¿Qué es una imagen forense y cuándo la necesitamos?

Una imagen forense es una copia exacta y verificada de un disco o de la memoria de un ordenador, hecha para que los investigadores puedan examinarla sin alterar el original. Se obtiene con herramientas específicas, se marca con un hash como SHA-256 para que cualquier cambio posterior se pueda detectar y se guarda con un registro de quién la ha manipulado. La necesita cuando el incidente puede acabar en un litigio, una reclamación al seguro, una denuncia o preguntas de un regulador, y cuando quiere saber cómo entró el atacante antes de reconstruir la máquina. Las copias de seguridad corrientes no la sustituyen, porque omiten archivos borrados, la memoria y zonas del sistema. Si puede, encárguela a un especialista. La evidencia de red la complementa: NetSenX registra lo que cruzó la red, algo que la imagen de disco de una sola máquina no puede mostrar.

← Las 60 preguntas sobre Respuesta a incidentesTodos los temas