Explica el orden de volatilidad y por qué dicta la secuencia de recopilación de evidencia en DFIR.

Cuando llegas a un host comprometido, el reloj de la evidencia ya está en marcha. El orden de volatilidad (codificado en la RFC 3227) te dice que recojas primero los datos que desaparecen más rápido, para que un reinicio o apagado descuidado no borre los artefactos más valiosos. Los entrevistadores preguntan esto para confirmar que manejas la evidencia de forma metódica y entiendes qué se pierde y cuándo.

Del más volátil al menos volátil

1. Registros de CPU, caché: desaparecen en microsegundos; rara vez se recogen directamente.
2. RAM y estado en ejecución: procesos vivos, conexiones de red abiertas, caché ARP, usuarios conectados, y el malware inyectado/sin archivo y las claves de cifrado que existen solo en memoria. Por eso la captura de memoria va pronto.
3. Archivos temporales / swap / pagefile: transitorios pero en disco.
4. Disco: el sistema de archivos persistente; sobrevive a reinicios pero puede borrarse o sobrescribirse.
5. Registro y datos de monitorización remotos: SIEM, NetFlow, registros fuera del host.
6. Soportes de archivo y copias de seguridad: los más duraderos, recogidos al final.

La idea clave: memoria antes que disco, disco antes que copias. Apagar una máquina para «preservarla» en realidad destruye la capa volátil, que suele ser donde vive la verdadera evidencia de una intrusión activa.

Hacerlo de forma defendible

El orden de volatilidad es solo la mitad del trabajo. Trabaja sobre copias forenses, no sobre los originales; calcula y registra hashes criptográficos antes y después de la imagen para probar la integridad; usa bloqueadores de escritura para los discos; y mantén una cadena de custodia ininterrumpida que documente quién manejó cada elemento, cuándo y por qué. Sin eso, la evidencia puede ser inadmisible.

Por qué importa

Una buena respuesta recita la secuencia aproximada (registros → RAM/red → swap → disco → registros → copias), explica que apagar pierde los datos más frágiles y lo combina con hashing y cadena de custodia. Eso muestra que sabes preservar la evidencia bajo presión de una forma que se sostenga después.