Sistemas operativos

Tema desarrollado para preparar el primer ejercicio de conocimientos de la Escala Ejecutiva (Inspector/a) de la Policía Nacional. La información es orientativa y está verificada a la fecha de actualización frente a las fuentes oficiales —BOE y documentación de los fabricantes—; el contenido evaluable lo fija el temario del anexo II de tu convocatoria (Resolución de 31 de julio de 2025, BOE-A-2025-16611). Es un tema con presencia acreditada en convocatorias oficiales: han caído literalmente la característica de un sistema multitarea, el tipo de medio al que pertenece un pendrive, que Linux es multitarea, la clasificación de UNIX por servicios frente a la de la estructura del núcleo, el papel del kernel en Linux y qué sistema operativo móvil mantiene abierto su código fuente. ⚠️ Las versiones comerciales de Windows, macOS, Android e iOS CAMBIAN cada año: aquí figuran las vigentes a la fecha de actualización, y lo evaluable es el concepto, no el número de versión.

Índice

• 1. Qué es un sistema operativo
  • 1.1. Definición y posición en el sistema
  • 1.2. El núcleo o kernel
  • 1.3. Modo núcleo, modo usuario y llamadas al sistema
  • 1.4. El intérprete de órdenes y la interfaz
  • 1.5. El arranque: BIOS, UEFI y gestor de arranque
• 2. Funciones de un sistema operativo
  • 2.1. Gestión de procesos
  • 2.2. La planificación y el cambio de contexto
  • 2.3. Gestión de la memoria
  • 2.4. Gestión de entrada y salida
  • 2.5. Gestión de ficheros
  • 2.6. Seguridad y protección
• 3. Clasificación de los sistemas operativos
  • 3.1. Por los servicios: usuarios, tareas y procesadores
  • 3.2. Por la estructura del núcleo
  • 3.3. Por la forma de uso
  • 3.4. ⚠️ La trampa: no confundir las dos clasificaciones
• 4. MS-DOS
• 5. UNIX
• 6. Linux
  • 6.1. Origen y licencia
  • 6.2. Núcleo, distribuciones y árbol de directorios
  • 6.3. Permisos, órdenes y usos
• 7. Windows
  • 7.1. De la interfaz sobre MS-DOS a la línea NT
  • 7.2. Arquitectura y registro
  • 7.3. Versiones y ciclo de soporte
• 8. macOS
• 9. Sistemas operativos móviles: Android e iOS
  • 9.1. Android
  • 9.2. iOS
  • 9.3. Comparación y modelo de seguridad
• 10. Sistemas de almacenamiento
  • 10.1. La jerarquía de memoria
  • 10.2. Clasificación por el medio
  • 10.3. Los dispositivos, uno a uno
  • 10.4. RAID, NAS, SAN y la nube
• 11. Sistemas de archivos
  • 11.1. Qué hace un sistema de archivos
  • 11.2. Particiones: MBR y GPT
  • 11.3. Las familias: FAT, NTFS, ext, APFS y las demás
  • 11.4. Qué ocurre cuando se borra un fichero
• 12. El ordenador como fuente de prueba
  • 12.1. La evidencia digital y sus caracteres
  • 12.2. Adquisición: volcado, imagen y resumen criptográfico
  • 12.3. El registro de dispositivos en la LECrim
  • 12.4. El registro remoto de equipos
  • 12.5. Cifrado, contraseñas y sus límites
• 13. Diez claves para el examen

1. Qué es un sistema operativo

1.1. Definición y posición en el sistema

Un sistema operativo es el conjunto de programas que gestiona los recursos del ordenador —procesador, memoria, almacenamiento y periféricos— y ofrece a las aplicaciones y al usuario un entorno cómodo y seguro para utilizarlos. Es, a la vez, un administrador de recursos y una máquina virtual: reparte lo que hay y, al mismo tiempo, esconde su complejidad detrás de una fachada manejable.

Su posición en el sistema se dibuja como una pila de cuatro niveles, y saber colocarlo es la mitad de las preguntas del tema:

1. El hardware: procesador, memoria, discos, tarjetas, periféricos.
2. El sistema operativo, que es el único software que habla directamente con el hardware.
3. Las aplicaciones —navegador, procesador de textos, base de datos—, que piden servicios al sistema operativo.
4. El usuario, que se relaciona con las aplicaciones y con la interfaz del sistema.

De esa pila se deduce la afirmación que el tribunal ha dado por buena: el sistema operativo actúa como intermediario entre el hardware y las aplicaciones. Y de ahí también la afirmación falsa que suele acompañarla como distractor: que el sistema permita a los usuarios acceder directamente a los dispositivos físicos. Precisamente lo contrario: el sistema operativo se interpone para que nadie acceda al hardware por su cuenta, porque si cada programa manipulara el disco a su antojo, el primer error dejaría la máquina inservible.

Las tres metas que persigue todo sistema operativo son la comodidad —que usar la máquina no exija conocer sus circuitos—, la eficiencia —aprovechar los recursos al máximo, sin que el procesador quede ocioso esperando al disco— y la capacidad de evolución —admitir hardware y funciones nuevas sin rehacerlo todo—.

1.2. El núcleo o kernel

El núcleo o kernel es la parte central e imprescindible del sistema operativo: el programa que se carga en memoria al arrancar, permanece residente mientras la máquina esté encendida y controla los recursos del sistema —la memoria, los procesos y los dispositivos— actuando como intermediario entre el hardware y las aplicaciones. Esa es, literalmente, la respuesta que el tribunal dio por correcta al preguntar por el papel del núcleo en Linux.

Sus cometidos son cuatro y conviene enunciarlos como tales:

• Planificar el procesador: decidir qué proceso se ejecuta en cada instante y durante cuánto tiempo.
• Administrar la memoria: asignar espacio a cada proceso e impedir que uno lea o escriba en el de otro.
• Gestionar los dispositivos a través de los controladores o drivers.
• Ofrecer las llamadas al sistema, que son la puerta por la que las aplicaciones piden todo lo anterior.

⚠️ Dos precisiones que se preguntan. La primera: el núcleo no es la interfaz gráfica. Un servidor Linux puede funcionar durante años sin haber pintado jamás una ventana, y ahí el núcleo hace exactamente su trabajo. Ofrecer una interfaz gráfica que facilite el uso es función de otra capa —el entorno de escritorio—, y darlo como respuesta al papel del kernel es el distractor clásico. La segunda: el núcleo no es todo el sistema operativo. Alrededor de él viven el intérprete de órdenes, las bibliotecas del sistema, los servicios en segundo plano y las utilidades; de ahí la distinción entre el kernel Linux y una distribución completa de GNU/Linux.

1.3. Modo núcleo, modo usuario y llamadas al sistema

La separación que hace posible que un programa mal escrito no tumbe la máquina es la del doble modo de ejecución, que soporta el propio procesador:

• En modo núcleo —también llamado modo supervisor, modo privilegiado o anillo 0— se puede ejecutar cualquier instrucción y acceder a toda la memoria y a todos los dispositivos. Ahí corre el núcleo, y solo él.
• En modo usuario —anillo 3— las instrucciones privilegiadas están prohibidas: el programa no puede tocar el disco, la tarjeta de red ni la memoria ajena. Ahí corren las aplicaciones.

Cuando una aplicación necesita algo que solo el núcleo puede hacer —abrir un fichero, enviar un paquete, reservar memoria— ejecuta una llamada al sistema (system call): una instrucción especial que provoca un cambio controlado a modo núcleo, entrega la petición y devuelve el resultado. Es una puerta estrecha y vigilada, y esa estrechez es la seguridad del sistema.

