Cuando una empresa detecta un incidente de seguridad, la reacción natural es querer arreglarlo cuanto antes: reiniciar el servidor, cambiar la contraseña, cerrar el agujero. El problema es que esa misma prisa suele destruir la evidencia que explicaría qué pasó realmente.
Y sin esa evidencia, es imposible saber si el atacante sigue dentro, qué se llevó, o si el mismo fallo va a volver a explotarse la semana que viene.
Los logs de un servidor suelen rotar y sobrescribirse en horas o días. La memoria RAM se pierde al apagar el equipo. Un simple reinicio puede borrar exactamente el rastro que hacía falta para entender el ataque.
Qué evidencia desaparece más rápido
No toda la evidencia digital tiene la misma "vida útil". Algunas fuentes se pierden en minutos, otras aguantan semanas. Saber esto ayuda a priorizar qué preservar primero:
- Memoria RAM y procesos en ejecución. Desaparecen al apagar el equipo — y ahí suele estar la evidencia de malware activo o conexiones del atacante.
- Logs de firewall y acceso. Muchos sistemas rotan estos registros automáticamente cada pocos días.
- Sesiones y tokens activos. Cambian constantemente; sin capturarlos a tiempo, se pierde el rastro de qué cuentas estuvieron comprometidas.
- Metadatos de archivos. Se pueden alterar sin querer con una simple copia mal hecha si no se usa una herramienta forense adecuada.
Cómo se preserva evidencia correctamente
Cuando se hace un análisis forense serio, el proceso sigue una metodología pensada para que la evidencia se mantenga íntegra y verificable en cada paso — no solo para el informe interno, sino por si en algún momento hace falta demostrar exactamente qué pasó.
Aislamiento y registro inicial
Se documenta el estado del sistema en el momento de la detección: fecha, hora y condición, sin apagar ni modificar nada todavía.
Adquisición forense
Se crea una copia exacta bit a bit de disco y, si es posible, de memoria RAM, con verificación criptográfica (hash) de que la copia es idéntica al original.
Análisis técnico
Extracción y análisis con herramientas forenses reconocidas (Volatility para memoria, Autopsy para disco). Los timestamps y metadatos son difíciles de manipular sin dejar rastro.
Informe con línea de tiempo
Reconstrucción de qué pasó, en qué orden y con qué alcance, con conclusiones claras y accionables para cerrar el incidente.
Situaciones donde esto importa especialmente
Cuenta o sistema comprometido
Entender cómo entraron y qué hicieron dentro, antes de que los logs desaparezcan.
Posible robo de información
Determinar qué datos se vieron expuestos y desde cuándo, para poder evaluar el impacto real.
Sistema infectado
Identificar el tipo de malware, su comportamiento y si se ha movido a otros equipos de la red.
Sospecha de mal uso de sistemas corporativos
Análisis técnico del dispositivo de empresa para entender qué ocurrió realmente.
El error más caro: esperar demasiado
Hay una ventana de tiempo para actuar. Los logs se sobrescriben, las sesiones caducan, los dispositivos se reutilizan. Una vez que la evidencia desaparece, ya no hay forma de recuperar lo que no existe.
La regla práctica: en cuanto se detecta algo raro, aislar sin apagar y preservar lo que se pueda antes de intentar arreglarlo. La consulta inicial es gratuita y en 30 minutos se puede valorar qué hay recuperable y qué no.
Consulta gratuita de viabilidad
Cuéntame la situación en 5 minutos. Te digo qué evidencia se puede preservar y cómo.
Escribir ahora →