Alcance
Foruster adquiere evidencia digital de un equipo en funcionamiento y la deja en un expediente: un directorio con los datos recogidos, su hash SHA-256, la identidad del caso y un registro de auditoría encadenado. En pantalla y en estas páginas se le llama expediente; en la salida de la línea de comandos verás también contenedor. Es lo mismo.
A partir de ahí, Foruster analiza e informa sobre ese expediente y nunca sobre el equipo original. Esa es la regla que ordena todo lo demás: no se informa de nada que no se haya adquirido, registrado con su hash y anotado en la auditoría.
Por dónde seguir
Requisitos y primer vistazo
Qué debe cumplir el equipo antes de empezar, y cómo se organiza la aplicación.
Adquirir la evidencia
El orden lo impone la volatilidad, no la comodidad: primero lo que desaparece al apagar el equipo, después lo que seguirá ahí mañana.
El expediente y el informe
Qué contiene la carpeta de un expediente, fichero por fichero, y qué se obtiene de ella al redactar el informe.
Firma, comprobación y custodia
Cómo se acredita que el expediente no ha sido alterado, quién lo levantó y qué consta en cada traspaso.
Clasificar lo adquirido
Listas de hashes y detección local en imágenes. Las dos usan material que aportas tú: Foruster no trae ninguna lista ni ningún modelo.
Analizar la memoria
Una imagen de memoria aislada tiene poco recorrido. Estos son los ficheros de contexto que viajan con ella y por qué sin ellos no es interpretable.
Lo que Foruster no hace
Declarado aquí, y no escondido. Si alguna de estas limitaciones es determinante para tu caso, conviene saberlo antes de la actuación.