Este mecanismo explica dos hechos con consecuencia policial directa. El primero: un programa malicioso en modo usuario está confinado por el sistema, y por eso el objetivo de buena parte del malware avanzado es escalar privilegios hasta el modo núcleo, donde ya nada lo limita ni lo ve. El segundo: un rootkit que consigue instalarse en el núcleo puede mentirle al propio sistema operativo, ocultando ficheros y procesos, y por eso el análisis forense fiable no se hace sobre la máquina encendida y confiando en lo que ella misma cuenta.

1.4. El intérprete de órdenes y la interfaz

La interfaz es el modo en que el usuario se comunica con el sistema, y tiene dos formas clásicas:

• Interfaz de línea de órdenes (CLI): se teclean instrucciones que interpreta un programa llamado intérprete de órdenes o shell —COMMAND.COM en MS-DOS, bash o zsh en Linux y macOS, cmd y PowerShell en Windows—. Es austera, pero potente y automatizable: permite encadenar órdenes, escribir scripts y administrar máquinas remotas por una conexión de poco ancho de banda.
• Interfaz gráfica de usuario (GUI): ventanas, iconos, menús y puntero. Es la que popularizó el ordenador personal, y su ventaja es el aprendizaje casi nulo.

La una no sustituye a la otra: los servidores y los sistemas de red se administran mayoritariamente por línea de órdenes, y en el análisis forense la línea de órdenes es imprescindible porque permite dejar constancia exacta y reproducible de qué se hizo, cosa que un clic no documenta.

1.5. El arranque: BIOS, UEFI y gestor de arranque

Encender el ordenador desencadena una secuencia fija que conviene conocer porque es donde se juegan tanto la seguridad del equipo como el acceso forense:

1. El firmware de la placa toma el control. Durante décadas fue la BIOS (Basic Input/Output System), alojada en un chip de memoria no volátil; hoy es la UEFI (Unified Extensible Firmware Interface), su sucesora.
2. Se ejecuta el POST (Power-On Self-Test), que comprueba que el hardware esencial responde.
3. El firmware busca el dispositivo de arranque y le cede el control al gestor de arranque —GRUB en Linux, el Windows Boot Manager en Windows—.
4. El gestor carga el núcleo en memoria, este inicializa los controladores, monta el sistema de archivos raíz y lanza el primer proceso, del que descienden todos los demás.

Las diferencias entre BIOS y UEFI son materia de pregunta: la UEFI admite discos de más de 2 TB porque trabaja con particionado GPT y no con MBR, arranca más rápido, tiene interfaz gráfica y con ratón, y —lo más relevante— incorpora el arranque seguro (Secure Boot), que solo permite cargar software de arranque firmado digitalmente. Esa firma es la barrera que impide a un bootkit colarse antes que el sistema operativo, y es también lo que hay que desactivar —dejando constancia— para arrancar una máquina intervenida desde un medio forense externo.

2. Funciones de un sistema operativo

2.1. Gestión de procesos

Conviene separar tres conceptos que el examen mezcla a propósito:

• Un programa es un fichero en el disco: código inerte.
• Un proceso es un programa en ejecución, con su propia memoria asignada, sus ficheros abiertos y su estado. Un mismo programa puede dar lugar a muchos procesos a la vez.
• Un hilo (thread) es una línea de ejecución dentro de un proceso. Los hilos de un proceso comparten su memoria, lo que los hace ligeros y rápidos de conmutar, pero también significa que el fallo de uno puede arrastrar a todos.

El sistema mantiene, por cada proceso, un bloque de control (PCB) con su identificador o PID, su estado, el contenido de los registros, la memoria que ocupa y la lista de recursos que tiene abiertos. Ese bloque es lo que permite detener un proceso y reanudarlo después exactamente donde estaba.

Los estados por los que pasa un proceso son tres esenciales, más dos de tránsito:

• Preparado o listo: puede ejecutarse y espera turno de procesador.
• En ejecución: está ocupando el procesador en ese instante.
• Bloqueado o en espera: no puede continuar hasta que ocurra algo —que llegue un dato del disco, que el usuario pulse una tecla—.
• A ellos se añaden el estado nuevo, mientras se crea, y terminado, cuando finaliza y solo resta liberar sus recursos.

Cuando dos procesos se quedan esperando indefinidamente un recurso que tiene el otro se produce un interbloqueo (deadlock), que exige cuatro condiciones simultáneas —exclusión mutua, retención y espera, no expropiación y espera circular— y del que el sistema sale evitándolo, previniéndolo o detectándolo y matando a uno de los implicados.

2.2. La planificación y el cambio de contexto

El planificador (scheduler) decide a qué proceso preparado le toca el procesador. Los algoritmos clásicos son el FCFS —el primero que llega, el primero que se sirve—, el SJF —primero el trabajo más corto—, el de prioridades y el turno rotatorio o round robin, que reparte rodajas de tiempo (quantum) por igual y es el que da la sensación de simultaneidad en los sistemas interactivos.

Se distingue la planificación expropiativa (preemptive), en la que el sistema puede quitarle el procesador a un proceso aunque no haya terminado, de la no expropiativa, en la que el proceso lo conserva hasta que lo cede voluntariamente. Todos los sistemas de escritorio modernos son expropiativos, y esa es la razón de que un programa colgado ya no congele la máquina entera como ocurría en los años noventa.

Pasar de un proceso a otro obliga a guardar el estado del que sale y restaurar el del que entra: es el cambio de contexto. No produce trabajo útil, de modo que un cuanto demasiado corto degrada el rendimiento aunque parezca más «justo».

2.3. Gestión de la memoria

La memoria principal es escasa, volátil y compartida, y el sistema operativo debe repartirla, protegerla y ampliarla artificialmente. Sus tres cometidos:

• Asignación: dar a cada proceso el espacio que necesita y recuperarlo al terminar.
• Protección: impedir que un proceso lea o escriba fuera de lo suyo. Lo garantiza el hardware, a través de la unidad de gestión de memoria o MMU, y su violación es lo que provoca el clásico error de acceso.
• Memoria virtual: hacer creer a cada proceso que dispone de un espacio de direcciones propio y mayor que la memoria física realmente instalada.

La memoria virtual se apoya en la paginación: el espacio de direcciones se trocea en páginas de tamaño fijo y la memoria física en marcos del mismo tamaño; una tabla de páginas traduce unas en otros. Las páginas que no caben se guardan en disco, en el área de intercambio —el fichero de paginación de Windows, la partición o fichero swap de Linux—, y se traen de vuelta cuando se necesitan, lo que provoca un fallo de página. Si el trasiego se dispara y el sistema pasa más tiempo moviendo páginas que trabajando, se produce la hiperpaginación (thrashing), que es lo que se percibe como un ordenador que «se arrastra» con el disco encendido sin parar.

🚨 Ese área de intercambio tiene un valor forense de primer orden: en ella pueden quedar fragmentos de memoria escritos en el disco —textos redactados, contraseñas, claves de cifrado, imágenes vistas— que sobreviven al apagado, aunque el usuario nunca guardara nada. Junto al fichero de hibernación, que es un volcado completo de la memoria, es una de las fuentes de prueba más productivas de un equipo intervenido.

2.4. Gestión de entrada y salida

Los periféricos son lentos, heterogéneos y propensos a fallar, y el sistema operativo los uniformiza. Lo hace con tres piezas:

• Los controladores de dispositivo o drivers: programas específicos de cada modelo de hardware que traducen las órdenes genéricas del sistema al lenguaje del aparato. Se ejecutan normalmente en modo núcleo, y por eso un controlador defectuoso o manipulado es una vía privilegiada de compromiso del sistema.
• Las interrupciones: en lugar de preguntar continuamente al disco si ha terminado —lo que se llama sondeo y desperdicia procesador—, el dispositivo avisa cuando está listo y el sistema atiende la interrupción. El acceso directo a memoria (DMA) va un paso más allá y permite al dispositivo escribir en memoria sin molestar al procesador.
• El almacenamiento intermedio y el spooling: encolar los trabajos —típicamente de impresión— en disco para que el programa no tenga que esperar al periférico.

