Continuamos con la 2da parte de una de las herramientas más básicas que todo forense digital debe conocer para dispositivos Android, adentrándonos en las copias forenses, la documentación y la preservación de la cadena de custodia.
Del dato más profundo al más superficial: el orden correcto
Antes de entrar en materia, vale la pena explicar la lógica que vamos a seguir y porque no es arbitraria. En forense digital existe el principio de orden de volatilidad: capturas primero lo que puede desaparecer antes. Una imagen de partición es el dato más permanente y lento de obtener; una captura de pantalla es el estado más efímero del dispositivo. Por eso, paradójicamente, la captura de pantalla debería hacerse antes que la imagen de disco en una intervención real. Pero contrariamente vamos a empezar por la imagen, seguiremos ese hilo pedagógico y al final verás por qué el orden importa.
(más…)
