandos
vol -f mem.raw windows.netscan         # conexiones de red y listeners
vol -f mem.raw windows.malfind         # regiones de memoria que parecen código inyectado

Informe

Un informe forense indica qué se examinó, cómo, qué se encontró y qué significa, separando la observación de la interpretación. Escríbelo de modo que un lector que no estuvo allí pueda seguir el razonamiento y reproducirlo. Declara los límites con honestidad: lo que no pudiste determinar y por qué.

Orden de volatilidadEl principio de recolectar primero la evidencia más frágil: la memoria, luego procesos y conexiones, luego archivos temporales, luego disco y logs.ver en el glosario →Cadena de custodiachain of custodyRegistro de quién recolectó, guardó y manipuló cada evidencia digital, y cuándo. Sin ella, la prueba pierde valor para auditorías y para una eventual disputa legal.ver en el glosario →

conexiones en el mapa

Triaje, acotamiento del alcance y contenciónpreserva evidencia paraFundamentos de forense digital
Fundamentos de forense digitalentrega muestras aFundamentos de análisis de malware

actualizado el 14/10/2026 · fuentes para profundizar · reportar un error

en otros dominios

Logging & detection - señales y alertascloudsecla evidencia de la nube vive en los logs de auditoría