Qué es el scavenging
El scavenging consiste en buscar información sensible entre datos residuales que nunca se borraron correctamente. El objetivo no es un sistema atacado, sino el rastro del trabajo anterior: medios descartados, archivos temporales, respaldos antiguos y copias que quedaron en carpetas compartidas. Nada se vulnera, por eso la técnica se parece a una simple navegación.
Estos restos se llaman remanencia de datos. Al eliminar un archivo normalmente solo se borra la referencia a él, y el contenido puede seguir en el disco hasta que ese espacio se reutilice. Esa brecha es la que hace posible el scavenging.
Dónde se acumulan los datos residuales
La información sensible rara vez existe en un solo lugar. Mucho después de dar un documento por eliminado, sobreviven fragmentos y copias en sitios que nadie controla, como datos obsoletos en carpetas antiguas:
| Origen | Lo que queda |
|---|---|
| Residuos físicos y medios descartados | Impresiones, notas adhesivas con contraseñas, discos desechados sin borrar |
| Archivos temporales y cachés | Copias de trabajo, archivos de autoguardado, colas de impresión, caché del navegador |
| Archivos eliminados | El contenido permanece en el disco hasta ser sobrescrito y se recupera con herramientas estándar |
| Carpetas compartidas y almacenamiento mal configurado | Copias de trabajo visibles para muchas más personas de las previstas |
| Equipos retirados | Estaciones de trabajo, servidores, teléfonos y copiadoras que conservan los datos almacenados |
| Respaldos y snapshots antiguos | Datos conservados mucho después de corregir o eliminar la copia activa |
Scavenging físico frente al digital
La imagen clásica es alguien revisando un contenedor detrás de una oficina, de ahí el término dumpster diving. Impresiones, equipos desechados y notas con contraseñas han causado incidentes reales durante décadas, y la técnica no requiere ningún conocimiento técnico.
La variante digital funciona igual, a mayor escala. Un empleado curioso revisa un recurso compartido abierto, conecta un disco de segunda mano o busca en un portátil reutilizado archivos de configuración y bases de datos exportadas. Como no se vulnera nada, no salta ninguna alarma y la actividad puede pasar desapercibida durante años.
Cómo se ve en Anexet
Anexet atiende los restos digitales dentro de la organización. En el módulo Anexet DLP, la auditoría de recursos compartidos de red registra las operaciones sobre archivos y puede guardar una copia sombra de lo que se escribe en un recurso compartido. El File Systems Monitoring aplica coincidencia de hashes para encontrar copias de documentos protegidos en las estaciones de trabajo.
1 / 2
Quién rebusca en los residuos y por qué
Para un atacante externo, el scavenging es un reconocimiento de bajo costo: un organigrama desechado, un archivo de configuración antiguo o una nota con credenciales ahorra días de sondeo. Para una amenaza interna maliciosa, como un empleado a punto de irse, es una forma de reunir datos que puede negarse fácilmente, porque nada pasa por canales monitoreados.
Investigadores y periodistas han demostrado la técnica en varias ocasiones, comprando discos usados y contando qué pudieron recuperar.
Contramedidas
Reducir los residuos que pueden rebuscarse es una disciplina de todo el ciclo de vida y no un control aislado. Los discos retirados necesitan saneamiento de medios antes de salir, y el papel debe triturarse y desecharse en contenedores cerrados.
- 1
Inventario y clasificación de datos
Saber qué datos son sensibles y dónde están sus copias es el requisito para todas las demás medidas.
- 2
Saneamiento de medios antes del desecho
Los medios se borran o se destruyen físicamente antes de retirarlos, y el resultado se verifica en lugar de darlo por hecho.
- 3
Control de acceso al almacenamiento compartido
Mínimo privilegio en recursos compartidos de red y carpetas en la nube, revisión periódica de permisos y limpieza de datos obsoletos.
- 4
Cifrado
Los residuos que no se pueden leer sin claves pierden la mayor parte de su valor, tanto en sistemas activos como en medios retirados.
- 5
Monitoreo del almacenamiento de archivos
Visibilidad sobre qué se escribe y dónde, y sobre copias de archivos protegidos que aparecen donde no deberían.
Qué puede y qué no puede hacer el software
El software no puede impedir que alguien revise un contenedor o un disco usado. Sí cubre las copias que se crean dentro de la organización, que es donde empieza la mayoría de los residuos. El control de transferencias se describe en la página control de transferencias de archivos y recursos compartidos.
| Control | Neutraliza medios retirados | Ve copias en recursos compartidos | Registra quién escribió la copia |
|---|---|---|---|
| Saneamiento de medios | |||
| Cifrado en reposo | |||
| Auditoría de operaciones sobre archivos en Anexet |
Por dónde empezar
Empiece por los datos cuyo reaparecimiento causaría más daño y luego localice dónde se acumulan realmente sus copias. Una regla escrita para todos los archivos a la vez bloquea el trabajo diario y se desactiva en pocas semanas, mientras que una regla para unas pocas carpetas de alto valor sí se mantiene.
Los datos que se filtran por accidente suelen ser los que nadie recordó borrar.
Anexet TeamCómo lo resuelve Anexet
El software no puede impedir que alguien rebusque en un contenedor físico o en un disco de segunda mano. Esa parte del scavenging corresponde a la política de desecho, al saneamiento de soportes y a la disciplina física. Lo que Anexet aborda son los residuos digitales dentro de la organización: copias, archivos temporales y escrituras en almacenamiento compartido que, de otro modo, aparecerían y pasarían desapercibidos.
La arquitectura on-premise mantiene las reglas de detección, el contenido capturado y los registros de eventos dentro de la propia infraestructura de la organización. Esto importa porque el rastro de los datos residuales es, en sí mismo, sensible.
Auditoría de operaciones con archivos
Los agentes en los endpoints registran las operaciones con archivos en recursos compartidos de red, incluidos el nombre completo, el tamaño y el proceso que las inició. Así, los archivos que aparecen en carpetas compartidas dejan constancia de quién los colocó allí.
Almacenamiento compartido controlado
El acceso y la escritura en recursos compartidos de red pueden restringirse por nombre del recurso (lista blanca o negra), atributos del archivo y contenido. Los archivos escritos en un recurso se comprueban frente a las políticas de seguridad y pueden bloquearse o guardarse para revisión.
Copias sombra de archivos transferidos
Los archivos interceptados en dispositivos extraíbles y recursos compartidos se copian en sombra a un almacenamiento controlado, con límites de tamaño configurables. Queda un registro de lo movido, aunque el usuario elimine después el original.
Encontrar copias en lugares no aprobados
File Systems Monitoring busca en los equipos archivos que coincidan con bancos de hash de documentos protegidos, con una suma hash concreta o con atributos del archivo (nombre, extensión, tamaño). Puede actuar a distancia sobre lo encontrado: copiar, mover, ocultar, marcar como solo lectura o eliminar.
Pista de auditoría
Cada evento de archivo se registra con metadatos: usuario, marca de tiempo y acción realizada. Los investigadores obtienen una pista de auditoría completa y atribuible sobre cómo aparecieron las copias residuales y quién las manejó.
Anexet DLP
Más información