Live Acquisition.

Live Acquisition

Tradicionalmente, el examinador forense haría una copia (o adquirir) la información de un dispositivo apagado. Se realiza exacta bit a bit del medio de almacenamiento original. El examinador analizara a partir de este ejemplar, dejando el original sin cambios.

Sin embargo, a veces no es posible apagar el dispositivo. Puede que no sea posible si al hacerlo, por ejemplo, se puede dar lugar a una considerable pérdida financiera o de otro tipo para el propietario. El examinador también puede evitar perdida permanente de las evidencias al no ser apagados los equipos.

La adquisición en vivo se puede definir como las acciones que le permiten al examinador recuperar las datas desde un dispositivo digital sin la necesidad de apagar dichos equipos.

Consideraciones que debe tener un examinador en las aplicaciones de las técnicas de adquisición

Debido a la gran variedad de sistemas operativos e infraestructura disponible actualmente, saber que herramientas usar se torna una tarea difícil. The Assosiation of Chief Police Officers (ACPO) publico unas directrices para que sirvan como consejos a las personas involucradas en estas actividades:

“En circunstancias excepcionales, cuando se ve obligado a acceder a los datos originales mantenidos en un ordenador o medios de almacenamiento, esa persona debe ser competente para hacerlo y ser capaz de dar pruebas que aclaren la importancia e implicaciones de sus acciones” (Williams, 2012)

En cualquier curso o entrenamiento para el desarrollo y contribución a las habilidades técnicas del examinador o cualquier otro estudiante el conocimiento adquirido es reducido o más bien solo se alcanza desarrollar los problemas básicos a los que se pueden enfrentar, en el área laboral donde sus conocimientos se enriquecerán deberán poner en practica todos sus conocimientos adquiridos para poder realizar las mejores decisiones.

Los examinadores forenses dependen mucho de sus habilidades y experiencia en el área, ya que en el total de los casos llegan a las escenas de trabajo sin conocer ningunas de las características de los equipos y sistemas que se encuentran allí y es aquí donde su experiencia realiza un papel muy importante en las acciones que desee a realizar tomando en cuentas ciertos criterios de evaluación.

Esto se debe a que la adquisición en vivo de datos es muy variantes y no tienen procesos definidos para trabajarlos se han elaborado una serie de criterios que respaldan las mejores prácticas a la hora de realizar “Live Acquisition”.

• Intervención mínima del examinador forense, alteración.
• Todas las acciones deben ser necesarias y menos intrusiva, es decir, todas las acciones deben tener su justificación.
• Las evidencias solo pueden tener modificaciones mínimas.
• La adquisición de datos debe seguir el orden de la volatilidad y la prioridad de la recolección de datos.
• Las copias o extracción de información solo se pueden aplicar si y solo si, la información original no será afectada.
• Todas las acciones realizadas por el examinador deben ser monitoreadas o capturadas en video.

...