AUDITORÍAS / Informática forense
Análisis forense informático y de evidencia digitalReconstruir actividad a partir de lo que conserva la evidencia.
Una incidencia o una pregunta sobre el uso de un equipo necesita algo más que una impresión. Analizamos evidencia digital disponible para relacionar registros, reconstruir actividad y documentar qué conclusiones puede sostener el material estudiado.
EL DIAGNÓSTICO, PASO A PASO
- 01Preservación
- 02Análisis y correlación
- 03Informe y límites
Observación → Evidencia → Prioridad
- Pregunta
- Necesito reconstruir qué ocurrió en un sistema
- Trabajo
- Revisión con alcance definido
- Entregable
- Informe y prioridades
- Equipo
- dev2bit · Puerto Real, Cádiz
Definir la pregunta y el material disponible
Acordamos qué se necesita esclarecer y qué soportes, copias o registros pueden aportar información. El alcance identifica origen, fechas, accesos autorizados y condiciones de recepción. Una pregunta concreta permite orientar el análisis sin atribuir al material más cobertura de la que tiene.
Una copia de seguridad, una imagen de disco y unos archivos exportados conservan información diferente. Antes de interpretar actividad describimos qué se recibió y qué limitaciones introduce su forma de obtención.
Preservar y documentar el trabajo
Registramos el material recibido y las operaciones realizadas sobre las copias de análisis. Las huellas digitales y el trabajo en modo de solo lectura, cuando proceden, ayudan a comprobar integridad y a evitar modificaciones involuntarias del material estudiado.
La documentación conserva herramientas, versiones, fechas y procedimientos relevantes. La trazabilidad permite entender de dónde procede cada observación y revisar el camino entre el soporte y la conclusión.
Relacionar artefactos en su contexto
Según el material y la pregunta, pueden estudiarse eventos del sistema, perfiles, navegación, archivos recientes, conexiones o uso de dispositivos. Una marca temporal necesita interpretarse con su zona horaria, su origen y las condiciones en que fue generada.
Contrastamos fuentes y explicamos contradicciones o vacíos. Un registro puede acreditar una actividad técnica sin identificar por sí solo a la persona que la realizó. La ausencia de un artefacto tampoco demuestra automáticamente que una acción no ocurrió.
Exponer conclusiones que puedan examinarse
El entregable recoge objetivo, material, procedimiento, observaciones y conclusiones, con anexos o referencias a los artefactos relevantes. Separamos los hechos observados de las inferencias y de las cuestiones que quedan abiertas.
La recuperación del servicio tras un incidente es una actuación distinta. Si el informe tiene un uso pericial o requiere ratificación, ese encargo y sus condiciones deben acordarse específicamente; no se presupone por contratar un análisis técnico.
UN INFORME PARA PODER ACTUAR
Del problema a una comprobación concreta.
| Necesidad | Revisión | Evidencia o entregable |
|---|---|---|
| Hay que explicar una actividad | Pregunta y fuentes disponibles | Alcance y limitaciones del material |
| Importa conservar la evidencia | Preservación y trazabilidad | Operaciones documentadas |
| Los registros parecen contradictorios | Correlación e interpretación | Hechos, inferencias y cuestiones abiertas |
Alcance y fecha de revisión, información utilizada, hallazgos, límites y recomendaciones. Cada prioridad debe explicar qué afecta, qué se ha observado y qué falta para darla por resuelta.
Referencia técnica: NIST SP 800-86, análisis forense en respuesta a incidentes. La propuesta especifica las comprobaciones incluidas.
EXPERIENCIA DOCUMENTADA
Proyectos que dan contexto a la revisión.
Análisis forense de una copia de disco
El caso documenta un trabajo de 2024 para José Guillén: huella SHA-256, montaje de solo lectura, uso de Autopsy y correlación de artefactos, con informe y límites de interpretación.
Conocer el caso y su alcance →
José Guillén: análisis dentro de una colaboración
Las auditorías e informes técnicos forman parte de una colaboración prolongada. La presentación pública conserva el contexto del trabajo sin exponer material personal de los análisis.
Conocer el caso y su alcance →PARA DEFINIR EL ENCARGO
Preguntas antes de empezar.
¿Podéis garantizar que se recuperará toda la información?
No. La información disponible depende del soporte, su estado y los cambios posteriores. El análisis determina qué puede examinarse y qué límites tiene la reconstrucción.
¿El informe identifica automáticamente a una persona?
Los artefactos describen actividad técnica y deben interpretarse con contexto. Relacionar una cuenta o un equipo con una persona requiere evidencia suficiente; no se atribuye autoría por una única señal.
¿Es lo mismo que resolver un incidente de seguridad?
El análisis forense investiga y documenta evidencias. La contención, recuperación y mejora de controles son actuaciones distintas que pueden coordinarse, preservando el material relevante.
DESPUÉS DEL DIAGNÓSTICO
Cada fase tiene su propio alcance.
Esta especialidad investiga actividad y evidencia conservada. La revisión preventiva de controles corresponde a auditoría de ciberseguridad, y la recuperación operativa se coordina con Sistemas.
UNA PREGUNTA CONCRETA ES UN BUEN COMIENZO
¿Qué necesitas entender de tu proyecto?
Cuéntanos qué ocurre, desde cuándo y qué decisión necesitas tomar. Definiremos los sistemas que revisar, la información necesaria y el entregable de la auditoría.