Enron no sólo quebró. Implosionó. Cuando el gigante energético colapsó en diciembre de 2001, dejó a cientos de trabajadores desempleados mientras los ejecutivos parecían irse con los bolsillos llenos. El Congreso de Estados Unidos olió algo sucio. Iniciaron una investigación que no se basó únicamente en testimonios de testigos o documentos triturados. Se basó en datos. Se desplegó una fuerza de detectives digitales especializada para examinar cientos de computadoras de empleados. Estaban usando informática forense para reconstruir la escena del crimen en silicio y código.
Este campo existe para buscar, preservar y analizar información digital para procedimientos legales. El objetivo es sencillo: encontrar pruebas. Pero la ejecución es complicada. Mientras que los investigadores tradicionales de la escena del crimen buscan huellas dactilares y salpicaduras de sangre, los detectives digitales buscan metadatos y fragmentos eliminados. Los principios son similares. La realidad es muy diferente.
Considere esto: simplemente abrir un archivo lo cambia. Es una peculiaridad fundamental de cómo funcionan los sistemas operativos. La computadora registra la fecha y hora del acceso directamente en los atributos del archivo. Si un detective toma un disco duro y comienza a husmear, está alterando la evidencia. Están contaminando la escena. Los abogados lo saben. Esperan este momento en el tribunal para impugnar la validez de la prueba. Si no puede demostrar que los datos no fueron manipulados, no tienen valor.
Esto plantea una pregunta incómoda. ¿Por qué confiar en la evidencia digital? Los escépticos argumentan que, como los datos informáticos se modifican con tanta facilidad, nunca deberían ser admisibles en un juicio. Es frágil. Es mutable. Sin embargo, muchos países todavía lo permiten. Por ahora. Si un caso de alto perfil fracasa porque un juez dictamina que la evidencia digital no es confiable, el precedente podría cambiarlo todo. La puerta podría cerrarse de golpe a la ciencia forense digital por completo.
Lo que está en juego está aumentando. Las computadoras son cada vez más rápidas. Los discos duros se están expandiendo de megabytes a terabytes. Al principio, un solo investigador podía revisar manualmente cada archivo en una máquina. El almacenamiento era pequeño. La tarea era manejable. ¿Hoy? Es una pesadilla. Examinar terabytes de datos requiere nuevas herramientas, nuevas estrategias y recursos significativos. Los investigadores ya no pueden simplemente abrir carpetas. Necesitan software especializado para filtrar el ruido de la señal.
Entonces, ¿qué sucede realmente en una investigación digital? ¿Cómo encuentran los expertos la verdad en un mar de unos y ceros? ¿Y por qué algunos especialistas en seguridad intentan activamente vulnerar estos sistemas?
El argumento anti-forense
Vincent Liu no es sólo un crítico. Él es un practicante. Liu, especialista en seguridad informática, desarrolló aplicaciones antiforenses. No lo hizo para ayudar a los delincuentes a esconderse. No lo hizo para hacerle la vida más difícil a las autoridades. Lo hizo para demostrar un punto.
Los datos informáticos no son fiables. No debería utilizarse como prueba en un tribunal de justicia.
El trabajo de Liu destaca una vulnerabilidad crítica. Las herramientas informáticas forenses no son infalibles. Tienen huecos. Tienen suposiciones. Si confías ciegamente en ellos, estás construyendo un caso sobre terreno inestable. Liu sostiene que la actual dependencia de la informática forense como fuente de verdad es un error. Las herramientas se pueden omitir. Los datos se pueden manipular. Las conclusiones extraídas de esos datos pueden ser erróneas.
Esto no es sólo teórico. Es un problema práctico que afecta a todos los juicios que involucran evidencia digital. Cuando un detective afirma haber encontrado una prueba irrefutable en un disco duro, es necesario saber cómo llegó allí. ¿Preservaron la cadena de custodia? ¿Tenían en cuenta los cambios de metadatos? ¿Utilizaron herramientas que introducen sus propios errores?