2.5. Gestión de ficheros

El sistema operativo ofrece la abstracción de fichero —una secuencia de bytes con nombre— y de directorio o carpeta, y con ellas oculta que por debajo hay sectores, pistas y bloques. Se ocupa de crear, abrir, leer, escribir, cerrar y borrar; de organizar el árbol de directorios; de traducir el nombre lógico en la posición física; de controlar el acceso concurrente para que dos procesos no se pisen; y de aplicar los permisos. El apartado 11 desarrolla los sistemas de archivos concretos.

2.6. Seguridad y protección

El sistema operativo es el primer responsable de que los usuarios no interfieran entre sí ni con la máquina. Sus mecanismos:

• Identificación y autenticación: cuentas de usuario con contraseña, y hoy además factores biométricos o dispositivos físicos.
• Autorización: permisos sobre ficheros y recursos, y separación entre cuentas administradoras y ordinarias. La regla profesional es el mínimo privilegio: trabajar a diario con una cuenta sin privilegios y elevarlos solo cuando hagan falta.
• Aislamiento: el doble modo de ejecución, la protección de memoria y las cajas de arena (sandbox) que encierran cada aplicación, especialmente en los sistemas móviles.
• Auditoría: los registros de sucesos —el Visor de eventos de Windows, los logs del sistema en Linux— que anotan inicios de sesión, conexiones de dispositivos, instalaciones y errores. Son, en la práctica, el diario de a bordo de la máquina y una de las primeras cosas que se examina en un análisis forense.
• Cifrado del volumen, integrado en el sistema: BitLocker en Windows, FileVault en macOS, LUKS en Linux.

3. Clasificación de los sistemas operativos

Los sistemas operativos se clasifican por criterios distintos que conviven: un mismo sistema es a la vez multiusuario, multitarea, multiproceso y monolítico. El examen juega precisamente con mezclar los criterios, así que hay que tenerlos separados.

3.1. Por los servicios: usuarios, tareas y procesadores

Es la clasificación por los servicios que ofrece, la que mira al sistema desde fuera. Tiene tres ejes independientes.

Por el número de usuarios simultáneos:

• Monousuario: atiende a un solo usuario cada vez, con independencia de cuántas tareas ejecute o cuántos procesadores tenga la máquina. Ejemplo canónico: MS-DOS.
• Multiusuario: da servicio a varios usuarios a la vez, con sus sesiones, sus permisos y sus ficheros separados, ya sea desde terminales conectados o por sesiones remotas. Ejemplos canónicos: UNIX, GNU/Linux y los Windows de servidor.

Por el número de tareas simultáneas:

• Monotarea: solo permite una tarea a la vez; hay que terminar una para empezar otra. Ejemplo canónico: MS-DOS.
• 🚨 Multitarea: permite que se ejecuten varios procesos a la vez. Esa es, palabra por palabra, la característica fundamental que el tribunal ha dado por buena. Y son falsas las dos respuestas con las que se acompaña: «gestionar dos o más procesadores» describe un sistema multiproceso, y «atender a varios usuarios al mismo tiempo» describe uno multiusuario. Son tres cosas distintas.

Conviene además distinguir tres formas de multitarea: la cooperativa, en la que cada programa cede voluntariamente el turno —y basta con que uno no lo ceda para colgar el sistema, como ocurría en los primeros Windows—; la expropiativa, en la que el sistema reparte el tiempo por su cuenta, que es la de todos los sistemas actuales; y la real frente a la aparente: con un solo núcleo la simultaneidad es una ilusión creada por el reparto rapidísimo del procesador, mientras que con varios núcleos hay ejecución realmente paralela.

Por el número de procesadores:

• Uniproceso o monoprocesador: gestiona un único procesador.
• Multiproceso: gestiona dos o más procesadores o núcleos. Se subdivide en simétrico (SMP), en el que todos los procesadores son iguales y cualquiera puede ejecutar cualquier tarea —lo habitual hoy—, y asimétrico (AMP), en el que un procesador maestro reparte y los demás obedecen.

3.2. Por la estructura del núcleo

Es la clasificación interna, la que mira cómo está construido el núcleo:

• Monolítico: todo el sistema —gestión de memoria, de procesos, de ficheros y de dispositivos— vive en un único bloque que se ejecuta entero en modo núcleo. Ventaja: rendimiento, porque las llamadas internas no cruzan fronteras. Inconveniente: un fallo en cualquier parte, incluido un controlador, tumba el sistema completo, y mantenerlo es más difícil. Es la estructura de UNIX y de Linux, que mitiga el problema con módulos cargables en caliente.
• Por capas: el sistema se organiza en niveles jerárquicos donde cada capa solo usa los servicios de la inmediatamente inferior. Es más ordenado y más lento; el ejemplo histórico es MULTICS.
• Microkernel o micronúcleo: el núcleo se reduce al mínimo —planificación básica, gestión elemental de memoria y comunicación entre procesos— y todo lo demás —sistema de ficheros, controladores, pila de red— se ejecuta como procesos en modo usuario. Ventajas: modularidad, estabilidad y seguridad, porque el fallo de un controlador solo mata ese servicio. Inconveniente: el rendimiento cae, porque cada operación exige mensajes entre procesos. Ejemplos: MINIX, QNX, Mach.
• Híbrido: adopta la organización modular del microkernel pero mantiene en modo núcleo los servicios críticos para no perder velocidad. Es la estructura que se atribuye a Windows NT y al XNU de macOS.
• Máquina virtual y exokernel: modelos en los que una capa muy fina reparte el hardware real entre varias máquinas virtuales o expone los recursos casi en crudo a las aplicaciones.

3.3. Por la forma de uso

• Por lotes (batch): los trabajos se agrupan y se ejecutan sin interacción. Es el modelo de los primeros grandes ordenadores y sobrevive en los procesos nocturnos de la banca y de la Administración.
• De tiempo compartido: reparten el procesador entre usuarios interactivos con rodajas de tiempo. Es el modelo del que nació UNIX.
• De tiempo real: garantizan que una respuesta se produce dentro de un plazo determinado. Se distingue el tiempo real estricto —incumplir el plazo equivale a fallar: control de vuelo, airbag, marcapasos— del flexible, donde una demora degrada la calidad sin ser catastrófica.
• Distribuidos: coordinan varias máquinas para que se comporten como una sola.
• Empotrados o embebidos: van dentro de un aparato con función fija —un electrodoméstico, un vehículo, un sensor, un enrutador—, con recursos muy limitados. Son mayoría absoluta en número de dispositivos y son también el flanco débil del Internet de las cosas, porque muchos nunca reciben actualizaciones.

3.4. ⚠️ La trampa: no confundir las dos clasificaciones

🚨 Aquí está la pregunta más fina que ha caído del tema. Al preguntar qué es UNIX «si nos atenemos a una clasificación de sistemas operativos por servicios», las opciones ofrecidas eran multiusuario, monolítico y microkernel. La respuesta correcta es multiusuario, y el motivo no es que las otras dos sean falsas de UNIX —de hecho su núcleo sí es monolítico—, sino que pertenecen a la otra clasificación, la de la estructura interna.

La regla para no fallar: si el enunciado dice «por servicios», la respuesta está entre monousuario/multiusuario, monotarea/multitarea y uniproceso/multiproceso. Si dice «por su estructura» o «por el diseño del núcleo», está entre monolítico, por capas, microkernel e híbrido. Poner una etiqueta verdadera pero del cajón equivocado es la trampa, y es de las que más se repiten.

