ÁMBAR

Se te escapa un hash, escribes en el disco original o pierdes el registro de un comando que ejecutaste, y la evidencia deja de ser defendible. No porque el análisis estuviera mal, sino porque ya no puedes demostrar cómo llegaste ahí.

Ejecutar dc3dd, KAPE, WinPmem y qemu-img a mano funciona bien hasta que vas por la cuarta máquina del día. Ahí es donde los pasos del procedimiento se caen en silencio, y esos pasos son justamente lo que tiene que sostener el informe.

Así que Ámbar lleva la contabilidad. Ejecuta la adquisición y, mientras lo hace:

• SHA-256 de cada imagen, validado contra el propio log de la herramienta que la adquirió
• Cadena de custodia escrita de forma automática, para que no sea un paso que alguien pueda olvidar
• Cada comando externo y su salida se añaden a un log central
• El disco origen queda marcado como solo lectura antes de que nada lo lea

El operador elige el objetivo. El framework se encarga de que el procedimiento sea reproducible.

Solo para uso autorizado. Ejecútalo en sistemas sobre los que tengas permiso para adquirir: tu propio laboratorio, un entorno de práctica o un peritaje con mandato legal. Adquirir datos del equipo de otra persona sin su consentimiento o sin orden judicial es delito en la mayoría de jurisdicciones, y la responsabilidad recae por completo en quien lo ejecuta.

Todos los módulos escriben en el mismo árbol de evidencia, el mismo registro de custodia y el mismo log de comandos.

Los módulos cuyas herramientas no están instaladas aparecen marcados y no se pueden seleccionar, así que el menú te dice qué puede hacer esta máquina antes de que te comprometas con nada. El framework pregunta el idioma al arrancar y la opción 9 lo cambia después.

Windows 10 u 11, privilegios de administrador y PowerShell 5.1 o superior recomendado. Todo lo demás es opcional y se detecta en tiempo de ejecución.

Las herramientas forenses no son todas de libre redistribución, y una herramienta bajada de un espejo cualquiera no tiene procedencia, que es lo único de lo que esta disciplina no puede prescindir. Si la descargas del fabricante, puedes declarar de dónde salió. Se dividen en tres grupos.

Nadie puede aceptar esas condiciones en tu nombre, así que estas son siempre manuales. KAPE no es redistribuible en absoluto bajo su licencia de Kroll.

Cópialas de tu propia instalación de VMware o VirtualBox. Eso además garantiza que la versión coincida con el hipervisor del que estás adquiriendo. Cópialas, no las muevas.

Legalmente podrían venir aquí. No vienen para que el repositorio siga siendo rápido de clonar y para que obtengas la versión actual en lugar de una congelada. Las herramientas forenses también reciben parches de seguridad. La primera fila la resuelve la opción 3 del ayudante.

Todo vive bajo Script\Windows\Sistema\herramientas\. El nombre del archivo importa: el framework busca estos nombres exactos. La opción 2 del ayudante imprime esta misma lista contrastada con lo que ya tienes.

Después ejecuta el ayudante otra vez y elige la opción 1. Todo lo que instalaste debería marcar ya [+]. El recorrido completo, incluido qué hacer si una herramienta sigue marcando [-], está en la guía de instalación.

Declarado de frente, porque omitir esto es justamente lo que vuelve indefendible una evidencia.