Inicio · Mapa inicial de evidencias
RECURSO
Antes de investigar, se necesita saber dónde mirar.
Un esquema para ordenar fuentes y preguntas en los primeros momentos de una investigación.
1. Qué ocurrió
Defina el hecho que necesita comprender sin asumir todavía su causa.
2. Qué preguntas deben responderse
Convierta la situación en preguntas verificables: cuándo, dónde, qué sistema, qué usuario, qué actividad.
3. Qué fuentes existen
Enumere dispositivos, logs, cuentas, comunicaciones y otros elementos potencialmente relevantes.
4. Qué debe preservarse
Priorice fuentes que puedan cambiar o desaparecer.