Sistema	Usuarios	Tareas	Estructura del núcleo
MS-DOS	Monousuario	Monotarea	Monolítico simple, sin capas
UNIX	Multiusuario	Multitarea	Monolítico
Linux	Multiusuario	Multitarea	Monolítico con módulos
Windows (línea NT)	Multiusuario	Multitarea	Híbrido
macOS	Multiusuario	Multitarea	Híbrido (XNU)
Android	Multiusuario	Multitarea	Monolítico (núcleo Linux)

4. MS-DOS

MS-DOS (MicroSoft Disk Operating System) fue el sistema operativo que Microsoft entregó con el IBM PC en 1981 y que dominó el ordenador personal durante la década siguiente. No lo escribió Microsoft desde cero: adquirió un sistema previo —conocido como 86-DOS o QDOS— y lo adaptó, decisión comercial que resultó ser una de las más rentables de la historia del sector.

Sus características, que son las que se preguntan:

• Monousuario y monotarea: un solo usuario y una sola tarea a la vez. Es el ejemplo de libro de ambas categorías.
• Interfaz de línea de órdenes exclusivamente, a través del intérprete COMMAND.COM. No tiene interfaz gráfica: las primeras versiones de Windows fueron precisamente un entorno gráfico que se ejecutaba encima de MS-DOS, no un sistema operativo independiente.
• Arquitectura de 16 bits y direccionamiento limitado, con la célebre barrera de los 640 KB de memoria convencional que condicionó el diseño de los programas de la época.
• Sistema de archivos FAT (FAT12 y después FAT16), con nombres en formato 8.3: ocho caracteres de nombre y tres de extensión.
• Órdenes que siguen vivas en el intérprete de Windows: DIR, CD, COPY, DEL, MD, FORMAT, ATTRIB.
• Ficheros de arranque característicos: CONFIG.SYS y AUTOEXEC.BAT.

La última versión independiente fue MS-DOS 6.22, de 1994; después quedó como capa de compatibilidad bajo Windows 95, 98 y Me, y desapareció con la línea NT. Microsoft ha publicado con licencia libre el código fuente de las versiones 1.25, 2.0 y 4.00 por interés histórico —no el de la 6.22, que sigue siendo propietario—. Estudiarlo sigue teniendo sentido en el examen porque es el contraejemplo perfecto: todo lo que MS-DOS no era —multiusuario, multitarea, gráfico, protegido— es lo que define a un sistema operativo moderno.

5. UNIX

UNIX nació en 1969 en los Laboratorios Bell de AT&T, de la mano de Ken Thompson y Dennis Ritchie, como reacción a la complejidad del proyecto MULTICS. Su decisión más trascendente llegó en 1973: reescribirlo en lenguaje C —creado por Ritchie para ese fin— en lugar de en ensamblador. Eso lo hizo portable entre máquinas distintas, algo inaudito entonces, y explica que su descendencia siga viva más de medio siglo después.

Sus rasgos definitorios:

• Multiusuario y multitarea desde el diseño, con tiempo compartido, cuentas separadas y permisos.
• Núcleo monolítico, escrito en C, con una interfaz de llamadas al sistema pequeña y estable.
• «Todo es un fichero»: los dispositivos, los procesos y hasta los canales de comunicación se manejan con las mismas operaciones que un fichero de texto. Es la idea que da a UNIX su coherencia.
• Herramientas pequeñas que se combinan: cada programa hace una cosa bien y se encadena con otros mediante tuberías (pipes). De ahí la potencia de su línea de órdenes.
• Sistema de ficheros jerárquico único, con una raíz «/» de la que cuelga todo, sin letras de unidad.
• Permisos de lectura, escritura y ejecución para el propietario, el grupo y los demás, y un superusuario llamado root.

Su historia se bifurcó en dos grandes ramas —System V, la línea de AT&T, y BSD, la de la Universidad de Berkeley—, y esa fragmentación hizo necesaria una norma común: POSIX (norma IEEE 1003), que define la interfaz que un sistema debe ofrecer para considerarse compatible. Hoy la marca UNIX la administra The Open Group y solo pueden usarla los sistemas que superan su certificación; de ahí la distinción entre un UNIX certificado —como macOS o AIX— y los sistemas de tipo UNIX como Linux o los BSD, que siguen su filosofía sin ostentar la marca.

La huella de UNIX está en todas partes: en Linux y en Android, en macOS y en iOS, en los servidores de Internet y en los sistemas de los grandes centros de proceso. Por eso el examen lo pregunta: no es una antigualla, es el tronco del que salió casi todo lo demás.

6. Linux

6.1. Origen y licencia

En 1991, Linus Torvalds, estudiante de la Universidad de Helsinki, publicó el núcleo de un sistema operativo de tipo UNIX escrito por él y lo liberó para que cualquiera pudiera usarlo y mejorarlo. Ese núcleo es, en rigor, lo único que se llama Linux.

Le faltaba todo lo demás, y eso ya existía: el proyecto GNU que Richard Stallman había puesto en marcha en 1983 llevaba años produciendo compilador, intérprete de órdenes y utilidades libres, pero carecía de núcleo. La unión de ambas piezas dio el sistema completo, y de ahí la denominación GNU/Linux, que es la técnicamente correcta cuando se habla del sistema entero y no solo del núcleo.

Su licencia es la GPL (General Public License), que garantiza las cuatro libertades del software libre —usar, estudiar, modificar y distribuir— e impone la condición del copyleft: quien distribuye una versión modificada debe hacerlo también bajo la misma licencia y publicando el código. Conviene no confundir software libre con gratuito: la libertad se refiere al acceso al código y a los derechos sobre él, no al precio, y de hecho hay negocio en torno a Linux —soporte, certificación, servicios— que factura miles de millones.

6.2. Núcleo, distribuciones y árbol de directorios

El núcleo de Linux es monolítico pero modular: los controladores y funciones que no siempre hacen falta se cargan y descargan en caliente como módulos. Con eso conserva el rendimiento del monolítico sin arrastrar en memoria lo que no se usa.

Una distribución es el núcleo más el conjunto de programas, el instalador, el gestor de paquetes y las políticas de mantenimiento que la hacen usable. Las más citadas: Debian, muy conservadora y base de muchas otras; Ubuntu, la más extendida en escritorio; Fedora y Red Hat Enterprise Linux; SUSE; Arch; y, en el ámbito de la seguridad, Kali Linux, que reúne preinstaladas las herramientas de auditoría y análisis forense.

El árbol de directorios sigue una norma común, la jerarquía estándar de ficheros, y sus ramas se preguntan:

Directorio	Qué contiene
/	La raíz: no hay letras de unidad, todo cuelga de aquí
/bin y /sbin	Órdenes esenciales; las de sbin, para el administrador
/boot	El núcleo y los ficheros de arranque
/dev	Los dispositivos, tratados como ficheros
/etc	La configuración del sistema, en ficheros de texto
/home	Las carpetas personales de los usuarios
/root	La carpeta personal del superusuario
/proc y /sys	Ventanas al estado del núcleo y de los procesos, en memoria
/var	Datos variables: registros del sistema, colas de correo, cachés
/tmp	Ficheros temporales, que suelen borrarse al reiniciar

6.3. Permisos, órdenes y usos

Linux es multiusuario y multitarea —y esa es la respuesta que ha caído literalmente en el examen: multitarea, frente a los distractores monotarea y el disparatado pasivo—. Su modelo de permisos es el heredado de UNIX: cada fichero tiene un propietario, un grupo y tres ternas de permisos de lectura (r), escritura (w) y ejecución (x) para el propietario, el grupo y el resto. Se manejan con chmod —en notación simbólica o numérica, donde 4 es leer, 2 escribir y 1 ejecutar, de modo que 755 o 644 son combinaciones habituales— y chown para el propietario.

