Análisis forense digital (Digital forensics)
En trabajo de incidentes, el análisis forense digital es la recogida, la preservación y el análisis de evidencias de los sistemas afectados para reconstruir qué pasó, en qué orden y por parte de quién. Su disciplina no está en el análisis sino en la preservación: una evidencia de la que no se puede demostrar que está inalterada responde preguntas en una reunión técnica y en ningún otro sitio.
Cómo funciona
La recogida sigue el orden de volatilidad, y se lleva primero lo que antes desaparece. La memoria guarda procesos en marcha, código inyectado, conexiones de red y claves, y se pierde al apagar. Después el estado del sistema en vivo, después la imagen de disco, y después los registros que estén en otro sitio. La adquisición se hace de forma que no altere la fuente, y de cada pieza se calcula un hash en el momento de recogerla para que después se pueda demostrar que cualquier copia es idéntica.
La cadena de custodia deja constancia de quién tuvo cada pieza y cuándo. El análisis construye entonces una línea de tiempo con los metadatos del sistema de ficheros, los registros de eventos, los artefactos de aplicación, el historial de navegador y de consola, las tareas programadas y el estado del registro o de la configuración, y los correlaciona con la telemetría de red para responder a las preguntas que importan: dónde empezó la intrusión, qué identidad se usó, a qué se llegó y qué salió.
Qué sale mal
La evidencia suele destruirla la respuesta, no el atacante. Reinstalar el equipo afectado es la forma más rápida de recuperar el servicio y borra el único registro de cómo empezó la intrusión, lo que significa que la misma ruta sigue abierta la semana siguiente. Reiniciar para quitarse un problema de encima tira la memoria. Entrar a investigar con una cuenta de administrador de dominio deja credenciales privilegiadas frescas en una máquina que controla el atacante.
El segundo problema es la retención. La reconstrucción está limitada por el registro más antiguo que todavía conservas, y las intrusiones son por rutina más viejas que la ventana de retención de los sistemas que las registraron. Si la herramienta del endpoint guarda quince días y la intrusión empezó hace tres meses, la línea de tiempo arranca por la mitad. Un atacante que use un rootkit u opere enteramente con binarios firmados del sistema deja poca cosa que parezca anómala, así que el registro que guardaste es el caso entero.
Dónde aparece esto en una auditoría
Somos una práctica ofensiva, así que nuestra aportación es la otra mitad: sabemos exactamente qué hicimos, en qué orden y a qué hora. Después de un ejercicio de red team entregamos la línea de tiempo de nuestras propias acciones y la comparamos con lo que el cliente ha podido reconstruir, y la diferencia entre las dos es el hallazgo. Esa comparación le dice a un cliente más sobre su preparación que cualquier ejercicio de mesa, porque está medida contra actividad real sobre equipos reales, y alimenta directamente la preparación de la respuesta a incidentes.