Qué es DFIR y los principios del análisis forense

Un caso ficticio: el lunes, la laptop de la contadora de Distribuidora Guayabo amanece con los archivos cifrados. Soporte la formatea antes del mediodía "para que pueda trabajar". El martes, gerencia pregunta si se llevaron las planillas, y nadie puede responder: la evidencia se fue con el formateo.

Qué es DFIR

DFIR son las siglas en inglés de Digital Forensics and Incident Response, análisis forense digital y respuesta a incidentes. Es la disciplina que contiene un incidente y reconstruye lo ocurrido con evidencia capaz de resistir una revisión externa, sea de un auditor, de un abogado o del OIJ.

La respuesta a incidentes contiene el daño y devuelve la operación a la normalidad: aislar un equipo, bloquear una cuenta, restaurar. El análisis forense reconstruye los hechos: qué se tocó, en qué orden, desde dónde y con qué cuenta.

Si solo se responde, como en Guayabo, el problema se apaga pero nadie sabe por dónde entró. Si solo se investiga, el atacante sigue dentro mientras usted toma notas. El analista DFIR decide qué contención se puede hacer sin destruir lo que falta mirar: apagar el equipo detiene el cifrado, pero borra la RAM.

Breve historia

De Stoll copie una sola cosa: anotó cada hallazgo con fecha y hora en una bitácora de papel. Usted hará lo mismo desde el primer laboratorio.

Por qué importa en ciberseguridad

Sin forense, una organización no sabe si el atacante sigue dentro ni qué se llevó. El resultado se repite: reinfecciones, avisos de fuga que dicen de más o de menos y decisiones legales sin sustento.

Lo usan analistas de SOC, equipos de respuesta, threat hunters, auditores y peritos. También el administrador que no se considera forense: si borra la cuenta sospechosa sin exportar antes los logs, muchas veces elimina la única prueba de cómo entraron.

Dónde se usa

En incidentes corporativos (intrusiones, ransomware, fugas, abuso de una cuenta privilegiada), en investigaciones internas, siempre bajo las políticas de la organización y con asesoría legal, y en procesos judiciales, donde la forma de obtener la evidencia pesa tanto como lo que muestra. La evidencia sale de discos, memoria RAM, logs de la nube, celulares, correos y memorias USB.

Los principios que no se negocian

1. No alterar la evidencia original. Todo análisis se hace sobre copias. Montar un disco en modo lectura y escritura, aunque solo sea "para ver", ya actualiza fechas de acceso.

2. Documentar todo. Quién, cuándo, con qué herramienta y con qué resultado. Lo que no está en la bitácora, ante un tercero, no ocurrió.

3. Repetibilidad. Otro analista, con la misma evidencia y las mismas herramientas, debe llegar a lo mismo. Por eso se anotan versiones y comandos exactos, no "usé Autopsy".

4. Hechos antes que opiniones. "El archivo se creó a las 02:14 UTC" es un hecho; "el atacante lo creó" es una inferencia, y el informe tiene que decir cuál es cuál.

El ciclo de un caso forense

1. Identificación   -> qué sistemas y datos son relevantes
2. Preservación     -> aislar, fotografiar, documentar, proteger
3. Adquisición      -> copias forenses verificadas con hash
4. Análisis         -> artefactos, línea de tiempo, correlación
5. Informe          -> hechos, método, conclusiones y limitaciones

Conceptos clave

Cómo leer las fichas de comandos

Cada herramienta del curso llega con una ficha. En la sintaxis, lo que va entre corchetes es opcional, lo que está en MAYÚSCULAS lo reemplaza usted, los tres puntos indican que se puede repetir y la barra vertical significa "una u otra". Así, sha256sum [OPCIONES] ARCHIVO... acepta opciones y uno o varios archivos.

Para pedir ayuda: man sha256sum (sale con q) o sha256sum --help.