Forensic Lab
← Volver al laboratorio

Módulo 12

Evidencia Digital

Preserve dispositivos y datos volátiles, genere valores hash y mantenga la integridad del medio.

Fotografía del laboratorio: Evidencia Digital

Vista previa del laboratorio

Inicializando módulo…

Duración estimada: 12 min

Objetivos de aprendizaje

  • ▸Decidir entre apagar, aislar o capturar en vivo.
  • ▸Aplicar bloqueo de escritura y verificación por hash.
  • ▸Documentar el estado del dispositivo al momento de la incautación.

Mini guía

  • Volatilidad: El orden de volatilidad va de la memoria RAM y las conexiones activas al almacenamiento permanente y las copias de respaldo. Lo más volátil se captura primero.
  • Integridad: La copia forense bit a bit se realiza con bloqueador de escritura y se valida con hash (SHA-256). Si el hash de la copia coincide con el del original, la imagen es fiel.
  • Aislamiento: Los teléfonos se aíslan de la red con bolsa de Faraday o modo avión documentado, para impedir borrados remotos y sincronizaciones.

Pasos de la práctica

  1. 1Ordenar el procedimientoOrdene la incautación de un teléfono encendido y una computadora en uso.
  2. 2Decisión técnicaEl hash de la imagen forense difiere del hash del disco original. ¿Qué significa?
  3. 3Decisión técnica¿Qué se recolecta primero según el orden de volatilidad?

Video explicativo del laboratorio

Portada de la videolección: Evidencia digital: adquisición y hash

Guion de la videolección

Contenido y capítulos listos. Añada el enlace del video para reproducirlo aquí.

09:00

Módulo 12

Evidencia digital: adquisición y hash

Orden de volatilidad, bloqueadores de escritura, imagen forense bit a bit y verificación con hash SHA-256.

  1. 00:00 PrincipiosIntegridad, repetibilidad y trazabilidad.
  2. 01:40 Orden de volatilidadRAM, procesos, red, disco, respaldos.
  3. 03:45 Bloqueador de escrituraPor qué jamás se monta el original en modo lectura-escritura.
  4. 05:40 Imagen bit a bitCopia forense y espacio no asignado.
  5. 07:20 Hash y verificaciónMD5/SHA-256 antes y después; qué implica una discrepancia.

Evaluación diagnóstica (3 preguntas)

Responda correctamente las 3 preguntas para habilitar la práctica.

  1. 1. Se debe trabajar sobre una imagen forense y no sobre el dispositivo original.

  2. 2. El valor hash sirve para demostrar que la copia no fue alterada.

  3. 3. Un teléfono incautado debe encenderse de inmediato para revisar mensajes.

La evaluación se activa al finalizar; se requiere 80/100 o más para el certificado.