El superusuario es root, que no está sujeto a los permisos; la buena práctica es no usarlo directamente y elevar privilegios puntualmente con sudo, lo que además deja rastro en los registros. Órdenes básicas: ls, cd, pwd, cp, mv, rm, mkdir, cat, grep, find, ps, top, kill, df, mount, man.

Dónde manda Linux: en los servidores y en la infraestructura de Internet, en la supercomputación, en los sistemas empotrados y —a través de Android— en la mayoría de los teléfonos del mundo. En el escritorio su cuota es minoritaria. Y en el trabajo policial tiene un papel propio: las distribuciones forenses arrancan desde un medio externo y montan los discos en solo lectura, lo que permite examinar un equipo sin alterar su contenido, que es el requisito de toda prueba digital.

7. Windows

7.1. De la interfaz sobre MS-DOS a la línea NT

La historia de Windows se entiende en dos líneas que acaban confluyendo:

• La línea doméstica sobre MS-DOS: Windows 1.0 (1985) y sus sucesores no eran sistemas operativos, sino entornos gráficos que corrían encima de MS-DOS. Windows 3.x popularizó el modelo, y Windows 95, 98 y Me integraron cada vez más funciones, pero seguían arrastrando el DOS por debajo y con él su falta de protección real entre procesos.
• La línea NT (New Technology): un sistema operativo de 32 bits escrito desde cero, con núcleo propio, protección de memoria y multitarea expropiativa de verdad. Empezó con Windows NT 3.1 (1993), siguió con NT 4.0 y Windows 2000, y con Windows XP (2001) llegó por primera vez al usuario doméstico. De ahí en adelante todo Windows es NT: Vista, 7, 8, 8.1, 10 y 11 comparten ese núcleo.

7.2. Arquitectura y registro

La arquitectura de la línea NT separa con nitidez los dos modos de ejecución:

• En modo núcleo: la capa de abstracción del hardware (HAL), que aísla al resto del sistema de las peculiaridades de cada placa; el núcleo propiamente dicho; el Executive, que agrupa los gestores de objetos, procesos, memoria virtual, entrada/salida y seguridad; y los controladores de dispositivo.
• En modo usuario: los subsistemas de entorno —en la práctica, el subsistema Win32—, los servicios del sistema y las aplicaciones.

Por esa organización —modular como un microkernel, pero con los servicios críticos dentro del núcleo por velocidad— se clasifica el núcleo de Windows NT como híbrido.

Su elemento más característico es el Registro de Windows: una base de datos jerárquica que guarda la configuración del sistema, del hardware, de las aplicaciones y de cada usuario. Se organiza en claves raíz —HKEY_LOCAL_MACHINE, HKEY_CURRENT_USER, HKEY_CLASSES_ROOT, HKEY_USERS y HKEY_CURRENT_CONFIG— y se examina con regedit. 🚨 Su interés forense es enorme: el Registro conserva qué dispositivos USB se han conectado alguna vez, qué programas se han ejecutado, qué documentos se han abierto, qué redes inalámbricas se han usado y desde qué cuentas se ha iniciado sesión. Es, junto al Visor de eventos, la memoria del equipo.

Otras piezas propias: el sistema de archivos NTFS; el Directorio Activo (Active Directory), que centraliza usuarios y políticas en las redes corporativas; el Control de cuentas de usuario (UAC), que pide confirmación antes de elevar privilegios; PowerShell como intérprete de órdenes moderno; Windows Defender como antivirus integrado; y BitLocker para el cifrado del volumen.

7.3. Versiones y ciclo de soporte

Windows es, con mucha diferencia, el sistema operativo dominante en el escritorio: en torno al 57 % del uso mundial medido a la fecha de este apunte, muy por delante de los sistemas de Apple y de Linux, que ronda el 4 %. ⚠️ Estas cifras hay que tomarlas con cautela y no memorizarlas: no cuentan licencias ni equipos, sino sesiones de navegación, y varían con la fuente y con el mes; lo evaluable es el orden —Windows domina el escritorio y Android el móvil—, no el decimal. Se distribuye en dos familias, la de cliente (Windows 10, Windows 11) y la de servidor (Windows Server), y en ediciones —Home, Pro, Enterprise, Education— que se diferencian sobre todo en las funciones de gestión, cifrado y unión a dominio.

⚠️ Lo que sí conviene tener claro, porque tiene consecuencias de seguridad y no de gusto, es el ciclo de soporte. Windows 10 dejó de recibir soporte el 14 de octubre de 2025: desde entonces no recibe actualizaciones de seguridad salvo que se contrate el programa de actualizaciones de seguridad extendidas, que para consumidores prolonga la cobertura un año más. Un equipo con un sistema sin soporte sigue funcionando, y ahí está el peligro: acumula vulnerabilidades conocidas que nadie va a corregir, lo que en una organización constituye un riesgo que la normativa de seguridad de la información obliga a gestionar.

8. macOS

macOS es el sistema operativo de los ordenadores Apple. Su historia tiene un corte nítido: el Macintosh de 1984 estrenó la interfaz gráfica en el mercado de consumo y su sistema evolucionó hasta Mac OS 9; en 2001, Apple lo sustituyó por Mac OS X, construido sobre una base completamente distinta, la de NeXTSTEP —el sistema de la empresa que Steve Jobs había fundado tras salir de Apple y que Apple compró en 1996—. Cambió de nombre a OS X y, desde 2016, a macOS.

Sus rasgos técnicos:

• Su base es Darwin, de código abierto, con el núcleo XNU, que es híbrido: combina el micronúcleo Mach con componentes BSD. De ahí que macOS sea un UNIX certificado por The Open Group —a diferencia de Linux, que es «de tipo UNIX» pero no ostenta la marca— y que traiga una línea de órdenes de UNIX completa.
• Es multiusuario y multitarea, con permisos de tipo UNIX y superusuario root desactivado por defecto.
• Su sistema de archivos es APFS (Apple File System) desde 2017, que sustituyó a HFS+. Está optimizado para almacenamiento de estado sólido y ofrece instantáneas, clonado de ficheros y cifrado integrado.
• Su modelo de seguridad se apoya en Gatekeeper, que solo permite ejecutar aplicaciones firmadas y verificadas; la protección de la integridad del sistema (SIP), que impide modificar zonas críticas incluso siendo administrador; FileVault para el cifrado del disco; y el aislamiento de las aplicaciones en cajas de arena. En los equipos con silicio de Apple, buena parte de esas garantías se anclan en el enclave seguro, un coprocesador que custodia las claves.
• Time Machine es su sistema de copias de seguridad incrementales, y su existencia importa en una investigación: un disco de Time Machine puede conservar versiones antiguas de ficheros que ya se borraron del equipo.

⚠️ Sobre las versiones: durante años se numeraron correlativamente y se nombraron con lugares de California —Sierra, Mojave, Catalina, Big Sur, Monterey, Ventura, Sonoma, Sequoia—. En 2025 Apple cambió el criterio y pasó a numerar todos sus sistemas por el año de la temporada correspondiente, de modo que tras macOS 15 llegó macOS 26 «Tahoe», y en paralelo iOS 26, iPadOS 26 y watchOS 26. Es un salto de numeración deliberado, no un error: quien memorice «la última es la 15» se quedará desfasado y, peor, sin entender por qué.

9. Sistemas operativos móviles: Android e iOS

Un sistema operativo móvil hace lo mismo que uno de escritorio, pero con tres condicionantes que lo cambian todo: batería —hay que apagar lo que no se usa—, pantalla táctil y pequeña, y conectividad permanente con sensores que un ordenador no tiene: GPS, acelerómetro, cámaras, NFC. A ello se añade un modelo de seguridad mucho más cerrado: cada aplicación vive en su propia caja de arena y solo accede a lo que el usuario le autoriza expresamente.

El mercado está repartido entre dos, con Android muy por delante en número de dispositivos y iOS concentrado en el ecosistema de Apple.

