Identificación de Fuentes de Evidencia Digital

Identificar correctamente las fuentes de evidencia digital es el paso que determina si una investigación tiene suficiente material para llegar a conclusiones sólidas o si se queda corta por no haber mirado en el lugar adecuado. Las fuentes van mucho más allá del equipo obvio del sospechoso o afectado: incluyen logs de servidores, registros de autenticación, tráfico de red capturado, copias de seguridad, metadatos de archivos, historiales de aplicaciones en la nube y hasta dispositivos periféricos como memorias USB o teléfonos personales conectados a la red corporativa. En la práctica, la volatilidad de cada fuente importa tanto como su existencia, porque datos como la memoria RAM o las conexiones de red activas desaparecen en minutos si no se capturan a tiempo, mientras que los logs pueden rotar y sobrescribirse en horas según la configuración del sistema. Un investigador experimentado prioriza primero las fuentes más volátiles y solo después pasa a las más estables, evitando así perder evidencia irrecuperable mientras documenta la que puede esperar.