Respuesta rápida
La evidencia que explica un incidente empieza a desaparecer antes de que alguien abra un ticket. — la memoria volátil, los logs de sesión y los datos de firewall con retención estándar se pierden en pocos días, y cuando arranca la investigación formal, buena parte del rastro ya es irrecuperable.
- Una brecha todavía tarda en promedio 241 días en identificarse y contenerse — mucho más de lo que se conserva la mayoría de los logs.
- Los casos con logs ausentes por retención corta se duplicaron de un año a otro en las investigaciones revisadas en 2025.
- El giro: la mayor brecha forense no es una herramienta que falta. Es un reloj que nadie puso a propósito.
Una laptop se marca por actividad fuera de lo común un viernes por la tarde.
TI la aísla, abre un ticket y sigue con lo suyo. La investigación queda agendada para el lunes.
Para el lunes, el equipo ya se reinició dos veces — una vez por un técnico bien intencionado, otra por una actualización automática.
La memoria que guardaba la sesión del atacante desapareció. También se fue la mitad del log de red que hubiera mostrado hacia dónde iba el tráfico.
Nadie borró evidencia a propósito. Simplemente venció, como siempre pasa cuando nadie corre contra el reloj.
El reloj que nadie puso a propósito
La mayoría de los planes de respuesta a incidentes se enfocan en la contención: aislar el dispositivo, bloquear la cuenta, rotar las credenciales. Esa parte suele funcionar.
Lo que se pasa por alto es que contención y preservación no son la misma acción — y hacer una sin la otra puede borrar en silencio la capacidad de explicar qué pasó.
Juntando estos tres números el patrón queda claro: la investigación casi siempre arranca después de que la ventana de evidencia de parte de la historia ya se cerró.
Qué se vuelve invisible, y en cuánto tiempo
Memoria volátil
La RAM guarda la sesión activa del atacante, payloads descifrados y actividad de procesos que nunca llega al disco. Un reinicio — incluso automático — la borra por completo y de forma permanente.
Logs de sesión de firewall y red
La retención estándar de muchos appliances de firewall es de siete días. Algunos vienen configurados a 24 horas. Si la investigación arranca al octavo día, ese camino ya se cerró para siempre.
Historial de procesos en el endpoint
Qué se ejecutó, cuándo, lanzado por qué proceso — eso es justo lo que muestra cómo se movió un atacante entre máquinas. La mayoría de los endpoints no guarda ese dato por mucho tiempo, a menos que algo lo esté registrando explícitamente.
Logs de nube y proveedor de identidad
El historial de inicio de sesión y la actividad de API de plataformas SaaS también suelen vivir en una ventana rotativa. Sin una exportación, ese registro envejece y desaparece igual que todo lo demás.
“Lo contuvimos” responde una pregunta. “Podemos mostrar exactamente cómo pasó, en qué máquinas y cuándo” responde la pregunta que realmente hace un auditor, un regulador o una aseguradora cibernética. Solo la segunda exige evidencia que sobreviva más allá del primer día.
La contención detiene el daño. Solo la preservación permite probar cuál fue el daño.
La evidencia fragmentada sostiene el caso, una sola fuente no
Incluso cuando los logs sobreviven, rara vez están en un solo lugar. Unit 42, de Palo Alto Networks, revisó sus casos de respuesta a incidentes de 2025 y encontró que los investigadores necesitaron evidencia de dos o más fuentes distintas para establecer qué pasó en el 87% de los casos — en algunos, hasta diez fuentes.
Telemetría de endpoint, logs de firewall, registros del proveedor de identidad, rastros de auditoría en la nube. Cada uno por separado cuenta parte de la historia. Ninguno, solo, cuenta la historia completa.
Ese es el argumento real para centralizar la evidencia de endpoint antes de que ocurra el incidente, no durante él. Reconstruir una línea de tiempo desde cinco consolas desconectadas, bajo presión de plazo, es donde la investigación pierde días que no tenía de sobra.
Qué asegurar en las primeras 24 horas
- Frenar el reflejo de reiniciar.El instinto de reiniciar una máquina comprometida es la forma más común de destruir memoria volátil antes de que alguien logre capturarla.
- Capturar antes de aislar.Toma una imagen de memoria y un snapshot de disco antes de cambiar el estado de red, no después — el propio aislamiento puede disparar scripts de limpieza en algunos malwares.
- Exportar los logs que vencen primero.Los logs de firewall y de proveedor de identidad con ventana corta de retención hay que extraerlos de inmediato, antes de que la ventana rotativa se cierre por su propio ritmo.
- Documentar la cadena de custodia desde el minuto uno.Quién tocó el dispositivo, cuándo y qué le hizo. Evidencia sin cadena documentada es evidencia que un tribunal o una aseguradora puede impugnar.
La práctica forense estándar recolecta evidencia en orden de volatilidad — memoria, luego estado de red, luego disco, luego logs archivados — porque cada capa decae a una velocidad distinta. Un plan de respuesta que salta directo a la imagen de disco ya está trabajando con un cuadro incompleto.
Cómo ayuda INGITE
Cloud Digital Forensics Investigation
Mantiene la actividad de endpoint, el historial de procesos y las líneas de tiempo de eventos centralizados y retenidos, para que una investigación que empiece el octavo día todavía pueda ver qué pasó el primero.
Cloud EndPoint Security
Marca comportamiento anómalo y aísla dispositivos sin exigir reinicio, para que la máquina quede contenida y la memoria se mantenga intacta para la investigación que sigue.
Si un incidente empezara ahora mismo, ¿la evidencia seguiría ahí mañana?
No si podrías contenerlo. Si, una semana después, podrías mostrar exactamente qué pasó y probarlo.
- ¿Tu plan de respuesta a incidentes separa los pasos de contención de los de preservación?
- ¿Sabes la ventana de retención de cada fuente de log que necesitarías — firewall, proveedor de identidad, endpoint?
- ¿Existe una regla escrita contra reiniciar una máquina sospechosa antes de capturar la memoria?
Si la respuesta honesta a cualquiera de estas es “lo resolvemos en el momento”, la brecha no es la velocidad de tu respuesta. Es que nadie puso el reloj antes de que empezara a correr.
¿Cuál es la evidencia más importante para preservar en las primeras 24 horas de un incidente?
¿Cuánto tiempo toma detectar y contener una brecha de datos en 2026?
¿Por qué las investigaciones de incidentes dependen de más de una fuente de log?
¿Se debe reiniciar un dispositivo comprometido antes de que empiece la investigación?
Asegura que la evidencia sobreviva el tiempo suficiente para importar
Cloud Digital Forensics Investigation mantiene el historial de endpoint y las líneas de tiempo de eventos centralizados, para que una investigación iniciada días después todavía tenga un retrato del primer día para trabajar.