Conserve la procedencia, no solo una captura de pantalla
Un registro de evidencia útil identifica el artefacto original, el recolector, el método de recolección, la fuente de datos y la hora UTC. Conserve las respuestas en bruto, así como la interpretación legible por humanos. Una captura de pantalla puede documentar la apariencia, pero no reemplaza los encabezados de mensajes, las respuestas DNS o los artefactos de respuesta.
Los registros públicos cambian. Una búsqueda posterior puede diferir de los datos disponibles cuando ocurrió un incidente. Registre explícitamente el tiempo de observación y evite implicar que una respuesta DNS actual describe condiciones históricas.
Integridad y manejo
Calcule los hash criptográficos para los archivos preservados y retenga los valores de hash en un registro de evidencia controlado. Un hash ayuda a detectar cambios en un artefacto; no prueba que el contenido original fuera exacto o que el recolector siguió el procedimiento adecuado.
Mantenga un registro de cadena de custodia que describa la posesión, las transferencias, el acceso y el propósito. Aplique controles de acceso, reglas de retención y minimización de datos apropiados para la investigación. La admisibilidad legal depende de la jurisdicción y las circunstancias, no solo del formato del informe.
Hechos, inferencias y limitaciones
Separe claramente las observaciones crudas, la interpretación analítica y las preguntas sin respuesta. Evite nombrar a un operador basándose únicamente en un registrador, una dirección de alojamiento compartido o un proxy de privacidad. Haga que toda conclusión material sea rastreable a la evidencia que la respalda.
- Guarde los artefactos originales y las respuestas de consulta sin procesar.
- Registrar fuente, método, hora de recopilación UTC y recolector.
- Archivos preservados con hash y registro de eventos de manipulación.
- Etiquete los hechos, hipótesis y campos no disponibles por separado.
- Establezca las limitaciones de recopilación y busque asesoramiento legal cuando sea necesario.