Etapa 5 — Forense
Volver a Plan.
Objetivo: aprender el método, no solo las herramientas: identificar, adquirir, preservar, analizar y documentar evidencia digital de forma reproducible.
Bloques
| Bloque | Foco | Evidencia |
|---|---|---|
| 1 | Marco legal y ético; orden de volatilidad; cadena de custodia; hash | Nota propia + glosario |
| 2 | Sistemas de archivos (FAT, NTFS, ext4); adquisición de imágenes | Imagen de prueba adquirida y verificada con SHA-256 |
| 3 | Artefactos, timelines y análisis con Autopsy / Sleuth Kit | Informe de laboratorio sobre una imagen propia |
| 4 | Redes, memoria y dispositivos móviles | Análisis de captura y de memoria documentado |
| 5 | Cadena de custodia aplicada y redacción de informes | Informe técnico revisable |
| 6 | Caso integrador completo | Caso simulado con adquisición, análisis, informe y defensa |
Reglas del laboratorio
- Practicar solo con imágenes propias, discos viejos o datasets autorizados.
- Nunca analizar sistemas o datos de terceros sin autorización legal.
- Todo hallazgo debe poder reproducirse: comando, herramienta, versión, hash y fecha.
- Separar siempre: evidencia original (solo lectura) y copia de trabajo.
Marco legal a estudiar
Verificar vigencia y alcance antes de citar:
- Ley 21.459 — delitos informáticos (reemplazó a la Ley 19.223).
- Ley 21.663 — marco de ciberseguridad.
- Ley 21.719 — protección de datos personales.
- Normativa procesal penal aplicable a la evidencia digital.
Estándares y referencias
NIST SP 800-86 · ISO/IEC 27037 · RFC 3227 · File System Forensic Analysis (Brian Carrier) · documentación de Autopsy / Sleuth Kit · CyberDefenders y Blue Team Labs Online para práctica autorizada.
Criterio de salida
Caso simulado completo, con cadena de custodia, hashes, timeline, informe técnico y posibilidad de que otra persona reproduzca el análisis.
Requisito pendiente
Antes de invertir meses en esta etapa, verificar los requisitos oficiales de ingreso a la PDI: Requisitos PDI - verificar.