El campo debe evolucionar. No puede permanecer estático. A medida que el almacenamiento crece y el cifrado se vuelve más sofisticado, los viejos métodos se desmoronan. Los investigadores están profundizando en los sistemas de archivos, buscando sombras de datos eliminados y recuperando fragmentos que los usuarios pensaban que habían desaparecido para siempre. Pero es una carrera armamentista. A medida que la ciencia forense mejora, también lo hace la capacidad de ocultarse.
¿Qué buscan realmente los investigadores? Buscan marcas de tiempo. Buscan claves de registro. Buscan registros de red
La evolución de las reglas de evidencia digital
La informática forense es todavía un campo recién nacido. Al principio, los tribunales trataban los datos como registros en papel. Eso cambió cuando los jueces se dieron cuenta de que los archivos digitales son frágiles. Puedes corromperlos. Destrúyelos. Cámbialos sin dejar rastro.
Los detectives necesitaban herramientas que no alteraran la fuente. Se asociaron con informáticos. Juntos, construyeron procedimientos. Estos se convirtieron en la base de la informática forense moderna.
Órdenes judiciales y límites de búsqueda
Los detectives normalmente necesitan una orden para registrar la máquina de un sospechoso. No es un pase gratuito. El documento especifica dónde buscar. Define lo que cuenta como evidencia. Los términos vagos son rechazados. Los jueces quieren precisión.
Considere este escenario. Un detective obtiene una orden judicial para una computadora portátil. Llega a la casa del sospechoso. Ve una PC de escritorio en la esquina. No puede tocarlo. No estaba en la orden. A menos que caiga bajo una excepción, ese hardware permanece fuera de los límites.
Los investigadores hacen sus deberes primero. Investigan al sospechoso. Reducen el alcance. Esta especificidad ahorra tiempo más adelante.
¿Qué impulsa la duración de la investigación?
No hay dos casos idénticos. Algunos concluyen en una semana. Otros se prolongan durante meses. Varias variables amplían la línea de tiempo.
- Experiencia detectivesca. Los profesionales experimentados se mueven más rápido.
- Volumen de dispositivos. ¿Una unidad? Rápido. ¿Diez? Más lento.
- Capacidad de almacenamiento. Ordenar terabytes lleva tiempo. Memorias USB, CD, DVD: todo suma.
- Tácticas de ofuscación. ¿Eliminó archivos el sospechoso? ¿Ocultar carpetas?
- Cifrado. Los archivos protegidos con contraseña ralentizan significativamente a los investigadores.
La doctrina de la visión sencilla
¿Qué sucede si un detective ve algo incriminatorio mientras cumple una orden judicial? Se aplica la doctrina de la visión sencilla.
Si la computadora de escritorio del sospechoso estaba encendida y mostraba evidencia de un delito, el detective puede confiscarla. Incluso si la garantía original sólo cubría la computadora portátil. La evidencia está a la vista.
Pero hay un problema. El dispositivo debe estar activo. Si la pantalla está en negro, el detective no puede encenderla para comprobarlo. Eso violaría el alcance de la orden. Entonces lo dejan en paz.
Esta distinción importa. Define el límite entre búsqueda legal e intrusión. Obliga a los investigadores a tener cuidado. Respetar el estado del hardware. Entender que una computadora apagada es una habitación sellada hasta que se demuestre lo contrario.
La línea entre lo admisible y lo inadmisible a menudo depende de ese único interruptor. Encendido o apagado. Visible u oculto.
La amenaza anti-forense
¿Crees que eliminar un archivo lo borra? No es así. Su computadora simplemente marca ese sector como vacío. Los datos permanecen ahí, como fantasmas, hasta que algo nuevo los sobrescribe. Por eso las herramientas de recuperación funcionan tan bien con los archivos eliminados. Pero algunos delincuentes no confían en la eliminación estándar. Usan anti-forenses.
