Peritaje Informático Cloud y AWS

Credenciales y experiencia cloud del perito

Combino más de 15 años diseñando y operando infraestructuras AWS como CTO con formación oficial en las cinco certificaciones AWS — Security Specialty, Solutions Architect Associate, Developer Associate, SysOps Administrator Associate y Cloud Practitioner. Durante esa etapa obtuve además la acreditación AWS Authorized Instructor (AAI), el programa por el que Amazon autoriza a un grupo reducido de profesionales a impartir formación oficial de AWS.

Qué preservamos en una investigación AWS/Azure/GCP

La evidencia cloud está repartida entre servicios. La preservación forense completa incluye:

• Registros de API (CloudTrail en AWS, Activity Log en Azure, Cloud Audit Logs en GCP) — quién hizo qué y cuándo en la cuenta, base del timeline.
• Logs de red (VPC Flow Logs, NSG Flow Logs, VPC Flow Logs de GCP) — conexiones entrantes y salientes, exfiltración de datos, movimiento lateral.
• Instantáneas EBS y snapshots de disco antes de que el auto-scaling o el cliente destruyan la instancia comprometida.
• Captura de memoria RAM en instancias EC2/VM antes de apagarlas — claves de cifrado, procesos en ejecución, conexiones abiertas.
• Logs de servicios gestionados: S3 Server Access Logs, RDS general log, Load Balancer logs, API Gateway logs.
• Configuración histórica (AWS Config, Azure Resource Graph) — qué IAM role tenía qué permisos en el momento del incidente, no ahora.
• Alertas de detección nativas: GuardDuty, Security Hub, Azure Defender for Cloud, Google Chronicle — contexto del ataque que el cliente quizá no supo interpretar.
• Objetos en contenedores: imágenes de pods Kubernetes, logs de EKS/AKS/GKE, registros de ECS/Fargate, imágenes de contenedor en ECR.

Cada uno con su cadena de custodia, hash SHA-256 y documentación de método de extracción. Es el mismo rigor que aplicamos en análisis forense digital tradicional, adaptado a un entorno donde la evidencia puede desaparecer en cuestión de minutos.

Marcos normativos aplicables en 2026

Una investigación cloud que quiera sostenerse en juicio debe cruzar varios marcos:

• NIS2 (Directiva UE 2022/2555) — obligaciones de notificación de incidentes en entidades esenciales e importantes. Desde 17 oct 2024 es derecho español.
• DORA (Reglamento UE 2022/2554) — aplicable desde 17 ene 2025 para el sector financiero: exige trazabilidad y pruebas forenses en incidentes ICT.
• AWS Shared Responsibility Model — define qué investiga el cliente y qué queda fuera del alcance (CPU, hipervisor, infraestructura física son de AWS).
• ENISA Threat Landscape 2025 — referencia para caracterizar vectores de ataque en el informe pericial.
• RGPD (art. 33-34) — notificación de brechas con evidencia técnica del alcance.
• ISO/IEC 27037 — norma base para identificación, recolección y preservación de evidencia digital.

Preguntas frecuentes sobre peritaje cloud

¿Se puede recuperar evidencia si la instancia EC2 ya fue destruida por auto-scaling?

Depende de cuándo actuemos. Si hay snapshots EBS previos, CloudTrail y VPC Flow Logs retenidos, normalmente podemos reconstruir la actividad aunque la instancia ya no exista. El contenido volátil (memoria RAM, procesos en ejecución) se pierde con la destrucción. Por eso la preservación de emergencia en las primeras 4 horas es crítica.

¿Qué diferencia hay entre un peritaje informático tradicional y uno cloud?

En un peritaje tradicional clonamos un disco duro. En cloud hay que correlacionar decenas de servicios, muchos de ellos con políticas de retención variables y con APIs que el cliente puede no tener configuradas. Un perito sin experiencia AWS puede destruir evidencia sin saberlo al apagar instancias, rotar claves IAM o borrar logs que habría que preservar primero.

¿El servicio cubre también Azure y Google Cloud, o solo AWS?

Sí, cubre Azure (Activity Log, Defender, Sentinel, NSG Flow Logs) y Google Cloud (Cloud Audit Logs, Security Command Center, VPC Flow Logs). La metodología es la misma; cambian los nombres de servicios y los métodos de extracción.

¿Cómo se preserva la cadena de custodia cuando la evidencia está en servidores de AWS fuera de España?

El informe pericial documenta con hash SHA-256 el momento de extracción, el operador, la herramienta (AWS CLI, boto3, scripts internos) y la región de origen. El TJUE y los tribunales españoles aceptan evidencia electrónica obtenida fuera de España si la cadena de custodia es íntegra y verificable — lo importante no es dónde estaban los bytes, sino que podamos probar que no han cambiado desde que se extrajeron.

¿Puedo investigar actividad de un empleado con acceso privilegiado sin alertarle?

Sí. CloudTrail registra toda actividad de consola y API por defecto; solo hay que asegurarse de que el usuario investigado no tenga permisos de borrar esos logs (cloudtrail:DeleteTrail, cloudtrail:StopLogging). La investigación se hace sobre los logs preservados, no sobre acciones en vivo que puedan alertar.

¿Qué pasa si el proveedor cloud se niega a entregar información?

En la mayoría de casos la información la controla el cliente, no AWS/Azure/GCP: los logs y snapshots están en su cuenta. Cuando se necesita información que sí controla el proveedor (por ejemplo, actividad del hipervisor), se tramita por requerimiento judicial al amparo del Convenio de Budapest y del Reglamento eEvidence (UE 2023/1543), en vigor desde febrero 2026.

Servicios relacionados

• Informes periciales — documentación final para tribunal con validez judicial.
• Análisis forense digital — metodología base aplicable también a cloud.
• Certificación de evidencia — preservación con cadena de custodia y hash SHA-256.
• Glosario: cadena de custodia, integridad de la evidencia, evidencia digital.