Alcance y Supuestos
Cada uno de los incidentes es único, por lo tanto, la involucraron de un investigador forense externo es diferente en cada caso. Algunas veces el trabajo puede estar limitado a colaborar con las agencias del gobierno como Departamento de Delitos Telemáticos de Guardia Civil y/o Brigada Investigación Tecnológica, proporcionándoles el equipo íntegro para que sea analizado en sus instalaciones y por sus expertos.
Otras veces será necesario previamente realizar una recolección de información del sistema informático: analizar ficheros log, estudiar el sistema de ficheros (FS) del equipo comprometido y reconstruir la secuencia de eventos para tener una imagen clara y global del incidente.
El análisis termina cuando el forense tiene conocimiento de como se produjo el compromiso (1), bajo que circunstancias (2), la identidad de posible/s atacador/es (3), su procedencia y origen (4), fechas de compromiso (5), objetivos del/los atacador/es (6) así como, cuando ha sido reconstruida completamente la secuencia temporal de los eventos (7).
Cuando un investigador forense empieza el análisis de la situación nunca sabe con lo que va a enfrentarse. Al principio puede ser que no encuentre asimple vista ninguna huella ni prueba de que el equipo ha sido violado, especialmente si hay un "rootkit" [1] instalado en la máquina. Puede encontrar procesos extraños ejecutándose con puertos abiertos. También es frecuente que vea una partición ocupada 100% de su capacidad, pero cuando la verifica a través de du, el sistema muestra otro porcentaje de ocupación. Puede encontrar una saturación de tráfico de red desde un host específico. Es posible encontrar aplicaciones que están consumiendo un porcentaje elevado de del CPU pero no haya ningún indicio de un programa con ese nombre en el sistema de ficheros.
Los pasos para empezar la investigación de un incidente son diferentes en cada caso. El investigador debe tomar decisiones basándose en su experiencia yel "sexto sentido" para llegar al fondo del asunto. No es necesario seguir pasos determinados, ni su orden es importante a veces.
Puede que algunos pasos básicos sean más de lo que hace falta y también puede ser que estos sean insuficientes para solucionarel problema. Los pasos básicos pueden concluir en localizar todas las huellas y eventos que se produjeron.
Y en supuestos los pasos básicos no han desvelado la situación, se debe recurrir a llevar acabo un análisis profundo o de-compilación de las aplicaciones encontradas durante la búsqueda. Estas aplicaciones pueden ser escritas totalmente desde cero y protegidas, pero en la mayoría de los casos son aplicaciones utilizadas de forma común, que circulan por la red, estén o no estén protegidas. Cuando hablamos de protección de ficheros podemos hablar sobre técnicas de confusión, ofuscación y compresión (Ver apéndice A para detalles).