Se trata de técnicas diseñadas para frustrar la investigación. Hacen que las pruebas sean más difíciles de encontrar, de leer o imposibles de probar ante los tribunales. Si estás investigando el sistema de un sospechoso, no sólo estás luchando contra el tiempo. Estás luchando contra una resistencia activa.
Por qué se descarta la evidencia
Judd Robbins, un destacado experto en el campo, divide el flujo de trabajo forense en pasos rígidos. Si falla uno, todo el caso se desmorona. Veamos la mecánica.
1. Aislar el sistema
Primero, cortas el cordón. Si la máquina está en línea, desconéctela. Debe detener el borrado remoto, las sincronizaciones en la nube o la manipulación en vivo. Asegure el hardware. Sin manos no autorizadas. Si la cadena de custodia se rompe aquí, todo lo que sigue será sospechoso.
2. Clonar, no tocar
Nunca trabaje en la unidad original. Acceder a un archivo cambia sus metadatos. Las marcas de tiempo cambian. Los fragmentos se mueven. Usted hace una copia bit por bit de cada dispositivo de almacenamiento involucrado. Discos duros. SSD. Memorias USB. Cerramientos exteriores. Sólo interactúas con el clon. El original permanece impecable en el depósito de pruebas.
3. Caza lo oculto
Los archivos no desaparecen simplemente. Se esconden. Los investigadores utilizan herramientas para:
– Recupere datos eliminados de espacio no asignado (esa área de la unidad “no utilizada” a menudo contiene fragmentos de archivos antiguos).
– Revelar archivos ocultos que no se muestran en la interfaz estándar del sistema operativo.
– Descifrar datos cifrados o protegidos con contraseña.
4. Documente todo
Aquí es donde mueren la mayoría de los casos. Necesitas un rastro en papel. Cada comando ejecutado. Cada herramienta utilizada. Cada archivo encontrado. Usted documenta el diseño físico del sistema. Observa qué archivos se cifraron. Registra el estado de la unidad antes de comenzar. Pueden pasar años antes del juicio. Sin este registro, el juez no aceptará sus conclusiones.
5. Defiéndete
El trabajo no está terminado cuando se presenta el informe. Quizás necesites testificar. Como testigo experto, usted explica cómo obtuvo la evidencia. Defiendes tus métodos. Resiste el contrainterrogatorio. Si su proceso fue descuidado, la evidencia se descarta.
El desafío cada vez mayor
El primer paso, asegurar el sistema, no es negociable. Pero también es más difícil que nunca. Al principio, te apoderabas de una PC y una pila de disquetes. Simple. Manejable.
¿Hoy? Estás viendo un lío de periféricos. Varias computadoras portátiles. Unidades externas de alta capacidad. Dispositivos inteligentes. Servidores web. Dispositivos de IoT. La superficie de ataque ha explotado. Cada dispositivo es una bóveda potencial. Cada bóveda es un campo minado potencial.
Introduzca Anti-Forense
Los delincuentes lo saben. Se han adaptado. Utilizan software creado específicamente para confundir a los investigadores. Las herramientas antiforenses tienen como objetivo:
– Ofuscar : hace que los datos parezcan ruido.
– Limpiar : borra datos de forma segura para que no se puedan recuperar.
– Planta : Inserta evidencia falsa para engañar a la investigación.
– Obstruir : cifra datos con claves imposibles de recuperar.
Estas no son sólo herramientas de privacidad. Son armas contra el descubrimiento. Los detectives necesitan saber cómo detectarlos. Cómo desactivarlos. Cómo solucionarlos.
La realidad de la recuperación
When you hit “delete,” you’re not removing the file. Estás quitando el puntero. Las partes reales permanecen ahí. Con el software adecuado, puedes recuperarlos. Pero sólo si no se han sobrescrito.
Las herramientas antiforenses complican esto. Podrían llenar el espacio libre con datos aleatorios. Es posible que utilicen un cifrado complejo. They might fragment files across multiple drives to hide them.
