incibe_toma_evidencias_analisis_forense

contrastados con el fin de que asesore el proceso y que no se destruyan pruebasaccidentalmente.• Obtener una autorización por escrito de quien corresponda para poder llevar a cabo elanálisis y la recolección de evidencias. Este es un aspecto fundamental ya que puededarse el caso de que se trabaje con información confidencial o de vital importancia parauna empresa, o que la disponibilidad de los servicios se vea afectada por el trabajo deinvestigador forense. En cierto tipo de incidentes será necesario solicitar una autorizaciónjudicial con el fin de que asegurar la validez de las pruebas recogidas en un futuro juicio.• Solicitar las contraseñas necesarias para acceder a ficheros o volúmenes cifrados.• Tener preparado un kit lo más completo posible de utilidades siguiendo las pautas que seindican en el punto 4.4.• Preparar una lista de personas a las que se deba informar y mantener al tanto del proceso,incluyendo el nombre, email y cualquier otro tipo de información que pueda resultarrelevante.A modo de ejemplo se adjunta el modelo indicado en el «ANEXO 1 – Personas decontacto».Una vez valoradas todas las consideraciones previas que ayuden a tener claro el tipo deincidente al que nos enfrentamos y los pasos que se deben seguir para solucionarlo. Por loque comienza el proceso de recolección de evidencias.5.2. INICIO DEL PROCESOSe comienza etiquetando, inventariando y fotografiando todos los dispositivos que se van aanalizar: discos duros, pendrives, cámaras, etc. Incluso, dependiendo del tipo de incidente,puede ser necesario incluir routers, escáneres, impresoras, etc. Se debe anotar la marca,modelo, número de serie, tipo de conexión (USB, firewire, etc.) de todos ellos. Así mismo, sedeben tomar los datos de la persona responsable del equipo y del usuario o los usuarios quetrabajen en él, y cualquier otra información que se considere que puede resultar relevante. Lacadena de custodia es fundamental, ya que demuestra que las pruebas obtenidas no han sidomanipuladas, por lo que se debe ser especialmente meticuloso en este aspecto. Para ello esimprescindible documentar todas y cada una de las evidencias obtenidas.A modo de ejemplo se indica una plantilla disponible en el «ANEXO 2 – Cadena de custodiade evidencias».En el apartado de observaciones es importante justificar el motivo por el que se han recopiladodichas evidencias. El fin de esta tarea es facilitar el trabajo del analista en el caso de que nosea el propio investigador el que vaya a realizar dicho papel.Una vez etiquetados, inventariados y fotografiados todos los dispositivos se procede a larecopilación de las evidencias. De forma genérica se puede clasificar el tipo de información arecopilar en dos grandes grupos: información volátil e información no volátil. Así mismo, sepuede hablar de «live acquisition», que corresponde a la obtención de información en unsistema en funcionamiento, o «static acquisition», que corresponde a la obtención deinformación de un sistema que está apagado.Toma de evidencias en entornos Windows 21