9.1. Android

Android lo desarrolló inicialmente la empresa Android Inc., que Google adquirió en 2005; el primer teléfono comercial llegó en 2008. Sus rasgos:

• Está construido sobre el núcleo de Linux, del que hereda la gestión de procesos, memoria y controladores. Encima añade sus propias bibliotecas, su entorno de ejecución de aplicaciones y el marco de trabajo con el que se programan.
• 🚨 Mantiene su código fuente abierto, a través del Proyecto de Código Abierto de Android (AOSP), y esa es la respuesta que ha caído literalmente en el examen: Android sí, iOS no, y tampoco valía «ambas son correctas».
• Es multiusuario y multitarea, y su aislamiento se apoya en el propio modelo de Linux: cada aplicación recibe su propio identificador de usuario, de modo que no puede leer los datos de otra.
• Las aplicaciones se empaquetan en ficheros APK y se distribuyen sobre todo por Google Play, aunque el sistema permite instalar desde otras fuentes. Esa apertura es su principal ventaja y también su principal riesgo: la mayor parte del malware móvil se distribuye por aplicaciones instaladas fuera de la tienda oficial.
• Sus versiones se nombraron con postres hasta la novena y desde entonces solo con números; a la fecha de este apunte la vigente es Android 17.
• Su problema estructural es la fragmentación: como cada fabricante adapta el sistema a sus terminales, las actualizaciones de seguridad tardan o no llegan, y conviven en el mercado muchísimas versiones distintas.

⚠️ Un matiz que conviene conocer porque afina la respuesta sin contradecirla: Google trasladó el desarrollo de las versiones nuevas a ramas internas y ya no se sigue en tiempo real, y desde 2026 publica el código en AOSP en dos entregas al año. El código sigue publicándose —Android sigue siendo el sistema móvil de código abierto—, pero la transparencia del proceso ha disminuido. Y hay una parte que nunca fue abierta: los Servicios de Google Play y las aplicaciones propias de Google son propietarias, y por eso un teléfono con AOSP puro no trae la tienda ni los servicios de Google.

9.2. iOS

iOS nació con el iPhone en 2007 —se llamó iPhone OS hasta 2010— y es el sistema de los dispositivos móviles de Apple; en 2019 la variante para tabletas se separó como iPadOS. Sus rasgos:

• Comparte con macOS la base Darwin y el núcleo XNU, de modo que por dentro es también un sistema de tipo UNIX.
• Es de código cerrado y propietario. Que algunos componentes de Darwin se publiquen no convierte a iOS en abierto: el sistema, sus interfaces y sus aplicaciones no lo son.
• Funciona solo sobre hardware de Apple, lo que le permite un control del ciclo de actualización que Android no tiene: las versiones nuevas llegan el mismo día a casi todos los modelos soportados.
• Su modelo de seguridad es más restrictivo: caja de arena estricta por aplicación, arranque seguro encadenado desde el hardware, cifrado del dispositivo por defecto y claves custodiadas en el enclave seguro, y revisión previa de las aplicaciones.
• La distribución se hizo históricamente solo por la App Store. Desde 2024, y por exigencia del Reglamento de Mercados Digitales de la Unión Europea, en el territorio de la Unión se admiten tiendas alternativas bajo condiciones.
• La versión vigente a la fecha de este apunte es iOS 26, tras el cambio de Apple a la numeración por año.

9.3. Comparación y modelo de seguridad

	Android	iOS
Desarrollador	Google y el proyecto AOSP	Apple
Núcleo	Linux (monolítico modular)	XNU (híbrido, Mach y BSD)
Código fuente	Abierto (AOSP)	Cerrado y propietario
Hardware	Muchos fabricantes	Solo dispositivos de Apple
Instalación de aplicaciones	Tienda propia y otras fuentes	App Store; tiendas alternativas en la UE
Actualizaciones	Dependen del fabricante: fragmentación	Centralizadas y simultáneas
Paquete de aplicación	APK	IPA

Para la investigación, la diferencia práctica es el cifrado: ambos sistemas cifran el dispositivo por defecto y ligan la clave al código de acceso del usuario y a un elemento de hardware, de modo que no basta con extraer la memoria para leerla. De ahí que la intervención de un terminal se juegue casi siempre en el acceso al desbloqueo, en las copias de seguridad —locales o en la nube— y en la información que los prestadores conservan, más que en el volcado bruto del chip.

10. Sistemas de almacenamiento

10.1. La jerarquía de memoria

El almacenamiento de un ordenador se organiza en una pirámide en la que, de arriba abajo, la capacidad crece, el precio por byte baja y la velocidad cae:

1. Registros del procesador: unos pocos bytes, acceso inmediato.
2. Memoria caché (niveles L1, L2 y L3): pequeña y rapidísima, guarda lo que se acaba de usar.
3. Memoria principal o RAM: donde viven los programas en ejecución. Es volátil: su contenido se pierde al apagar.
4. Almacenamiento secundario: discos duros y unidades de estado sólido. Es no volátil y es donde reside todo de forma permanente.
5. Almacenamiento terciario o de respaldo: cintas, discos ópticos, copias remotas y en la nube.

La distinción entre volátil y no volátil es la que separa la RAM de la ROM y del disco, y tiene una consecuencia policial inmediata: 🚨 apagar un equipo intervenido destruye la memoria RAM, y con ella las claves de cifrado en uso, los procesos en ejecución, las conexiones de red abiertas y el contenido descifrado de lo que estuviera abierto. Por eso el volcado de memoria en caliente es una decisión que se toma antes de tocar el interruptor.

10.2. Clasificación por el medio

Es la clasificación que se pregunta, y se hace según cómo se registra físicamente la información:

Medio	Cómo guarda la información	Dispositivos
Magnético	Orientando partículas magnéticas sobre una superficie	Disco duro (HDD), disquete, cinta
Óptico	Marcas leídas con un haz láser	CD, DVD, Blu-ray
Electrónico o de estado sólido	Cargas eléctricas atrapadas en celdas de memoria, sin piezas móviles	Memoria USB o pendrive, SSD, tarjetas SD
Magneto-óptico	Escribe calentando con láser y magnetizando; lee ópticamente	Discos MO, minidisc (en desuso)

🚨 De ahí la pregunta que cayó literalmente: los pendrives son dispositivos de almacenamiento de medio electrónico. No son ópticos —no hay láser ni disco que gire— ni magnético-ópticos, que es una tecnología distinta y hoy prácticamente extinta. La regla para no fallar: si no tiene partes móviles y guarda la carga en celdas, es electrónico.

10.3. Los dispositivos, uno a uno

• Disco duro (HDD): platos magnéticos que giran y cabezales que se desplazan. Se organiza en pistas, sectores y cilindros. Barato por gigabyte y de gran capacidad, pero lento y frágil frente a golpes por tener partes móviles.
• Unidad de estado sólido (SSD): memoria flash sin partes móviles. Mucho más rápida, silenciosa y resistente; su celda tiene un número limitado de ciclos de escritura, que el propio dispositivo gestiona repartiendo el desgaste. Se conecta por SATA o, en las versiones rápidas, por NVMe sobre el zócalo M.2.
• Memoria USB o pendrive y tarjetas de memoria (SD, microSD): misma tecnología flash, en formato extraíble. Son el vector más frecuente de fuga de información y de introducción de malware en redes cerradas, y por eso su uso está restringido o bloqueado en los entornos sensibles.
• Discos ópticos: CD (unos 700 MB), DVD (4,7 GB de una capa) y Blu-ray (25 GB de una capa). Su ventaja hoy es que la grabación no regrabable es inalterable, lo que se aprovecha para entregar copias de evidencias.
• Cinta magnética: parece anacrónica y no lo es. Sigue siendo el soporte de respaldo masivo más barato y duradero, con acceso secuencial —hay que recorrerla— frente al acceso directo de discos y memorias.

