Post actualizado el día octubre 27, 2026 by DeiviSanzPlay
Cuando un incidente llega a manos de un analista, la pregunta ya no es qué herramienta es «mejor», sino cuál permite sostener el hallazgo ante un juez, un cliente o un comité de crisis. En informática forense, el desembolso en licencias no siempre se traduce en mejores conclusiones, y el ahorro del software abierto puede costar caro si se elige mal el terreno.
Dónde el software libre no tiene competencia real
El análisis de imágenes de disco es el caso más claro. Autopsy, sobre el motor de The Sleuth Kit, permite montar una imagen forense, indexar correos, historial de navegación y artefactos de sistema sin pagar un euro. Para un peritaje de un portátil corporativo, la combinación de Autopsy con Volatility para memoria RAM cubre el 80% de lo que un equipo pequeño necesita. La documentación oficial de Sleuth Kit detalla cómo preservar el hash de la evidencia antes y después del análisis, un paso que muchos principiantes omiten y que invalida la cadena de custodia.
Dónde el pago justifica el desembolso
La cosa cambia cuando el volumen de datos se dispara. Procesar 4 TB de un servidor comprometido con herramientas abiertas puede llevar días de indexación y consumo de RAM. Herramientas comerciales como EnCase o Magnet AXIOM incorporan motores de parsing paralelizado y plantillas de artefactos que reducen ese tiempo a horas. En investigaciones con plazos legales ajustados, ese diferencial de tiempo tiene un valor económico medible.
Comparativa práctica por escenario
- Móvil Android de gama media:ALEAPP (gratuito) extrae artefactos de una copia lógica con resultados sorprendentemente completos. Cellebrite UFED (pago) es necesario para extracciones físicas y bypass de bloqueo en modelos recientes.
- Servidor Linux comprometido:Plaso/log2timeline (gratuito) genera una supertimeline robusta. Las suites comerciales añaden correlación automática de IoCs con feeds de threat intelligence, algo que en abierto exige montar el pipeline uno mismo.
- Incidente en cloud (AWS/Azure): aquí el terreno está más igualado. CloudTrail y Azure Activity Log son la fuente primaria; las herramientas de pago aportan dashboards, no adquisición.
El error que veo repetirse en equipos que migran a gratuito
Un fallo concreto: usar FTK Imager (gratuito) para adquirir un disco sin verificar el algoritmo de hash seleccionado. FTK Imager permite MD5 y SHA-1, pero si la política de la organización exige SHA-256 y el analista no lo configura, la imagen queda adquirida con un hash que el perito contrario puede cuestionar. He visto retrasarse un caso por este detalle, no por la herramienta en sí. La lección: la herramienta gratuita no falla, falla la configuración por defecto.
Limitaciones que conviene reconocer antes de decidir
El software libre en forense tiene dos techos conocidos. Primero, el soporte: cuando Volatility falla con un perfil de kernel nuevo, el equipo depende de la comunidad, no de un SLA. Segundo, la defensa pericial: algunos tribunales y contrapartes aceptan mejor un informe generado con una suite con certificaciones y manuales auditados. Esto no significa que Autopsy no sea defendible; significa que el analista debe documentar versiones, plugins y hashes de cada herramienta usada, algo que las suites comerciales empaquetan en el propio informe.
Un enfoque híbrido que funciona
La práctica habitual en equipos maduros: adquisición y triaje con herramientas abiertas (FTK Imager, dd, LiME para memoria), análisis profundo con suite comercial cuando el caso lo justifica, y validación cruzada de hallazgos con utilidades gratuitas. Según estudios del sector, la mayoría de los incidentes de ransomware se resuelven con análisis de artefactos de Windows (Prefetch, ShimCache, AmCache) que herramientas gratuitas como PECmd o Eric Zimmerman’s tools extraen sin coste. El gasto en licencia se reserva para los casos con litigio o volumen alto.
Ninguna opción garantiza un resultado: la calidad del peritaje depende del analista, de la preservación de la evidencia y de la documentación del proceso, no del precio de la licencia.
Perfiles verificables: Sitio web
Publicado el 27 de October de 2026. Última revisión: 27 de October de 2026.
