TOMA DE EVIDENCIAS INFORMÁTICA FORENCE



1. CONSIDERACIONES PREVIAS
Existen una serie de consideraciones previas que se deben tener en cuenta antes de comenzar el proceso de toma de evidencias:
Primeramente, no tocar el computador,dejarlo exactamente como está: ni abrir ficheros, ni ejecutar programas, ni borrar carpetas, etc. En el caso de que esté encendido, no apagarlo y en el caso de que esté apagado, no encenderlo. Hay quetener presente que existe gran cantidad de información volátil, es decir que desaparece al apagar el ordenador por lo que hacerlo podría suponer la pérdida de información muy significativa. Del mismomodo, si está apagado el hecho de encenderlo podría suponer la modificación de fechas o la ocultación de ficheros en el caso de que haya un rootkit.

Establecer de manera global los pasos que se van aseguir con el fin de tener una guía operativa del proceso y que no se nos olvide ningún aspecto.

A partir del punto anterior, se debe concretar de manera detallada los pasos que se van a seguir. Eneste punto se tienen en cuenta diferentes aspectos como el tiempo estimado de duración del análisis, la urgencia del mismo o los recursos necesarios para llevarlo a cabo

Valorar si la personaresponsable de realizar el proceso tiene las habilidades y conocimientos necesarios para ello. En el caso de que se tengan dudas sobre la capacidad para llevarlo a cabo es mejor consultar a alguien conexperiencia y conocimientos contrastados con el fin de que asesore el proceso y que no se destruyan pruebas accidentalmente.

Obtener una autorización por escrito de quien corresponda para poderllevar a cabo el análisis y la recolección de evidencias. Este es un aspecto fundamental ya que puede darse el caso de que se trabaje con información confidencial o de vital importancia para una empresa,o que la disponibilidad de los servicios se vea afectada por el trabajo de investigador forense. En cierto tipo de incidentes será necesario solicitar una autorización judicial con el fin de que...