10.4. RAID, NAS, SAN y la nube

El RAID (conjunto redundante de discos independientes) combina varios discos para ganar velocidad, tolerancia a fallos o ambas cosas. Los niveles que se preguntan:

• RAID 0 (striping): reparte los datos entre discos. Gana velocidad y capacidad, pero no tiene redundancia: si falla un disco se pierde todo. Mínimo, 2 discos.
• RAID 1 (espejo): duplica los datos en dos discos. La capacidad útil es la mitad y sobrevive a la pérdida de uno.
• RAID 5: reparte datos y paridad entre todos los discos; tolera el fallo de uno. Mínimo, 3 discos.
• RAID 6: con doble paridad, tolera el fallo de dos. Mínimo, 4 discos.
• RAID 10: espejo y reparto combinados; rápido y tolerante, a costa de la mitad de la capacidad.

⚠️ Una advertencia que se pregunta en forma de afirmación falsa: el RAID no es una copia de seguridad. Protege frente a la avería de un disco, no frente a un borrado accidental, un cifrado por ransomware o un incendio, porque todos esos daños se replican al instante en los demás discos.

Por último, el almacenamiento en red: el NAS es un dispositivo que comparte ficheros por la red local y es habitual en pymes y domicilios; la SAN es una red dedicada de alta velocidad que ofrece a los servidores bloques de disco como si fueran locales; y el almacenamiento en la nube traslada los datos a servidores de un prestador. Este último plantea en la investigación un problema propio: la información puede estar fuera de España y en jurisdicción ajena, y el equipo intervenido a menudo solo conserva la credencial, no los datos.

11. Sistemas de archivos

11.1. Qué hace un sistema de archivos

Un sistema de archivos es la forma en que el sistema operativo organiza la información en un soporte: cómo se nombran los ficheros, cómo se estructuran los directorios, dónde se anota qué bloques ocupa cada uno y qué espacio está libre. Sin él, un disco sería una sucesión de sectores indistinguibles.

Sus cometidos son cuatro: mantener la estructura de directorios; llevar la tabla de asignación que dice qué bloques pertenecen a qué fichero; guardar los metadatos —tamaño, fechas de creación, modificación y último acceso, propietario, permisos—; y gestionar el espacio libre. Los sistemas modernos añaden el registro por diario (journaling): antes de escribir, anotan lo que van a hacer, de modo que un corte de corriente no deja el disco en un estado incoherente.

🚨 Los metadatos temporales —creación, modificación y último acceso— son una de las piezas más explotadas del análisis forense, porque permiten reconstruir una cronología. Y por lo mismo son una de las más manipuladas: existen herramientas que los alteran, así que una fecha aislada es un indicio, no una prueba, y se contrasta con los registros del sistema y con otras fuentes.

11.2. Particiones: MBR y GPT

Antes de crear un sistema de archivos hay que particionar el soporte, y para ello hay dos esquemas:

• MBR (Master Boot Record): el clásico, ligado a la BIOS. Guarda la tabla de particiones en el primer sector del disco y tiene dos límites duros: no maneja discos de más de 2 TB y admite un máximo de cuatro particiones primarias —o tres más una extendida que a su vez contiene lógicas—.
• GPT (GUID Partition Table): el moderno, ligado a la UEFI. Supera con creces el límite de tamaño, admite muchas más particiones y guarda copias redundantes de su tabla al principio y al final del disco, además de sumas de comprobación, lo que lo hace mucho más robusto.

11.3. Las familias: FAT, NTFS, ext, APFS y las demás

Sistema	Dónde se usa	Qué conviene saber
FAT16 / FAT32	MS-DOS, Windows antiguos, medios extraíbles	Sencillo y compatible con todo. FAT32 no admite ficheros de más de 4 GB y no tiene permisos ni diario
exFAT	Memorias USB y tarjetas de gran capacidad	Pensado para superar el límite de 4 GB manteniendo la compatibilidad entre sistemas
NTFS	Windows, desde la línea NT	Diario, permisos y listas de control de acceso, compresión, cuotas, cifrado (EFS) y flujos de datos alternativos
ReFS	Windows Server	Orientado a resiliencia y grandes volúmenes
ext2 / ext3 / ext4	Linux	ext3 añadió el diario y ext4 es hoy el más común; los ficheros se describen mediante inodos
XFS, Btrfs, ZFS	Linux y servidores	Grandes volúmenes, instantáneas y comprobación de integridad
HFS+ / APFS	macOS e iOS	APFS sustituyó a HFS+ en 2017: optimizado para memoria flash, con instantáneas y cifrado nativo

Un detalle de NTFS con relevancia forense propia: los flujos de datos alternativos permiten adjuntar a un fichero contenido adicional que no se ve en el explorador ni suma al tamaño aparente. Se han usado para ocultar información y ejecutables, y por eso las herramientas de análisis los examinan expresamente.

11.4. Qué ocurre cuando se borra un fichero

Es uno de los puntos con más recorrido del tema, porque lo que todo el mundo cree que pasa no es lo que pasa. Al borrar un fichero —vaciando incluso la papelera— el sistema operativo no sobrescribe los datos: se limita a marcar como libre el espacio que ocupaban y a eliminar su entrada del directorio. El contenido sigue físicamente en el disco hasta que otro fichero ocupe esos bloques, y por eso es recuperable.

De ahí se derivan tres conceptos que se preguntan:

• El espacio no asignado: bloques marcados como libres que aún conservan restos de ficheros anteriores.
• El espacio sobrante de bloque (slack space): como el disco se asigna en bloques de tamaño fijo, un fichero pequeño deja sin usar el resto del bloque, y en ese hueco pueden quedar fragmentos de lo que hubo antes.
• El borrado seguro: para eliminar de verdad hay que sobrescribir el espacio, o cifrar el soporte y destruir la clave, o destruirlo físicamente.

⚠️ Y una diferencia técnica que cambia el resultado de una investigación: en las unidades de estado sólido el sistema envía la orden TRIM para avisar al disco de qué bloques ya no se usan, y el controlador los borra por su cuenta para mantener el rendimiento. Con TRIM activo, los datos de un fichero eliminado pueden desaparecer en minutos y de forma irreversible, algo que no ocurre en un disco magnético. Es una de las razones por las que la rapidez en la adquisición importa tanto y por las que un SSD intervenido no debe conectarse sin bloqueo de escritura.

12. El ordenador como fuente de prueba

12.1. La evidencia digital y sus caracteres

Todo lo explicado —procesos, memoria, ficheros, sistemas de archivos— confluye en un punto operativo: un equipo intervenido es, casi siempre, la principal fuente de prueba de la causa. La evidencia digital tiene cuatro caracteres que condicionan cómo se trata:

• Es volátil: buena parte de lo relevante —memoria, procesos, conexiones abiertas, claves en uso— desaparece al apagar.
• Es alterable con enorme facilidad, y a menudo sin querer: el mero hecho de arrancar el equipo o de abrir un fichero modifica fechas y escribe en el disco.
• Es duplicable de forma idéntica: a diferencia de una huella o de un arma, se puede obtener una copia matemáticamente indistinguible del original, y trabajar sobre ella.
• Está dispersa: parte en el equipo, parte en el teléfono, parte en la nube, parte en los registros del prestador.

De los dos primeros nace la cadena de custodia —documentar quién ha tenido el efecto, cuándo y qué se ha hecho con él— y del tercero nace la regla de oro del análisis: no se trabaja nunca sobre el original.

12.2. Adquisición: volcado, imagen y resumen criptográfico

La adquisición sigue un orden de volatilidad, de lo que antes se pierde a lo que más aguanta: primero el contenido de la memoria RAM y el estado del sistema —procesos, conexiones, sesiones, unidades cifradas montadas—; después los discos; por último los medios externos y las copias remotas.

