Foro técnico DFIR en español
Un espacio para peritos informáticos, analistas SOC y equipos de respuesta que trabajan con evidencia digital en América Latina. Acá se discuten procedimientos reales: adquisición de imágenes, cadena de custodia, análisis de memoria volátil, triage en endpoints comprometidos y cómo documentar hallazgos para presentación judicial.
Un repaso de las etapas que marcaron el rumbo de EdgeForensic: desde los primeros debates sobre adquisición de imágenes hasta la biblioteca de guías y la bolsa de trabajo verificada. Fechas reales, temas que se abrieron y lo que dejó cada uno.
Marzo 2023
Arrancamos con un puñado de peritos de Córdoba y Santiago discutiendo cómo documentar el acta de adquisición cuando el disco está cifrado. Se fijaron las plantillas base de formulario que hoy siguen usándose.
Agosto 2023
Se abrió el espacio dedicado a Volatility 3 con casos anonimizados de endpoints comprometidos. El primer hilo comparó salidas de windows.malfind contra telemetría de EDR y quedó como referencia para nuevos analistas SOC.
Febrero 2024
Varios miembros publicaron sus propios tiempos de indexado con Autopsy y FTK Imager sobre el mismo set de imágenes. La discusión derivó en criterios para elegir herramienta según fase del caso, no según preferencia personal.
Julio 2024
Se sumaron documentos de referencia sobre plazos de retención de logs y una sección de preguntas frecuentes para quienes recién entran en DFIR. El objetivo fue bajar la barrera de entrada sin perder rigor técnico.
Enero 2025
Incorporamos un canal de ofertas revisadas por moderadores y varios hilos sobre cómo redactar hallazgos que resistan una impugnación en juicio. Hoy es la sección con más consultas nuevas por semana.
Si estás trabajando con una imagen forense, un volcado de memoria o una cadena de custodia que necesita revisión, abrí un hilo con los datos anonimizados. Cuanto más concreto sea el caso, más útil será la respuesta: versión del sistema, herramienta usada, hash del volcado y qué parte del procedimiento quedó abierta.
Antes de publicar, revisá las guías de adquisición y triage y las experiencias de otros peritos para no repetir discusiones ya cerradas.
Respondemos consultas sobre moderación, verificación de ofertas laborales y acceso a la biblioteca de plantillas periciales.
Selección de discusiones activas y artículos del foro. Casos anonimizados, comparativas de herramientas y notas de campo que suelen resolver dudas antes de abrir un hilo nuevo.
Cómo documentar el desbloqueo del volumen, registrar el hash antes y después del volcado y dejar constancia en el acta de adquisición. Plantillas de formulario compartidas por peritos del foro.
Leer el hilo completoOrden de prioridades para volcar RAM antes de aislar la máquina, plugins que dieron resultados útiles y correlación con telemetría del EDR. Incluye limitaciones encontradas según la versión del kernel.
Revisar el caso y la salida de terminalComparativa sobre el mismo conjunto de imágenes: tiempos de indexado, calidad de la línea de tiempo y facilidad para exportar hallazgos a un informe pericial. Aportes medidos en equipos con distinta RAM y tipo de disco.
Ver la comparativa y comentarios¿Buscás material complementario? En reviews hay devoluciones de colegas sobre flujos de trabajo y en blog publicamos notas de campo con plantillas descargables.