El objetivo no es sólo encontrar lo que hay allí. Es para demostrar lo que había allí. Y en la era de la resistencia digital, esa prueba es cada vez más difícil de conseguir.
Ocultar pistas: cómo la tecnología antiforense complica las investigaciones digitales
Los investigadores forenses los odian. Herramientas antiforenses. Están diseñados con un propósito: hacer imposible o increíblemente difícil recuperar datos durante una consulta. Estos programas, dispositivos y técnicas obstaculizan activamente la recuperación de evidencia digital.
Los métodos son variados. Algunos programas manipulan encabezados de archivos. Estos encabezados son invisibles para los humanos pero vitales para el sistema operativo. Identifican el tipo de archivo. ¿Cambiar el nombre de un MP3 a .gif? La computadora todavía ve el encabezado MP3. Pero las herramientas antiforenses pueden alterar estos encabezados. El sistema cree que está mirando un GIF. Los detectives que buscan archivos de audio pueden pasar por alto la evidencia oculta.
Ocultar datos en Slack Space
Luego está el espacio flojo. Los archivos suelen dejar espacio no utilizado al final. Specialized tools can slice a file into chunks and hide each piece in the slack space of other files. Recuperar estos datos requiere más que simplemente mirar. Tienes que encontrar cada fragmento y volver a ensamblarlo. Es un proceso tedioso y desafiante.
Los archivos ejecutables son otro objetivo. Los empaquetadores pueden insertar un ejecutable en un tipo de archivo diferente. Las carpetas pueden unir varios archivos ejecutables. Esta ofuscación hace que el malware o programa sea difícil de aislar.
Cifrado y manipulación de metadatos
El cifrado es el escudo más sencillo. Un algoritmo convierte los datos en tonterías. Sólo la llave lo desbloquea. Los investigadores deben descifrar el algoritmo sin la clave. Mejores algoritmos significan esperas más largas.
Los metadatos también son vulnerables. Realiza un seguimiento de las fechas de creación, las horas de modificación y los registros de acceso. Los metadatos, normalmente inmutables, se pueden reescribir. Imagine un archivo que afirma haber sido creado en el año 2026 y al que se accedió por última vez en 1920. Si los metadatos son falsos, la confiabilidad de la evidencia se desmorona. Se vuelve más difícil presentar su caso ante el tribunal.
Herramientas de autodestrucción y contrainvestigación
Algunas aplicaciones borran datos si detectan un acceso no autorizado. Otros están diseñados para bloquear o atacar el propio software forense. Si un sospechoso sabe cómo funciona la ciencia forense, puede construir defensas contra ella. Los investigadores deben extremar la precaución y el ingenio para evitar estas trampas.
La cuestión jurídica
¿Por qué hacer esto? Algunos lo hacen para demostrar que los datos digitales no son fiables. Si no puede verificar cuándo se creó un archivo o si alguna vez existió, ¿puede confiar en él? Esta es una preocupación legal válida. Los estándares de evidencia varían según el país. Algunos aceptan fácilmente la evidencia digital. Otros exigen pruebas más estrictas.
¿Cuáles son exactamente estos estándares? Lo descubriremos en la siguiente sección.
Demostrando la cadena de custodia digital
Si se equivoca con el hardware, toda la carcasa colapsará. Ésa es la cruda realidad para los investigadores estadounidenses. El manual del Departamento de Justicia Búsqueda e incautación de computadoras y obtención de pruebas electrónicas en investigaciones criminales establece líneas duras. ¿Cuándo pueden tocar la máquina? ¿Qué queda en la corte? Las reglas sobre rumores y admisibilidad no son sólo ejercicios académicos. Ellos son los porteros.
