# ¿Qué es una imagen forense y cuándo la necesitamos?

Una imagen forense es una copia exacta y verificada de un disco o de la memoria de un ordenador, hecha para que los investigadores puedan examinarla sin alterar el original. Se obtiene con herramientas específicas, se marca con un hash como SHA-256 para que cualquier cambio posterior se pueda detectar y se guarda con un registro de quién la ha manipulado. La necesita cuando el incidente puede acabar en un litigio, una reclamación al seguro, una denuncia o preguntas de un regulador, y cuando quiere saber cómo entró el atacante antes de reconstruir la máquina. Las copias de seguridad corrientes no la sustituyen, porque omiten archivos borrados, la memoria y zonas del sistema. Si puede, encárguela a un especialista. La evidencia de red la complementa: NetSenX registra lo que cruzó la red, algo que la imagen de disco de una sola máquina no puede mostrar.

FAQ: [Respuesta a incidentes](https://netsenx.com/es/faq/incident) · https://netsenx.com/es/faq/what-is-a-forensic-image

## Siga leyendo

- https://netsenx.com/es/detect-ransomware-on-the-network
- https://netsenx.com/es/nis2-incident-reporting-deadlines

## Preguntas relacionadas

- [¿Qué es la cadena de custodia de las pruebas digitales?](https://netsenx.com/es/faq/what-is-chain-of-custody-for-digital-evidence)
- [¿Cómo conservamos los registros antes de que se sobrescriban?](https://netsenx.com/es/faq/how-to-preserve-logs-before-they-are-overwritten)
- [¿Qué significa la erradicación en la respuesta a incidentes?](https://netsenx.com/es/faq/what-does-eradication-mean-in-incident-response)
- [¿Cómo restablecemos las contraseñas de forma segura después de una brecha?](https://netsenx.com/es/faq/how-to-reset-passwords-safely-after-a-breach)
- [¿Cómo sabemos que el atacante se ha ido de verdad?](https://netsenx.com/es/faq/how-do-we-know-the-attacker-is-really-gone)