Defensa · Forense
Análisis forense digital:
qué pasó y cómo evitar que se repita
Cuando ocurre un incidente (ransomware, fuga de datos, fraude interno), el análisis forense determina qué pasó, cómo entraron, hasta dónde llegaron y cómo evitar que se repita, preservando la evidencia por si hay que usarla legalmente. Lo hacemos con metodología forense y cadena de custodia.
Qué incluye
- Análisis post-incidente
- Preservación de evidencia con cadena de custodia
- Peritaje informático judicial
- Análisis de malware
- Informes para instancias legales
Cuándo hacerlo
Cuándo necesitas un análisis forense
- Sufriste un ataque de ransomware o un acceso no autorizado y necesitas saber el alcance real.
- Hubo una fuga o sospecha de fuga de información y debes determinar qué datos se vieron afectados.
- Hay un fraude o una conducta indebida interna que requiere evidencia técnica confiable.
- Debes presentar pruebas ante un tribunal, un regulador, un seguro o un cliente.
- Quieres entender cómo entró el atacante para cerrar esa puerta y no repetir el incidente.
Método
Cómo se investiga un incidente
Contención
Se limita el daño y se evita que el incidente siga creciendo, sin destruir evidencia que pueda necesitarse.
Adquisición y preservación de evidencia
Se obtienen copias forenses de discos, memoria y registros, y se documenta la cadena de custodia desde el primer momento.
Análisis
Se reconstruye la línea de tiempo: cómo entró el atacante, qué hizo, qué cuentas y sistemas tocó y qué información se vio afectada.
Erradicación y recuperación
Se recomienda cómo eliminar el acceso del atacante, restablecer los sistemas de forma segura y cerrar la vía de entrada.
Informe
Se entrega un informe técnico, uno ejecutivo y, si corresponde, un informe apto para instancias legales.
Guía práctica
Qué hacer en las primeras horas de un incidente
Lo que se haga en las primeras horas puede decidir si después hay evidencia útil. Son pautas generales; cada caso es distinto y conviene pedir ayuda especializada cuanto antes.
- Aísla los equipos afectados de la red (desconecta el cable o el wifi), pero evita apagarlos si es posible: la memoria contiene información valiosa.
- No borres archivos, no reinstales sistemas ni “limpies” nada hasta que se haya preservado la evidencia.
- Anota qué viste, a qué hora y qué se hizo, y conserva capturas de pantalla, correos y mensajes del atacante.
- Preserva los registros (logs) de servidores, firewall, correo y servicios en la nube antes de que se sobrescriban.
- Cambia las credenciales que pudieron verse comprometidas, desde un equipo que sepas limpio.
- Avisa internamente a quienes deban saberlo (gerencia, legal, TI) y evalúa si hay obligaciones de reportar el incidente.
- Contacta a especialistas antes de intentar recuperar o restaurar por tu cuenta.
Entregables
Lo que recibes
- Línea de tiempo del incidente
- Causa raíz y vector de entrada
- Alcance: sistemas, cuentas y datos afectados
- Evidencia preservada con cadena de custodia
- Informe técnico y ejecutivo
- Informe apto para instancias legales, cuando corresponda
Alcance y cotización
De qué depende el alcance de una investigación forense
Cada incidente es distinto, y el esfuerzo depende de cuánto hay que investigar y de la calidad de la evidencia disponible. Por eso se define tras un primer análisis de la situación.
- Cantidad de equipos, servidores y cuentas involucrados
- Disponibilidad y estado de los registros (logs) y de las copias de respaldo
- Si el análisis busca solo entender el incidente o también servir como prueba legal
- Entornos afectados: red corporativa, Microsoft 365, nube pública
- Urgencia y necesidad de contención inmediata
Cuéntanos qué ocurrió en el formulario o en la reunión inicial, y te proponemos cómo abordarlo.
Normativa
Incidentes, reporte y datos personales
Si tu organización presta servicios esenciales o es un operador de importancia vital, la Ley Marco de Ciberseguridad (Ley 21.663) exige reportar los incidentes significativos al CSIRT Nacional. La ANCI informa que el reporte es obligatorio desde el 1 de marzo de 2025 y que el aviso inicial debe darse dentro de 3 horas desde que se toma conocimiento.
Si el incidente afecta datos personales, las normas de protección de datos exigen evaluar el impacto y, según el caso, comunicarlo a la autoridad y a las personas afectadas. Un análisis forense ordenado entrega los hechos que se necesitan para decidir qué corresponde informar.
Preguntas frecuentes
Lo que suelen preguntarnos
¿Qué es el análisis forense digital?
Es la investigación técnica de un incidente con métodos que preservan la evidencia y la hacen confiable: se recolectan datos de equipos, memoria y registros, y se reconstruye qué ocurrió, en qué orden y con qué alcance.
¿En qué se diferencia de la respuesta a incidentes?
La respuesta a incidentes busca contener y recuperar la operación lo antes posible. El análisis forense busca entender y documentar qué pasó, con rigor suficiente para decisiones legales y para evitar que se repita. En la práctica van juntos.
¿Qué es la cadena de custodia?
Es el registro documentado de quién obtuvo, guardó y manipuló cada pieza de evidencia, y cuándo. Permite demostrar que la evidencia no fue alterada y es lo que la hace útil ante terceros.
¿Sirve como prueba en un juicio?
Puede serlo, si la evidencia se obtuvo y se preservó con metodología forense y cadena de custodia. Qué valor se le dé lo decide el tribunal; por eso conviene decir desde el comienzo que podría usarse legalmente.
¿Qué necesito para empezar?
Contarnos qué ocurrió y cuándo, qué sistemas están afectados y qué has hecho hasta ahora. Y no borrar ni reinstalar nada hasta preservar la evidencia.
¿Cuánto tarda y cuánto cuesta?
Depende del número de sistemas, de la evidencia disponible y de la profundidad requerida. Tras una primera revisión de la situación te entregamos una propuesta con el alcance y los plazos estimados.
Servicios relacionados
- SOC y ciberseguridad gestionadaDetecta y contiene incidentes a tiempo.Ver servicio
- Threat huntingVerifica que el atacante ya no esté en tu red.Ver servicio
- Hardening empresarialCierra la puerta por la que entraron.Ver servicio
- Continuidad operacionalPlanes de recuperación para seguir operando.Ver servicio
Contáctanos
¿Tuviste un incidente? Cuéntanos qué ocurrió
Describe la situación y te proponemos cómo abordarla. Mientras tanto, no borres ni reinstales nada.