Consideremos la convulsión en sí. Si el sistema es sólo un recipiente de almacenamiento, los investigadores generalmente no pueden llevarse la caja física. Están limitados a lo que pueden ver en el campo. Pero si el hardware es el delito (como una computadora portátil robada), pueden confiscar el dispositivo. Lo llevan a un laboratorio. La distinción importa. Define el alcance de la investigación antes de analizar un solo bit.
Para admitir estos datos, la fiscalía debe autenticarlo. Este es el trabajo pesado. Deben probar dos cosas: los datos provienen de la máquina del sospechoso y no han sido alterados desde entonces. La manipulación es fácil. Los tribunales lo saben. No descartan automáticamente la evidencia digital porque podría ser falsificada. Requieren prueba de manipulación para desecharlo. La carga de la prueba pasa a la defensa para demostrar que los datos están sucios. Si no pueden, la evidencia se mantiene.
Luego está el obstáculo de los rumores. El rumor es una declaración extrajudicial que se ofrece para probar la verdad del asunto. Suele estar prohibido. ¿Registros digitales? Generalmente no son rumores. La computadora solo está registrando eventos. Pero los correos electrónicos son diferentes. Esas son declaraciones humanas. Los tribunales deben decidir si el correo electrónico es confiable. Esto sucede caso por caso. Sin reglas generales. Sólo un juez sopesando la fuente.
Recuperación de datos transfronterizos
Los delitos digitales ignoran las fronteras. Las leyes no. Este desajuste crea una pesadilla logística para los investigadores. Lo que es un delito grave en una nación es legal en otra. No existe un protocolo internacional unificado para la recopilación de pruebas informáticas. Es un paisaje fragmentado.
Algunos están intentando solucionarlo. Las naciones del G8 (Estados Unidos, Canadá, Francia, Alemania, Reino Unido, Japón, Italia y Rusia) han redactado seis directrices generales. El enfoque es limitado: preservar la integridad de la evidencia. No están tratando de armonizar las leyes. Sólo el proceso forense. Es un comienzo. Pero sin reglas estandarizadas, las solicitudes transfronterizas siguen siendo lentas e inciertas. Los investigadores todavía se enfrentan al muro de la jurisdicción cada vez que rastrean una dirección IP en el extranjero.
El kit de herramientas
La ciencia forense no es mágica. Es un proceso apoyado en herramientas específicas. Estas aplicaciones permiten a los expertos copiar, analizar y verificar datos sin alterar la fuente original. La siguiente sección desglosa el software y el hardware reales utilizados para convertir fragmentos sin procesar en hechos listos para la sala del tribunal.
El conjunto de herramientas detrás de la investigación
Las restricciones presupuestarias y la experiencia interna suelen dictar qué herramientas utilizan los departamentos de policía. Pero independientemente del presupuesto, el hardware y el software básicos siguen siendo en gran medida los mismos. Necesitas una forma de congelar una escena en el tiempo digital.
El software de imágenes de disco es la primera línea de defensa. No solo copia archivos. Registra toda la estructura de un disco duro. Esto preserva la forma en que se organizan los archivos y sus relaciones entre sí. Si solo copias los datos visibles, pierdes el contexto. La imagen lo capta todo.
Luego están los bloqueadores de escritura. Pueden ser unidades de hardware o protocolos de software. Se aseguran de que cuando los investigadores copian una unidad bit a bit, los datos originales nunca se modifican. Algunas configuraciones requieren extraer el disco de la máquina del sospechoso. Otros trabajan en línea. El objetivo es idéntico: crear una copia impecable sin alterar ni un solo byte.
La verificación ocurre a continuación. Las herramientas de hash generan un número único para los datos en la unidad original. Hacen lo mismo con la copia. Si los hashes coinciden, la copia es una réplica perfecta. Si difieren, algo salió mal. Esto no es negociable en los tribunales.
Los datos eliminados no desaparecen inmediatamente. Los programas de recuperación de archivos buscan marcas que digan “eliminar” pero que aún no hayan sobrescrito los bits reales. A veces el archivo vuelve completo. A menudo está fragmentado. Los archivos incompletos son más difíciles de analizar, pero aun así pueden ser pruebas.
