Proceso de documentar evidencia, posesión y control durante el ciclo de vida de un incidente.
La idea es completarse con detalles de cómo se manejó la evidencia.
No hay un modelo fijo pero en general contiene:
- Descripción de evidencia
- ID de registro, ubicación, hostname, MAC o IP, etc)
- Custodia
- Nombres de quién recibió la evidencia, quién la manejo, cómo y cuándo. A quién se la transfirió y quién recibió, etc.
- Fechas y horas.
En general, lo más detallado posible para evitar cualquier pérdida o rotura de cadena .
Las cadenas de custodia son útiles en tribunales y procesos legales, donde se establecen pruebas de la integridad, confiabilidad y exactitud de la evidencia.
La idea de documentar es ser transparente, tener un estándar de trabajo común y ser claro en el manejo de las evidencias.