Forense en la nube

Dos cosas, de inmediato: subir el registro al nivel más alto disponible y empezar a exportar los registros que ya tienen. Ninguna de las dos cuesta nada y ninguna puede hacerse a posteriori. No borren nada, no cambien reglas y no desactiven a la ligera la cuenta sospechosa: una cuenta desactivada avisa al atacante antes de que ustedes sepan qué hizo.

Sí, pero sobre una base más estrecha. Parte de los registros más reveladores está ligada a los niveles altos y no puede generarse a posteriori. Le decimos desde el principio a qué preguntas puede responder su alcance de licencia y cuáles quedan abiertas, en lugar de venderle un hueco como resultado al final.

De la plataforma, sí. De su configuración, sus permisos y sus identidades, no. Prácticamente todos los incidentes que investigamos nacen en su lado de esa frontera, normalmente por una cuenta tomada. El proveedor aporta los registros; la valoración le corresponde a usted.

Lo que es accesible por las interfaces habituales lo recogemos nosotros mismos. Las solicitudes al proveedor más allá de eso llevan tiempo y no siempre prosperan. Por eso planificamos la investigación para que funcione con los datos a los que usted mismo puede llegar.

No hay soporte de almacenamiento del que hacer imagen ni memoria que capturar. En su lugar hay registros que pertenecen a otro y desaparecen según el calendario de otro. Por eso el orden se invierte: primero asegurar, después preguntar qué conviene investigar.