El análisis forense de equipos informáticos —ordenadores de sobremesa, portátiles, estaciones de trabajo— es una de las peticiones más habituales que recibimos, tanto en procedimientos judiciales como en investigaciones internas de empresas. Nuestro procedimiento sigue siempre el mismo esquema: extracción rápida y certificada ante notario, y análisis exhaustivo con herramientas forenses especializadas, centrado en obtener exactamente la certificación que el cliente necesita.
La extracción, siempre ante notario
Como en cualquier evidencia digital que vaya a usarse como prueba, la extracción del contenido del equipo se realiza en presencia de un fedatario público, que certifica el proceso completo y garantiza la cadena de custodia desde el primer instante. Para esa fase contamos con equipos de clonado forense especializados, pensados para completar la extracción del disco y, cuando resulta necesario, de la memoria RAM del equipo en el menor tiempo posible, sin comprometer en ningún momento la integridad de los datos obtenidos.
Por qué la velocidad de extracción importa
Minimizar el tiempo que dura la extracción no es solo una cuestión de comodidad: en un entorno empresarial, un equipo intervenido para extracción suele ser un equipo que su usuario habitual deja de poder utilizar durante ese tiempo, así que reducir esa ventana al mínimo limita el impacto en la actividad diaria del cliente. Además, cuando hay que extraer varios equipos en una misma cita notarial, la rapidez del proceso en cada uno de ellos determina cuántos se pueden completar con las mismas garantías dentro de una sola sesión.
El análisis con OSForensics
Una vez obtenida la copia forense certificada, el análisis se realiza con OSForensics, una plataforma especializada en análisis forense digital que permite examinar en profundidad tanto el sistema de archivos del equipo —incluyendo archivos borrados, historial de navegación, metadatos y actividad reciente— como, cuando el caso lo requiere, la memoria RAM capturada en el momento de la extracción.
El análisis de memoria merece una mención aparte: hay información que solo existe mientras el equipo está encendido y desaparece al apagarlo, sin dejar rastro en el disco. Procesos en ejecución en el momento de la extracción, conexiones de red activas, contraseñas o claves de cifrado que un programa mantiene temporalmente en memoria, o la actividad de programas de mensajería que no siempre guardan una copia persistente en disco, son ejemplos de evidencia que únicamente se puede recuperar analizando la memoria capturada en ese instante concreto. Por eso, en los casos donde resulta relevante, la extracción de memoria RAM se realiza en el mismo momento que la del disco, ante el propio notario.
Certificar exactamente lo que pide el cliente
Un equipo informático puede contener una cantidad enorme de información, la mayor parte de ella sin ninguna relación con el objeto del encargo. Por eso el análisis se acota siempre al alcance concreto que solicita el cliente y que resulta necesario para el caso: no se trata de revisar todo el contenido del equipo sin criterio, sino de dirigir el análisis específicamente a certificar aquello que se necesita acreditar, evitando así tanto el trabajo innecesario como la intromisión en información irrelevante para el procedimiento.
La lección
Un análisis forense de un equipo informático es tan bueno como la calidad de su extracción inicial y la precisión de su enfoque: una extracción rápida y certificada ante notario preserva la validez de la prueba desde el primer minuto, y un análisis centrado exactamente en lo que el caso requiere —disco y, cuando hace falta, memoria RAM— es lo que convierte un equipo lleno de datos en una certificación clara y defendible.