Preservar evidencias durante un incidente sin paralizar la respuesta

Durante un incidente, varias personas pueden bloquear cuentas, reiniciar equipos y cambiar configuraciones al mismo tiempo. Son acciones que quizá resulten necesarias, pero también modifican el estado que se intenta investigar. Sin un registro común, después es difícil distinguir lo que hizo el atacante de lo que hizo el equipo de respuesta. Preservar evidencias no significa detener toda actuación: significa tomar decisiones conscientes y dejar una trazabilidad suficiente.

Abrir una cronología desde el primer aviso

Registra la hora del hallazgo, quién lo comunicó y qué se observó directamente. Diferencia esos hechos de las hipótesis iniciales. Utiliza una referencia horaria consistente y anota desviaciones conocidas entre sistemas. Si una persona describe algo ocurrido antes, conserva tanto la hora estimada del hecho como la hora en que se recibió la información para evitar confusiones posteriores.

Asigna alguien a mantener la cronología y un identificador al caso. El registro debe incluir decisiones, acciones, responsables y resultados. No necesita una herramienta compleja para empezar, pero sí control de acceso y continuidad. Copiar conversaciones dispersas al final suele perder contexto; documentar mientras se trabaja permite revisar lo ocurrido y coordinar a quienes se incorporan durante otro turno.

Decidir qué puede perderse

Algunos datos desaparecen al reiniciar, terminar un proceso o expirar una retención. Otros pueden recuperarse más adelante desde registros centralizados o copias. NIST SP 800-86 ofrece un marco para integrar técnicas forenses en la respuesta. La decisión práctica consiste en identificar qué evidencia es relevante, cómo obtenerla de forma segura y qué impacto tendría retrasar una acción de contención.

No toda organización dispone de personal preparado para adquirir memoria o imágenes forenses. En esos casos, evita improvisar herramientas sobre sistemas críticos y solicita apoyo especializado según el procedimiento. Mientras tanto, conserva registros disponibles, identificadores, capturas pertinentes y detalles del estado observado. Reconocer los límites de la recogida ayuda a no presentar después una investigación parcial como si hubiera sido exhaustiva.

Coordinar preservación y contención

Si existe daño activo, puede ser necesario aislar un sistema antes de completar la recogida. Documenta el motivo, la hora y el método utilizado. La decisión debe considerar seguridad, continuidad y alcance del incidente. Mantener una máquina conectada únicamente para obtener más información puede ampliar el impacto; apagarla sin valorar alternativas puede destruir datos volátiles útiles. No hay una respuesta universal independiente del escenario.

• Identifica sistemas y fuentes relevantes, con su responsable y periodo disponible.
• Registra cada acción de respuesta y el cambio que produce en el entorno.
• Conserva originales de forma protegida y limita el trabajo analítico a copias cuando proceda.
• Anota herramientas, parámetros y resultados para que otra persona pueda revisar la adquisición.

Proteger integridad y acceso

Cuando se recogen archivos o exportaciones, calcula y registra valores de integridad con herramientas apropiadas. Estos valores ayudan a detectar cambios posteriores, pero no demuestran por sí solos que el contenido original fuera auténtico o completo. Conserva también procedencia, momento de recogida y persona responsable. El contexto de adquisición es tan importante como el archivo que se guarda.

Restringe accesos y registra transferencias entre personas o equipos. Las evidencias pueden contener información sensible, credenciales o datos personales. Evita enviarlas por canales improvisados o a servicios externos sin autorización. Si es necesaria una transferencia, utiliza el procedimiento aprobado y deja constancia del destinatario, la finalidad y la protección aplicada durante el intercambio.

Construir una explicación revisable

Ordena los hechos y señala qué relación está demostrada y cuál es una inferencia. Dos eventos cercanos en el tiempo no siempre pertenecen a la misma actividad. Relaciona cuentas, equipos, sesiones y procesos mediante identificadores cuando sea posible. Si faltan registros, indica qué preguntas no pueden resolverse y qué otras fuentes podrían reducir la incertidumbre.

Un ejemplo ficticio: se observa una cuenta nueva después de un acceso sospechoso, pero un administrador confirma que la creó durante la contención. Sin cronología, esa acción podría atribuirse al atacante. Documentar las intervenciones internas evita conclusiones erróneas y permite centrar la investigación en los cambios que siguen sin una explicación legítima.

Cerrar la investigación con límites claros

El informe final debería resumir hechos, impacto conocido, acciones y cuestiones pendientes. Distingue ausencia de evidencia de evidencia de ausencia. Define conservación y eliminación del material conforme a los requisitos aplicables y a la finalidad del caso. La mejora posterior puede ser tan concreta como ampliar una retención insuficiente o corregir un reloj. Preservar evidencias sirve para explicar mejor el incidente y para que la siguiente respuesta sea más coordinada y precisa.