Parte de la evidencia desaparece al cambiar

Preservar evidencia importa, pero no es el único objetivo del incidente.

Identificar qué necesita la pregunta

La evidencia volátil puede cambiar o desaparecer con el tiempo, al terminar procesos o al retirar alimentación. La memoria puede explicar el estado actual; los registros conservados pueden documentar acciones anteriores. Su valor depende de la pregunta investigada; no son copias intercambiables.

Un archivo ficticio ha documentado corrupción continua por un proceso local. El responsable del incidente aprobó una parada protectora conforme al procedimiento. El ejercicio analiza la decisión y su registro, no pasos técnicos para detener ni recopilar.

Restricciones proporcionadas

• V1: Siguen corrompiéndose entradas. La respuesta aprobada permite como máximo cinco minutos adicionales de actividad.
• V2: Un especialista no podrá iniciar la recopilación de memoria pertinente hasta dentro de veinte minutos. Se espera que la parada elimine ese estado de memoria.
• V3: Existen registros de auditoría independientes, pero no contienen todo el estado del proceso en memoria.

Documentar el coste de elegir

Esperar V2 supera el límite de V1. Estas circunstancias respaldan la parada protectora, reconociendo que algunas preguntas quedarán abiertas. No es una recomendación universal de apagar cualquier sistema sospechoso.

Documenta hora de decisión, rol aprobador, daño continuo, plazo de recopilación indisponible y pérdida esperada. Conserva el registro de auditoría mediante el proceso establecido. No lo describas como reconstrucción de una memoria nunca capturada.

Si fuera posible recopilar a tiempo con personal cualificado y sin daño inaceptable, la decisión podría cambiar.

Conclusión modelo: El límite autorizado de daño determina esta decisión. Conservar los registros disponibles y mantener explícita la limitación causada por el estado volátil perdido.