1. Qué significa adquirir bien

La adquisición es el momento en que una evidencia digital deja de estar en el mundo real y pasa a estar en el expediente. Hacerla bien significa dos cosas simultáneas: obtener una réplica exacta del soporte y poder demostrar después que es exacta. Fallar en cualquiera de las dos deja el análisis sin base.

2. Orden de volatilidad: qué se copia primero

La RFC 3227 estableció un principio que sigue siendo la guía práctica: recoger primero lo que antes desaparece. De más volátil a menos:

1. Registros de CPU y caché.
2. Memoria RAM: procesos, conexiones, claves de cifrado en memoria.
3. Estado de red y tablas de rutas, sesiones abiertas.
4. Procesos en ejecución.
5. Disco y soportes de almacenamiento.
6. Configuración remota y topología.
7. Soportes de archivo y copias de seguridad.

La consecuencia práctica es la que más se incumple: si el equipo está encendido, no se apaga hasta haber valorado la memoria. En un disco cifrado, apagar sin volcar la RAM puede significar perder el caso entero, porque la clave estaba ahí y ya no está.

3. Adquisición de disco

3.1. Bloqueo de escritura

El soporte se conecta a través de un bloqueador de escritura, por hardware siempre que sea posible. Los bloqueadores por software funcionan, pero dependen del sistema operativo del equipo de análisis y son más difíciles de defender en sala. El de hardware se fotografía, se anota su modelo y se incorpora al acta.

3.2. Copia bit a bit

No se copian ficheros: se copia el soporte completo, sector a sector, incluyendo espacio no asignado, espacio residual entre el final de un fichero y el final de su clúster, y sectores marcados como defectuosos si son legibles. Ahí es donde vive buena parte de lo borrado.

3.3. Formato de imagen

Las opciones habituales:

• RAW / dd: copia cruda, máxima compatibilidad, ocupa lo mismo que el original y no guarda metadatos.
• E01 (EWF): comprime, permite incluir metadatos del caso y lleva sumas de verificación por bloques, lo que permite detectar corrupción parcial sin invalidar toda la imagen.
• AFF4: formato abierto pensado para volúmenes grandes y adquisiciones parciales.

Para peritaje judicial, E01 suele ser la opción más defendible por los metadatos y la verificación por bloques.

4. La verificación: el paso que no se puede saltar

Se calcula el valor resumen del original antes de copiar y del resultado después. Si coinciden, la copia es exacta. Se documentan ambos valores, el algoritmo empleado y la herramienta con su versión.

Usa SHA-256. MD5 y SHA-1 siguen apareciendo por compatibilidad, pero tienen colisiones demostradas: es posible construir dos contenidos distintos con el mismo resumen. En sala, eso es una grieta innecesaria.

Una precisión honesta: en discos con sectores defectuosos el hash del original puede no ser reproducible entre lecturas. Cuando ocurre, se documenta el número de sectores ilegibles y se usa la verificación por bloques del formato de imagen. Lo que no se hace es ocultar la discrepancia.

5. Adquisición de memoria

El volcado de RAM se realiza sobre el equipo vivo, lo que implica una contradicción inevitable: la propia herramienta modifica el estado que quiere capturar. Es asumible y está aceptado, pero hay que declararlo en el informe: qué herramienta, qué versión, desde qué soporte se ejecutó y cuánta huella deja.

Se vuelca a un soporte externo, nunca al disco del equipo investigado. Lo que se puede recuperar después —procesos ocultos, conexiones, claves, fragmentos de ficheros que nunca tocaron disco— lo desarrollamos en análisis forense de memoria RAM con Volatility.

6. Casos que complican la adquisición

6.1. Cifrado completo de disco

Si el equipo está encendido y desbloqueado, se adquiere en caliente o se obtiene la clave desde memoria. Si está apagado y no hay clave ni contraseña de recuperación, la imagen será una masa de datos ilegibles. Esto hay que decidirlo en el lugar y en el momento, no después.

6.2. SSD y TRIM

En unidades de estado sólido el controlador puede borrar bloques marcados como libres por su cuenta, sin intervención del sistema operativo. La recuperación de borrados es mucho menos fiable que en disco mecánico y dos adquisiciones consecutivas pueden dar hashes distintos. No es un fallo del perito: es cómo funciona el hardware, y debe explicarse en el informe.

6.3. Volúmenes grandes y sistemas en producción

Parar un servidor no siempre es posible. Existen la adquisición en caliente y la adquisición selectiva de determinados artefactos, con una contrapartida que hay que asumir y documentar: menos completitud y un estado no consistente en el tiempo.

7. Qué debe quedar escrito

Al cerrar la adquisición, el informe debe permitir a un tercero repetirla:

• Identificación del soporte con número de serie.
• Método y herramienta con versión exacta.
• Bloqueador empleado.
• Algoritmo y valores resumen de origen y destino.
• Fecha, hora e incidencias, incluidos sectores ilegibles.
• Destino de la imagen y su custodia posterior.

8. Conclusión

Una adquisición correcta no es la que usa la herramienta más cara, sino la que cualquier perito contrario podría repetir llegando al mismo resultado. Orden de volatilidad, bloqueo de escritura, copia completa, verificación con SHA-256 y documentación suficiente. Con eso, el análisis empieza desde una base que nadie puede discutir.

¿Necesitas ayuda con la adquisición de evidencias?

En Jaymon Security realizamos análisis forense digital y peritaje informático para procedimientos judiciales, investigaciones internas y respuesta a incidentes, con metodología documentada y cadena de custodia desde el primer minuto.

Consulta nuestro servicio de perito judicial informático o contacta con nosotros para valorar tu caso.

Formación relacionada

Si te dedicas o quieres dedicarte al peritaje informático, el procedimiento completo se trabaja en el Curso de Perito Informático y Análisis Forense en Windows: 150 horas y certificado verificable.