En esta pagina se detallan los modos de acompanamiento que ofrece EdgeForensic: adquisicion y preservacion de evidencia, analisis de memoria volatil, triage en endpoints comprometidos y armado de informes periciales listos para presentacion judicial. Cada formato se describe con su alcance, los entregables concretos y las condiciones bajo las cuales conviene elegirlo.
Cada sección de EdgeForensic está pensada para una etapa concreta del trabajo pericial: desde el primer volcado hasta la presentación del informe. Estos son los puntos donde la comunidad aporta más valor en el día a día.
Hilos con flujos completos para discos cifrados, equipos encendidos y servidores en producción. Incluye plantillas de acta, cálculo de hash antes y después del volcado y registro de hora exacta del desbloqueo.
Discusiones sobre Volatility 3 aplicadas a endpoints reales: qué plugins priorizar, cómo correlacionar con telemetría del EDR y qué limitaciones aparecen según la versión del kernel.
Autopsy, FTK Imager y otras utilidades medidas sobre el mismo conjunto de imágenes. Tiempos de indexado, manejo de artefactos de Windows y facilidad para exportar hallazgos a un informe pericial.
Modelos de formularios, criterios de retención de logs y ejemplos de cómo se documenta cada transferencia de evidencia para que el peritaje resista una impugnación.
Sección de preguntas con respuestas de peritos en activo. Dudas sobre triage, lectura de artefactos o redacción de hallazgos se responden con ejemplos, no con enlaces genéricos.
Guías descargables sobre adquisición, análisis y redacción pericial, junto a una sección de ofertas laborales revisadas por moderadores antes de publicarse.
Si querés ver cómo se aplica esto en un caso concreto, revisá el flujo de trabajo paso a paso o escribinos desde contacto para sumar tu propio caso al foro.
Desde la publicación del incidente hasta la entrega del informe pericial, cada etapa tiene su hilo, sus plantillas y sus discusiones abiertas. Así se ordena el recorrido típico de un caso DFIR dentro de la comunidad.
Se abre el hilo en la categoría correspondiente: endpoint comprometido, servidor, móvil o análisis de memoria. Se adjuntan los datos mínimos anonimizados y el estado actual de la evidencia.
El equipo define si se vuelca memoria volátil antes de apagar, si se usa write blocker hardware y qué herramienta conviene según el tipo de disco y el plazo disponible.
Se documenta cada movimiento: hash antes y después del volcado, hora exacta del desbloqueo, responsables presentes y formulario firmado. Las plantillas del foro se comparten en esta fase.
Volatility 3, Autopsy o FTK Imager según el artefacto buscado. Se cruzan procesos inyectados, conexiones salientes y telemetría del EDR para reconstruir la línea de tiempo.
Redacción de hallazgos con lenguaje apto para presentación judicial. Se revisan modelos de informes aportados por otros peritos y se ajusta el nivel de detalle técnico según el destinatario.
Se define el plazo de retención de logs y copias forenses, se archiva el material y se deja constancia en el hilo. Lo aprendido queda como referencia para casos similares.
El recorrido completo se detalla en la página de proceso. Si tu caso necesita orientación previa, podés escribirnos desde contacto.
Comentarios de peritos, analistas SOC y responsables de respuesta a incidentes sobre los formatos de trabajo, la documentacion entregada y el uso real de los hallazgos en instancias judiciales o auditorias internas.
Necesitabamos una adquisicion de imagen en un equipo con BitLocker y el acta quedo con el hash antes y despues del volcado. El informe se presento tal cual en la causa, sin retoques. Eso nos ahorro semanas de ida y vuelta con el juzgado.
Mariana L.
Perito informatica, Cordoba
Volcamos RAM con el endpoint todavia encendido y el analisis con Volatility 3 nos dio los procesos inyectados que el EDR no habia marcado. La correlacion con netscan fue lo que cerro el caso. El procedimiento paso a paso quedo documentado para el equipo.
Diego R.
Analista SOC, Buenos Aires
Teniamos plazos muy cortos para un triage sobre varias imagenes. La comparativa entre Autopsy y FTK Imager nos ayudo a decidir en que fase usar cada una. Terminamos entregando la linea de tiempo dos dias antes de lo previsto.
Sofia M.
Respuesta a incidentes, Santiago
Lo que mas nos sirvio fue la plantilla de informe pericial. Adaptamos los campos a nuestro formato interno y quedaron cubiertos los puntos que la fiscalia suele pedir: cadena de custodia, hashes y metodologia de adquisicion.
Hernan P.
Consultora DFIR, Montevideo
Entramos con dudas sobre plazos de retencion de logs y salimos con un criterio claro para nuestra politica interna. Los debates del foro sobre normativa local en America Latina fueron mas utiles que cualquier guia generica.
Camila T.
CISO, Lima
Recien arrancaba en DFIR y la seccion de preguntas para principiantes me saco de varios bloqueos con Volatility. Hoy publico mis propios casos anonimizados y devuelvo la mano cuando puedo.
Tomas V.
Analista junior, Rosario