14. Copia forense bajo sistemas Linux

 ¡Perfecto! Aquí tienes un post para redes sociales o un blog, estructurado y listo para publicar, basado en el contenido que proporcionaste.

---

📢 Post: Guía Práctica - Realizando una Copia Forense en Linux (Solo Terminal)

¿Alguna vez te has preguntado cómo se realiza una copia forense en un servidor Linux sin interfaz gráfica? 🖥️➡️🛡️

Es una situación muy común en entornos corporativos. Los servidores priorizan el rendimiento, la tolerancia a fallos y la eficiencia, por lo que una GUI consume recursos valiosos que simplemente no podemos permitirnos desperdiciar.

En este escenario, donde solo contamos con la línea de comandos, te mostramos el procedimiento paso a paso para crear una copia forense confiable.

🎯 El Escenario:
Tienes un servidor en producción (físico en un rack o un VPS en la nube) al que has conectado un disco duro externo (vía USB, por ejemplo) para recibir la copia forense. El objetivo es obtener una imagen bit a bit del disco principal sin tener que desactivar el servidor.

🛠️ Procedimiento Paso a Paso:

1. Identificar los Discos:

   bash

   lsblk

   Este comando lista las unidades. Busca tu disco principal (ej. sda) y el disco secundario donde guardarás la copia (ej. sdb). ¡Asegúrate de identificar correctamente el disco destino!

2. Crear un Punto de Montaje:
   Necesitamos una carpeta para acceder al disco externo.

   bash

   mkdir /mnt/disco

   (Puede ser en /mnt/, /media/ o incluso en la raíz).

3. Formatear la Unidad:
   Formateamos el disco destino con un sistema de archivos (ej. ext4).

   bash

   mkfs.ext4 /dev/sdb

   ⚠️ Atención: Esto borrará todos los datos del disco sdb. Asegúrate de que es la unidad correcta.

4. Montar la Unidad:
   Vinculamos el disco formateado con la carpeta que creamos.

   bash

   mount /dev/sdb /mnt/disco

   Verifica con lsblk nuevamente. Verás que sdb ahora apunta a /mnt/disco.

5. ¡Ejecutar la Copia Forense con dd!
   Este es el comando crucial. Aquí el detalle:

   bash

   dd if=/dev/sda of=/mnt/disco/disco.img bs=512 conv=noerror,sync

   Desglose del comando:

   • if=/dev/sda: Input File. La fuente, el disco completo a copiar (¡no solo una partición!).

   • of=/mnt/disco/disco.img: Output File. El destino y el nombre de la imagen forense.

   • bs=512: Block Size. Define el tamaño de los bloques a copiar (512 bytes es un valor estándar y seguro).

   • conv=noerror,sync: Conversión. ¡Parámetro crítico! Le dice a dd que continúe incluso si encuentra un sector dañado (noerror) y que rellene con ceros el bloque si hay error (sync), evitando que la copia se detenga.

   Al ejecutarlo, la terminal no mostrará una barra de progreso. Es un comando para valientes que confían en su sintaxis. ⏳

6. Verificar la Copia:
   Una vez finalizado, navega al disco destino y verifica el archivo de imagen.

   bash

   cd /mnt/disco
   ls -lh disco.img

7. Generar la Firma Hash (Integridad):
   Es fundamental crear un hash criptográfico de la imagen para garantizar su integridad en el futuro.

   bash

   sha256sum disco.img

   Este comando calculará un hash único (SHA-256) del archivo. Guarda este valor en un lugar seguro, ya que es la prueba de que la copia no ha sido alterada.

🔑 Puntos Clave:

• Universalidad: Este procedimiento funciona en cualquier distribución Linux (Ubuntu, Debian, Red Hat, SUSE, etc.).

• Precisión: El comando dd crea una réplica exacta, bit a bit, del disco de origen.

• Robustez: Los parámetros bs, noerror y sync ayudan a manejar errores físicos en el disco.

• Evidencia: El hash sha256 es tu garantía de integridad forense.

¿Te ha sido útil esta guía? ¿Tienes algún otro comando o método que uses para estos casos? ¡Déjanos tus comentarios! 👇