Cómo preservar registros útiles antes de reinstalar un equipo
Antes de reinstalar un equipo afectado, acuerda qué registros necesitas conservar y quién puede obtenerlos sin destruir indicios.
Equipo enginerIT· 2 min de lectura
Antes de reinstalar un equipo afectado, acuerda qué registros necesitas conservar y quién puede obtenerlos sin destruir indicios. La reinstalación elimina contexto local y puede dificultar entender el acceso inicial. Preservar significa guardar originales con procedencia y acceso controlado, no acumular capturas ni retrasar indefinidamente la recuperación.
Delimita la pregunta de investigación
Identifica el activo, sus usuarios, el intervalo sospechoso y las decisiones que dependen de la evidencia. Un incidente de cuenta puede requerir registros del servicio de identidad además del ordenador; una ejecución sospechosa necesita el contexto de la protección del puesto. Pide al responsable de respuesta una lista priorizada. No exportes indiscriminadamente toda la información personal del usuario por si acaso.
Prioriza lo que caduca o se sobrescribe
Comprueba retención y disponibilidad de eventos del sistema, alertas del antivirus, accesos remotos y registros de aplicaciones implicadas. Incluye fuentes externas al equipo: correo, red, identidad o consola de gestión. NIST SP 800-61r3 requiere preservar datos y metadatos del incidente conforme a procedimientos y retención. Si hace falta memoria o una imagen forense, encarga la adquisición a especialistas antes de modificar el sistema.
Conserva contexto junto al archivo
Registra origen, periodo exportado, hora y zona, herramienta utilizada, persona que recoge y ubicación protegida. Guarda una copia original y trabaja sobre otra cuando sea posible. Un resumen en PDF no sustituye al formato nativo si este permite analizar eventos. Si calculas huellas para comprobar integridad, consérvalas con el expediente: no demuestran por sí solas que el contenido sea verdadero ni sustituyen la procedencia.
Autoriza el borrado con las limitaciones visibles
Antes de reinstalar, confirma que los archivos se abren y corresponden al equipo y periodo previstos. Anota fuentes que no pudiste recuperar y por qué. El coordinador debe decidir si lo conservado basta o necesita otra adquisición, considerando impacto y posible investigación posterior. Vincula la orden de reinstalación a esa decisión. Después comprueba que el equipo renovado vuelve a enviar registros; recuperar el servicio sin recuperar visibilidad dejaría el mismo vacío en la próxima incidencia.
Comprobaciones para cerrar la tarea
- ✓ Abrir una muestra de cada exportación antes de reinstalar.
- ✓ Registrar fuentes ausentes y retenciones que han vencido.
- ✓ Vincular la autorización de borrado al expediente de evidencias.
Fuentes y documentación
- NIST · SP 800-61 Rev. 3 — Registro y preservación de evidencias, recuperación, coordinación con terceros y criterios de cierre.
Aplicarlo en tu empresa
Podemos revisar el entorno y acordar qué actuaciones, validaciones y mantenimiento necesitas.
Conocer el servicio relacionado →