La RAM es más complicada. Es volátil. Apague la computadora y los datos se evaporarán. El software especializado captura esta memoria antes de que se pierda. Sin él, los registros volátiles, las conexiones abiertas y las claves de cifrado desaparecen para siempre.
La búsqueda manual es imposible con el almacenamiento moderno. Gigabytes de datos llenan un solo disco. El software de análisis lo examina todo. Busca contenido específico. Las cookies son un objetivo principal. Revelan hábitos de navegación. Otras herramientas buscan palabras clave o tipos de archivos. Es un problema de aguja en un pajar resuelto mediante algoritmos.
Acceder a datos protegidos requiere algo más que leer archivos. El software de decodificación de cifrado y el descifrador de contraseñas son esenciales. Rompen o evitan cerraduras. No todos los métodos son legales o éticos, pero forman parte del arsenal.
La cadena de custodia
Las herramientas son tan buenas como el procedimiento. Los investigadores deben seguir protocolos estrictos. Rompe la cadena y un abogado defensor arrojará las pruebas. El argumento es simple: si el proceso es defectuoso, los resultados no son confiables.
Los expertos antiforenses no están de acuerdo. Argumentan que la evidencia informática es inherentemente sospechosa. Su postura es que la manipulación es posible sin dejar rastro. Si se demuestra, los tribunales pueden tener dificultades para justificar la admisión de pruebas digitales. Si estas afirmaciones se mantendrán en la próxima década sigue siendo una cuestión abierta.
Análisis forense móvil: la computadora de bolsillo
Los teléfonos móviles son esencialmente computadoras pequeñas. Contienen un tesoro escondido de información. Los proveedores de ciencia forense ofrecen dispositivos que copian la memoria del teléfono y generan informes. Tiran de todo. Mensajes de texto. Registros de llamadas. Tonos de llamada. Fotos. Vídeos.
El dispositivo se conecta al puerto o interfaz del teléfono. Pasa por alto la pantalla. Lee la memoria sin procesar. El resultado es un informe completo de la vida digital del teléfono.
Trayectorias profesionales en investigación digital
¿Es la informática forense una carrera viable? Exige una combinación de habilidad técnica y curiosidad investigadora. El campo es desafiante. Es emocionante. La demanda de profesionales cualificados es alta.
¿Qué hace realmente un especialista en informática forense? Aplican técnicas de investigación para recopilar y preservar pruebas de dispositivos informáticos. El objetivo es presentar esa evidencia de una manera que se mantenga firme en el tribunal. Se trata de estructura. Se trata de legalidad. Se trata de interpretar datos para que un jurado pueda entenderlos.
Los requisitos educativos varían. Algunos roles aceptan certificaciones. La mayoría de los especialistas tienen al menos una licenciatura. Las especialidades comunes incluyen informática forense, informática o ciberseguridad. El campo específico que ingrese puede dictar las credenciales exactas necesarias.
El paisaje cambia constantemente. Nuevos dispositivos. Nuevo cifrado. Nuevas formas de ocultar datos. Las herramientas se adaptan. Los métodos evolucionan. La pregunta no es si se aceptarán las pruebas. Se trata de si la verdad se puede encontrar en el ruido.
El más allá digital
El camino no termina con la incautación. Se extiende hacia un laberinto de precedentes, políticas y matices técnicos que definen cómo la evidencia digital sobrevive al salto del servidor a la sala del tribunal. Si está buscando la mecánica detrás de la magia, o la falta de ella, existen guías fundamentales que desglosan la pila. Comprender cómo interactúan bits y bytes con módems de cable o memoria de computadora no es solo académico. Es la diferencia entre recuperar un archivo y recuperar un fantasma.
