incibe_toma_evidencias_analisis_forense

5 TOMA DE EVIDENCIASUno de los retos principales a la hora de realizar un análisis forense es tener bien claro el tipode incidente al que nos enfrentamos y a partir de él ver qué información es necesaria recopilary la manera de proceder. Si bien hay aspectos comunes, no es lo mismo realizar un análisisforense en un caso de malware que en un caso de fraude ya que los puntos donde debefocalizarse el investigador para localizar evidencias son distintos.Obviamente, puede que no sean necesarios algunos de los pasos que a continuación seindican como que no vaya a requerirse que las pruebas sean presentadas ante un tribunal porlo que la documentación no deba ser muy exhaustiva, no obstante es recomendable realizarel proceso desde un punto de vista profesional e íntegro y que sea lo más completo posible.Queda a juicio del lector determinar qué aspectos debe tener en cuenta, en función de lapropia situación que deba analizar, y que pautas debe seguir.El proceso de toma de evidencias se puede realizar mediante diferentes enfoques: utilizandometodologías basadas en software o metodologías basadas en hardware. Existen un grannúmero de dispositivos hardware diseñados expresamente para realizar este tipo de tareas yque tienen un muy alto grado de eficiencia, si bien la guía pretende ser de ayuda a la mayorcantidad de público posible por lo que se va a utilizar el enfoque basado en software, y comose ha indicado anteriormente software libre y gratuito con el fin de que dicha tarea no supongaun sobrecoste en lo que a licencias se refiere.5.1. CONSIDERACIONES PREVIASExisten una serie de consideraciones previas que se deben tener en cuenta antes decomenzar el proceso de toma de evidencias:• En primera instancia, no tocar el ordenador, dejarlo exactamente como está: ni abrirficheros, ni ejecutar programas, ni borrar carpetas, etc. En el caso de que esté encendido,no apagarlo y en el caso de que esté apagado, no encenderlo. Hay que tener presenteque existe gran cantidad de información volátil, es decir que desaparece al apagar elordenador por lo que hacerlo podría suponer la pérdida de información muy significativa.Del mismo modo, si está apagado el hecho de encenderlo podría suponer la modificaciónde fechas o la ocultación de ficheros en el caso de que haya un rootkit.• Establecer de manera global los pasos que se van a seguir con el fin de tener una guíaoperativa del proceso y que no se nos olvide ningún aspecto.• A partir del punto anterior, se debe concretar de manera detallada los pasos que se van aseguir. En este punto se tienen en cuenta diferentes aspectos como el tiempo estimadode duración del análisis, la urgencia del mismo o los recursos necesarios para llevarlo acabo.• Prever y minimizar los riesgos con el fin de que si se presenta algún problema no afectesignificativamente de manera negativa al proceso.• Valorar si la persona responsable de realizar el proceso tiene las habilidades yconocimientos necesarios para ello. En el caso de que se tengan dudas sobre la capacidadpara llevarlo a cabo es mejor consultar a alguien con experiencia y conocimientosToma de evidencias en entornos Windows 20