incibe_toma_evidencias_analisis_forense

6 RESUMENComo se ha indicado al principio del documento, el concepto de análisis forense digital hacereferencia al conjunto de procedimientos de recopilación y análisis de evidencias que serealizan con el fin de responder a un incidente relacionado con la seguridad informática y que,en algunas ocasiones, pueden servir como pruebas ante un tribunal. Mediante esteprocedimiento se pretende responder a las siguientes preguntas: ¿qué?, ¿dónde?, ¿cuándo?,¿por qué?, ¿quién? y ¿cómo?Esta ciencia está adquiriendo un papel muy importante en los últimos años ya que cada díaes más habitual tener que hacer frente a diferentes incidentes relacionados con la seguridadinformática como por ejemplo: intrusiones, robos de información, infecciones, etc., y es porello que su uso se está extendiendo por muy diversos campos.Existen diferentes metodologías que se pueden seguir para realizar dicho proceso, si bientodas ellas se basan en aspectos bastante similares y tienen pautas y fases comunes. Unade las más destacadas, como se ha descrito y detallado en el documento, es el RFC3227.Entre los más aspectos más importantes que se deben tener en cuenta, y sobre el que haceun especial énfasis el RFC3227, es el orden de volatilidad de las evidencias, indicando quese deben recopilar en primer lugar aquellas que vayan a estar disponibles durante el menorperíodo de tiempoDe forma genérica se obtienen el volcado de memoria y el volcado de disco, y a partir de ahíse trabaja sobre diferentes copias para obtener el resto de evidencias. Sin embargo, a la horade realizar el proceso, es muy importante tener bien claro el tipo de incidente al que nosenfrentamos y a partir de él ver qué información es necesaria recopilar y la manera deproceder.Finalmente, indicar que todo el proceso debe realizarse de manera muy rigurosa y meticulosacon el fin de mantener la integridad y validez del mismo.Toma de evidencias en entornos Windows 68