Forense Digital y Cadena de Custodia

No contaminar la evidencia

Toda acción sobre el sistema original altera potencialmente la evidencia. Por eso se trabaja siempre sobre copias.

Orden de volatilidad

Recoger primero los datos más volátiles: RAM > conexiones de red > procesos activos > disco. La RAM desaparece al apagar.

Integridad (hash)

Verificar que la copia es bit-a-bit idéntica al original mediante hashes MD5+SHA-256.

Cadena de custodia

Documentar quién ha tenido acceso a cada evidencia, cuándo y por qué. Sin cadena, la evidencia puede ser impugnable.

Windows Registry (Run keys)

HKCU/HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Persistencia de malware. Clave Run ejecuta binarios al inicio de sesión. Analizar con RegRipper o Regipy.

Prefetch Files

C:\Windows\Prefetch\*.pf

Windows guarda info de los últimos 128 ejecutables. Permite saber qué programas se ejecutaron y cuándo, incluso si fueron borrados.

Windows Event Logs

C:\Windows\System32\winevt\Logs\*.evtx

Security.evtx (logons 4624/4625), System.evtx, Application.evtx. Herramientas: Chainsaw, Hayabusa para análisis rápido.

NTFS $MFT (Master File Table)

Raíz del volumen NTFS

Metadatos de todos los ficheros: timestamps (created, modified, accessed, MFT changed), inode, permisos. Detectar timestomping.

Browser Artifacts

AppData\Local\{Browser}

Historial de navegación, cookies, caché de descarga. Útil para investigar descarga de malware o exfiltración via web.

Shellbags

NTUSER.DAT (registry)

Ventanas de explorador que el usuario abrió. Persiste incluso tras borrar ficheros. Prueba de que el usuario accedió a ciertos directorios.