La arquitectura de la recuperación
No puedes arreglar lo que no entiendes. Los artículos principales que alimentan este espacio a menudo comienzan en el nivel de hardware o protocolo. Cómo funciona la memoria de la computadora revela por qué los archivos “borrados” permanecen en el espacio no asignado. Cómo funciona el cifrado explica por qué ese espacio puede ser un galimatías. Cómo funcionan las redes domésticas muestra cómo se mueven los datos y cómo funcionan las escuchas telefónicas ilustra cómo se pueden interceptar.
Es un ecosistema. Miras placas base y ves silicio. Miras sistemas operativos y ves abstracciones. Pero cuando llegan los investigadores forenses, ven artefactos. Marcas de tiempo. Metadatos. Sombras de actividad.
El escudo legal
La tecnología avanza rápido. La ley avanza más lentamente. Esta brecha es donde los casos viven o mueren. Las Reglas Federales de Prueba, específicamente la Regla 1001, define qué constituye un “original” en la era digital. ¿Es una copia impresa un original? No. ¿Es una copia bit por bit? Tal vez. Depende de la integridad.
Orin Kerr, escribiendo para U.S. Departamento de Justicia, destaca que los registros informáticos son complejos. No son sólo mensajes de texto. Son sistemas. Preservarlos requiere más que una captura de pantalla. Requiere una metodología que satisfaga las Reglas Federales de Evidencia y al mismo tiempo capture la naturaleza dinámica del almacenamiento digital. El trabajo de Franklin Witter sobre aspectos legales de la recopilación de pruebas subraya esto: si la cadena de custodia se rompe por ignorancia técnica, las pruebas desaparecen. No sólo excluidos. Desaparecido.
La carrera armamentista: antiforense
Luego está la oposición. Antiforenses. No se trata sólo de ocultar datos. Está distorsionando la verdad. “The Rise of Antiforensics” de Scott Berinato y los artículos de consenso de Ryan Harris detallan un panorama cambiante. Los atacantes no sólo eliminan archivos. Están modificando las marcas de tiempo. Inyectar ruido en las claves de registro. Usar conceptos de cifrado cuántico para preparar sus secretos para el futuro (aunque todavía están surgiendo criptografía práctica resistente a los cuánticos).
Christian Peron y Michael Legary documentan estas técnicas de transformación de datos. Es una carrera armamentista. Los investigadores utilizan los estándares del Proyecto de prueba de herramientas forenses informáticas del NIST para garantizar que sus herramientas no alteren la evidencia. El equipo CERT documenta cómo el FBI investiga los delitos informáticos, haciendo hincapié en la preservación. Pero las porterías siempre están en movimiento.
El elemento humano
Las herramientas son tan buenas como las manos que las utilizan. Las páginas de Judd Robbins ofrecen explicaciones que cierran la brecha entre el código y el tribunal. Lisa Oseles sostiene que la informática forense es la clave para resolver el crimen, pero sólo si la llave encaja en la cerradura. Los manuales del Departamento de Justicia de los Estados Unidos sobre búsqueda e incautación de computadoras proporcionan el marco legal, pero no pueden dar cuenta de cada nuevo sistema de archivos o arquitectura de nube.
Tomemos como ejemplo Enron. La caída de Enron no fue sólo un fraude contable. Fue una lección de preservación digital. Correos electrónicos. Borradores eliminados. Carpetas ocultas. La evidencia estaba ahí. Sólo se necesitaba la lente adecuada. Thomas Fitzgerald señaló en el New York Times que los datos eliminados rara vez desaparecen realmente. Sólo está esperando.
¿Adónde vamos desde aquí?
La lista de referencias aquí es un mapa, no el territorio. Señala Cómo funciona Safecracking, que es una metáfora de la ingeniería inversa. Señala Cómo funcionan las escuchas telefónicas, que es un recordatorio de las capacidades de vigilancia.
Pero la verdadera historia está en la implementación. Qué herramienta utilizas es importante. Dónde residen los datos es importante. Cómo se recopiló es importante.
La Investigación Digital
