incibe_toma_evidencias_analisis_forense

por ello que, como indica el RFC 3227, se deben tomar en primer lugar las evidencias volátilesy después las que no lo son. A continuación se indica la metodología que se debe seguir y seindican algunos ejemplos de incidentes donde puede resultar útil hacerlo, de modo que lapersona que lleve a cabo el proceso realizará los pasos que considere oportunos tomandocomo base la información facilitada.5.3.1. Hora y fecha del sistemaEn cuanto a la información volátil lo primero que se debe obtener es la fecha y hora del sistemapara poder establecer una línea temporal de recopilación de evidencias, duración del proceso,etc.Para ello, se puede escribir la siguiente instrucción desde una Shell segura del intérprete decomandos, pudiendo realizarlo mediante alguna utilidad como PowerShell o WMIC:date /t > FechaYHoraDeInicio.txt &time /t >> FechaYHoraDeInicio.txtSe debe comparar la fecha obtenida con el tiempo universal coordinado (UTC), estándar detiempo por el cual se regula la hora nivel mundial, para determinar si la fecha establecida enel sistema es correcta o no, y que desviación existe.También hay que tener presente que los sistemas FAT almacenan los valores de tiempo enbase al tiempo local del ordenador, mientras que los sistemas NTFS los almacenan en formatoUTC. Esto significa que mientras que los NTFS no se ven afectados por los cambios en lazona horaria o el horario de verano, los FAT tendrán distinto valor si se visualizan en unaregión u otra con diferente franja horaria, o en verano con respecto a invierno.Así mismo, una vez finalizado el proceso se deberá ejecutar la misma instrucción cambiandoel fichero de destino a FechaYHoraFin.txt.5.3.2. Volcado de memoriaEl volcado de memoria es uno de los aspectos más importantes y críticos de la fase deadquisición. Como se ha indicado anteriormente, en la memoria se almacenan evidenciassignificativas como las conexiones establecidas, los procesos en ejecución, contraseñas devolúmenes cifrados, etc. Realizar un correcto volcado de memoria puede suponer la diferenciaentre la resolución del incidente o no. Debido a ello se debe ser muy cuidadoso durante elproceso.A la hora de obtener la memoria se deben tener en cuenta 2 tipos de memoria: la memoriafísica y la memoria virtual. La memoria física corresponde a la memoria real del sistemamientras que la memoria virtual corresponde normalmente al fichero de paginaciónpagefile.sys. Como se ha indicado anteriormente la memoria virtual permite optimizar el usode la memoria RAM ya que el sistema operativo envía ahí temporalmente la información queno sea necesaria en ese momento para los procesos en ejecución y posteriormente larecupera en el caso de alguno se la solicite.Toma de evidencias en entornos Windows 23