Resumen del caso Todo lo de esta pantalla se calcula leyendo el registro del caso. No hay ningún dato que se introduzca aquí ni que se guarde desde aquí.
Registro de evidencias Cada fichero se copia a evidencias/originales/ y se genera automáticamente una copia de trabajo en evidencias/trabajo/ mientras se calcula su SHA-256 por bloques. El alta queda anotada en el registro y no puede modificarse desde aquí.
Añadir evidencia
Datos de adquisición Se aplican a los ficheros que sueltes a continuación. Los campos marcados con * son los que TraceLock no puede deducir por sí mismo leyendo el fichero — sin ellos no se da de alta la evidencia. Lo que sí es deducible (huella, tamaño, tipo, fecha de modificación del propio fichero) se calcula solo y no se pregunta.
Dejar las evidencias en solo lectura
El navegador no puede cambiar permisos del sistema de ficheros, así que esto no se puede automatizar del todo: hace falta un paso manual fuera de TraceLock, y conviene hacerlo justo después de cada alta, no dejarlo para el final de la sesión — cada fichero nuevo que se añade queda de nuevo en lectura/escritura hasta que se repite este paso.
Elige el sistema operativo del equipo donde está la carpeta del caso:
Opción 1 · Desde el Explorador de Windows, sin ejecutar nada. Funciona aunque el equipo bloquee scripts o la consola de comandos.
- En la carpeta del caso, botón derecho sobre la carpeta
evidenciasy elige Propiedades. - En la pestaña General, marca Solo lectura (solo se aplica a los archivos de la carpeta) y pulsa Aceptar.
- En el aviso que aparece, elige Aplicar cambios a esta carpeta, subcarpetas y archivos.
Para comprobarlo, abre las propiedades de cualquier fichero de
evidencias/originales: debe aparecer marcado como solo lectura. Para revertirlo,
repite los pasos desmarcando la casilla.
Opción 2 · Con un comando. Más rápido si tu equipo permite abrir la consola.
- Abre la carpeta del caso en el Explorador de Windows.
- Escribe
cmden la barra de direcciones y pulsa Enter. - Pega el comando en la ventana negra que se abre.
attrib +R "evidencias\*" /S
Para comprobarlo, attrib "evidencias\*" /S: cada línea debe empezar
por R. Revierte con el segundo comando solo si necesitas volver a escribir sobre una evidencia
ya protegida.
Scripts descargables, solo si tu equipo permite ejecutarlos
Se descargan a Descargas y hay que moverlos dentro de la carpeta del caso antes de ejecutarlos con doble clic. En equipos gestionados es habitual que una directiva de seguridad bloquee los scripts descargados. Es un control intencionado: no intentes saltártelo. Usa la opción 1 o 2, o pide a tu equipo de sistemas una excepción.
Con un comando. Quita el permiso de escritura a cada fichero de
evidencias/; las carpetas no se tocan, para que TraceLock pueda seguir leyéndolas
y dando de alta evidencias nuevas.
- Abre la carpeta del caso en el gestor de archivos, botón derecho en un espacio vacío y
elige Abrir en una terminal. Si no aparece, abre una terminal y escribe
cdseguido de la ruta de la carpeta del caso (puedes arrastrar la carpeta a la terminal). - Pega el comando y pulsa Enter. No pide contraseña: los ficheros son tuyos.
find evidencias -type f -exec chmod a-w {} +
Para comprobarlo, ls -lR evidencias: cada fichero debe empezar por
-r--r--r--, sin ninguna w. Revierte con el segundo comando solo si necesitas
volver a escribir sobre una evidencia ya protegida.
Scripts descargables, solo si tu equipo permite ejecutarlos
Muévelos dentro de la carpeta del caso y ejecútalos
con sh proteger.sh. Si tu equipo tiene una directiva que lo impide, usa el comando.
Opción 1 · Desde el Finder, sin ejecutar nada.
- Abre
evidencias/originalesen el Finder y selecciona todos los ficheros (⌘A). - Pulsa ⌥⌘I (Opción + Comando + I) para abrir el Inspector, que aplica los cambios a todos los seleccionados a la vez.
- Marca la casilla Bloqueado.
- Repite en
evidencias/trabajo.
Para comprobarlo, los ficheros muestran un candado en su icono. Para revertirlo, desmarca Bloqueado del mismo modo.
Opción 2 · Con un comando.
- En el Finder, botón derecho sobre la carpeta del caso y elige Servicios › Nuevo terminal en
la carpeta. Si no aparece, abre Terminal, escribe
cdy arrastra la carpeta del caso a la ventana. - Pega el comando y pulsa Enter.
find evidencias -type f -exec chmod a-w {} +
Para comprobarlo, ls -lR evidencias: cada fichero debe empezar por
-r--r--r--. Si también los bloqueaste desde el Finder, para revertir tendrás que
desmarcar Bloqueado además de ejecutar el comando de revertir.
Scripts descargables, solo si tu equipo permite ejecutarlos
Muévelos dentro de la carpeta del caso y ejecútalos
con sh proteger.sh en Terminal.
La protección solo afecta a los ficheros que ya están en evidencias/:
TraceLock sigue escribiendo en el registro y dando de alta evidencias nuevas con normalidad.
