Qué se debe aclarar
Reconstruir una secuencia respaldada por rastros, comparar registros locales y de nube aportados y valorar la recuperación sin modificar los soportes originales.
Materiales que conviene preparar
- Portátil o imagen verificada con registro de adquisición y hashes
- Exportación de auditoría de la nube y zonas horarias
- Configuración, lista de archivos ausentes y copias de seguridad
Qué comparar
Se trabaja sobre copia, registrando hashes y versiones de herramientas. Se revisan registros del cliente, sistema de archivos, papelera y versiones. Se normalizan fechas con supuestos explícitos y se correlacionan equipos por identificadores, señalando lagunas y efectos del uso posterior.
Posible resultado del análisis
Pueden entregarse cronología, inventario de archivos hallados o recuperados y explicaciones técnicas respaldadas. Un acceso registrado no identifica por sí mismo a una persona.
Límites de las conclusiones
El uso posterior y la limpieza automática pueden destruir rastros. Los registros locales no cubren toda la nube; atribuir acciones requiere pruebas adicionales al asiento de cuenta.