Forense de red

Por regla general, sí. Las capturas completas casi nunca están disponibles, así que una investigación se apoya de todos modos sobre todo en registros de flujo, DNS, proxy y cortafuegos. A partir de ellos suele poder reconstruirse la secuencia de los hechos con fiabilidad. Lo que falta es el contenido de las conexiones, no las conexiones en sí.

A menudo sí, y suele ser la pregunta decisiva. Los datos de flujo muestran cuánto fue en qué dirección; el DNS y el proxy muestran hacia dónde. Lo que normalmente queda abierto sin una captura completa es el contenido exacto. En el informe escribimos qué está acreditado y qué no: presentar una presunción como hallazgo no le sirve de nada para la notificación.

En la práctica pasan de semanas a meses entre el acceso inicial y el descubrimiento. Unos registros que se sobrescriben a las dos semanas ya no cubren el inicio del incidente. Recomendamos una conservación bastante más larga; el plazo exacto lo fijamos frente a sus requisitos de protección de datos.

Una línea temporal se construye poniendo unos junto a otros los eventos de distintas fuentes. Si los relojes difieren en minutos, el orden se desplaza, y con él la afirmación sobre qué fue causa y qué efecto. Ante un tribunal, una línea temporal así es atacable. La sincronización horaria no cuesta nada y decide a posteriori si la prueba aguanta.

No. Trabajamos sobre copias de los registros, no sobre los sistemas. Allí donde hay que montar una captura, se hace mediante un puerto espejo o una derivación pasiva: el tráfico sigue igual.