Cuando la hayas aplicado, anótalo:
Clasificación del incidente
Selecciona el marco de clasificación para tu incidente No todas las entidades se rigen por la misma clasificación, así que el incidente puede clasificarse en varios marcos a la vez y cada uno conserva su propia justificación e historial.
Hitos del incidente Las horas no se teclean: se fijan al iniciar y al finalizar el hito, y un hito pendiente no cuenta tiempo.
Acciones de respuesta del equipo, organizadas por fase.
Añadir nuevo hito
Cronología del ataque Los hechos no se borran: rectificar o eliminar deja constancia del motivo, y el hecho original sigue en el registro.
Hechos observados en el incidente, ordenados por el momento en que ocurrieron, no por cuándo se registraron. Es la base de la línea temporal del informe.
Añadir hecho
IOCs Se extraen automáticamente al analizar un correo; los añadidos a mano quedan marcados como tales.
Indicadores observados en el incidente, con su rol, su valoración justificada y la evidencia de la que proceden.
Añadir IOC
Los IOCs añadidos a mano quedan marcados como tales para distinguirlos de los extraídos automáticamente.
Preguntas abiertas
Información pendiente de la entidad afectada, de proveedores o de otros equipos, con su destinatario y su antigüedad.
Añadir pregunta
Total timeline Todo lo ocurrido en el caso en un solo hilo secuencial: altas y verificaciones de evidencias, hitos y su seguimiento, entradas de cronología y preguntas. El orden es el del registro, es decir, cuándo se hizo cada cosa.
Exportar documentos
Entregables generados a partir del expediente en el momento de la exportación.
Técnicas MITRE ATT&CK Puedes importar el catálogo oficial de ATT&CK para tener autocompletado. Se usa solo en local y no se envía a ningún sitio.
Correspondencia de la actividad observada con tácticas y técnicas ATT&CK.
Laboratorio Las operaciones del laboratorio no se anotan en el registro. Si un resultado sostiene una conclusión, documéntalo en la cronología, en el seguimiento de un hito o en una nota.
Herramientas de análisis local. Ningún dato sale del equipo, así que admite material sensible del caso.
Búsqueda en el expediente
Busca a la vez en evidencias, indicadores, hitos, cronología, preguntas,
clasificación y registro. Puedes acotar por tipo escribiendo tipo:evidencia o
tipo:indicador junto a las palabras; todo se combina con «y».
Registro de actividad
Traza completa de las acciones realizadas en el caso. Es la base de la trazabilidad de evidencias y no admite edición.
Abre una carpeta de caso para empezar.
Guía y capacidades
Cómo se trabaja con TraceLock, qué puede hacer con qué condiciones y, sobre todo, qué no debe esperarse de ella.
Notas El borrador solo se conserva en esta pestaña y se pierde al cerrarla. La nota guardada queda en el registro, con autor y hora.
Captura de información durante llamadas y reuniones. Las notas guardadas forman parte del expediente y pueden trasladarse a cronología, hitos o preguntas.
Borrador
—Ajustes
Preferencias de esta consola. Se conservan mientras esta pestaña siga abierta: sobreviven a una recarga, pero al cerrarla vuelven a los valores por defecto. No viajan con la carpeta del caso ni afectan a los documentos exportados. La única excepción es «Recordar la carpeta del caso», que sí queda guardada en el navegador.
Idioma
Reanudar el caso al recargar
Al recargar la página, el navegador retira el permiso sobre la carpeta: es una medida suya y no se puede evitar desde aquí, así que reanudar siempre costará al menos un clic. Lo que sí puede hacer TraceLock es recordar qué carpeta era, para que ese clic sea aceptar un aviso en vez de volver a buscarla.
file://, varios
navegadores comparten el almacenamiento entre documentos locales. Con esta opción activada, otro
HTML abierto en este mismo equipo podría llegar a leer el nombre de la carpeta del caso y provocar
un aviso de permiso sobre ella. Acceder de verdad seguiría exigiendo que alguien acepte ese aviso.
Si trabajas con expedientes sensibles en un equipo compartido, déjalo desactivado.Playbooks
Los playbooks crean de golpe los hitos pendientes y las preguntas de un tipo de caso. Además de los que vienen de serie puedes cargar los tuyos: descarga el ejemplo, edítalo y vuelve a subirlo. Si uno propio usa el mismo nombre que uno de serie, lo sustituye. Los propios se conservan mientras esta pestaña siga abierta: guarda el fichero para volver a cargarlo.
Informes personalizados
Puedes definir tus propios documentos combinando texto fijo, apartados para que los rellene el analista y bloques de datos que la consola rellena sola. Aparecen como una tarjeta más en Exportar, en Word y en PDF. Se conservan mientras esta pestaña siga abierta: guarda el fichero para volver a cargarlo.
Bloques de datos disponibles
| Identificador | Qué inserta |
|---|
Autodiagnóstico
Comprueba que esta copia del fichero funciona como debe: las huellas contra los vectores publicados, el encadenado del registro, el escapado de los datos que vienen de ficheros analizados, los lectores de formatos y los catálogos normativos. Las pruebas viajan dentro del propio HTML, así que puedes ejecutarlas en cualquier equipo sin instalar nada y antes de trabajar con un caso real.