Sobre el almacenamiento se practica una imagen forense: una copia bit a bit del soporte entero, no de los ficheros visibles. Esa distinción es la clave: la copia bit a bit incluye el espacio no asignado, el sobrante de bloque, las particiones ocultas y los metadatos, es decir, todo lo que una copia normal dejaría fuera.

Dos garantías acompañan siempre a la operación:

• El bloqueador de escritura, un dispositivo que se interpone físicamente entre el disco y el equipo de análisis y impide cualquier escritura sobre el original. Sin él, el simple hecho de conectar el disco lo modificaría.
• El resumen criptográfico o hash —típicamente SHA-256—, que se calcula sobre el original y sobre la copia. Si ambos coinciden, se acredita que la copia es idéntica; y si más adelante el resumen de la evidencia sigue siendo el mismo, se acredita que nadie la ha alterado. Es la firma que sostiene la integridad de toda la prueba digital: basta con que cambie un solo bit para que el resumen sea completamente distinto.

12.3. El registro de dispositivos en la LECrim

La Ley Orgánica 13/2015 introdujo en la Ley de Enjuiciamiento Criminal una sección propia para el registro de dispositivos de almacenamiento masivo de información, artículos 588 sexies a, b y c. Sus reglas, que son materia directa de examen:

• 🚨 Art. 588 sexies a · La incautación no basta. Cuando en un registro domiciliario sea previsible aprehender ordenadores, teléfonos o dispositivos de almacenamiento masivo, la resolución del juez debe motivar expresamente por qué se legitima el acceso a la información que contienen. Y el apartado 2 lo dice sin rodeos: la simple incautación del dispositivo NO legitima el acceso a su contenido, sin perjuicio de que el juez lo autorice después. Son dos decisiones distintas: una cosa es coger el aparato y otra abrirlo.
• Art. 588 sexies b · Fuera del domicilio. La misma exigencia rige cuando los dispositivos se aprehenden al margen de un registro domiciliario. En tal caso los agentes ponen la incautación en conocimiento del juez, que otorgará la autorización si considera indispensable el acceso.
• Art. 588 sexies c · La autorización judicial. La resolución fija los términos y el alcance del registro, puede autorizar la realización de copias y establece las condiciones para asegurar la integridad de los datos y su preservación de cara a un dictamen pericial. Además:
  • Salvo que sean objeto o instrumento del delito, se evitará incautar los soportes físicos cuando ello cause un grave perjuicio a su titular y sea posible obtener una copia con garantías de autenticidad e integridad. Es la traducción legal de lo dicho en el apartado anterior: si basta la imagen forense, se deja el equipo.
  • Si los datos buscados están en otro sistema lícitamente accesible desde el inicial, el registro puede ampliarse, con autorización del juez. En caso de urgencia lo pueden hacer la Policía Judicial o el fiscal, informando al juez de inmediato y como máximo en veinticuatro horas; el juez confirma o revoca en un plazo máximo de setenta y dos horas.
  • Los mismos plazos —24 horas para comunicar y 72 para que el juez resuelva— rigen cuando, apreciándose un interés constitucional legítimo que lo haga imprescindible, la Policía Judicial practica en urgencia el examen directo de los datos del dispositivo incautado.
  • 🚨 Se puede ordenar a cualquier persona que conozca el funcionamiento del sistema o las medidas que protegen los datos que facilite la información necesaria, bajo apercibimiento de desobediencia. Pero la ley excluye expresamente de ese deber al investigado o encausado, a quienes están dispensados de declarar por parentesco y a los amparados por el secreto profesional.

12.4. El registro remoto de equipos

El art. 588 septies a regula el registro remoto de equipos informáticos: la instalación de un programa que permita examinar a distancia, y sin conocimiento del titular, el contenido de un ordenador, dispositivo, sistema, soporte de almacenamiento masivo o base de datos. Por su intensidad, la ley lo reserva a un elenco tasado de delitos:

• Delitos cometidos en el seno de organizaciones criminales.
• Delitos de terrorismo.
• Delitos cometidos contra menores o personas con capacidad modificada judicialmente.
• Delitos contra la Constitución, de traición y relativos a la defensa nacional.
• Delitos cometidos a través de instrumentos informáticos o de cualquier otra tecnología de la información o la comunicación.

La resolución debe especificar los equipos afectados, el alcance y la forma de acceso, el programa con el que se ejecutará el control, los agentes autorizados, la eventual realización de copias y las medidas para preservar la integridad de los datos. Su duración máxima es de un mes, prorrogable por iguales periodos hasta un máximo de tres meses (art. 588 septies c).

12.5. Cifrado, contraseñas y sus límites

El cifrado del volumen —BitLocker, FileVault, LUKS, o el cifrado por defecto de los móviles— cambia por completo el escenario: sin la clave, la imagen forense de un disco cifrado es una masa de datos sin valor. De ahí tres consecuencias operativas:

• Un equipo encendido y desbloqueado tiene la clave en memoria y los volúmenes montados en claro. Apagarlo destruye esa ventaja, y ahí está el motivo del volcado de memoria antes que nada.
• El deber de colaboración del art. 588 sexies c.5 permite exigir ayuda a quien conozca el sistema, pero no al investigado: la ley lo excluye expresamente, en coherencia con el derecho a no declarar contra uno mismo y a no confesarse culpable del artículo 24.2 de la Constitución. No cabe, por tanto, obligarle a revelar su contraseña.
• Buena parte de la información acaba buscándose donde el cifrado no llega: copias de seguridad en la nube o en un ordenador asociado, datos en poder de los prestadores, y dispositivos secundarios del entorno del investigado.

Por último, dos tipos penales que enmarcan todo lo anterior: el acceso ilícito a sistemas de información del art. 197 bis del Código Penal, y los daños informáticos del art. 264, que castiga con prisión de seis meses a tres años al que, sin autorización y de manera grave, borre, dañe, deteriore, altere, suprima o haga inaccesibles datos, programas informáticos o documentos electrónicos ajenos, siempre que el resultado producido sea grave. Es el tipo por el que se persigue, entre otros, el ransomware, y su apartado 2 eleva la pena a dos a cinco años y multa cuando el hecho se comete en el marco de una organización criminal, causa daños de especial gravedad o afecta a un número elevado de sistemas, o perjudica gravemente servicios públicos esenciales.

13. Diez claves para el examen

• 🚨 Multitarea = varios PROCESOS a la vez. No confundir: varios procesadores es multiproceso, y varios usuarios es multiusuario. Son tres ejes independientes y el examen los intercambia.
• 🚨 El núcleo o kernel controla los recursos —memoria, procesos y dispositivos— actuando de intermediario entre el hardware y las aplicaciones. Ni permite el acceso directo al hardware —justo lo contrario—, ni es la interfaz gráfica, ni es todo el sistema operativo.
• 🚨 Dos clasificaciones que no se mezclan. Por servicios: monousuario/multiusuario, monotarea/multitarea, uniproceso/multiproceso. Por estructura: monolítico, por capas, microkernel, híbrido. UNIX, por servicios, es MULTIUSUARIO; que su núcleo sea monolítico es la otra clasificación, y en eso está la trampa.
• MS-DOS es el contraejemplo: monousuario, monotarea, solo línea de órdenes, 16 bits, FAT y nombres 8.3. Las primeras versiones de Windows eran un entorno gráfico sobre él, no un sistema operativo.
• UNIX: 1969, Bell Labs, Thompson y Ritchie; reescrito en C en 1973, lo que lo hizo portable. Multiusuario, multitarea, núcleo monolítico, «todo es un fichero» y raíz única «/». Linux: Torvalds, 1991, licencia GPL; es el núcleo, y el sistema completo es GNU/Linux. 🚨 Linux es multitarea.
• Windows: todo lo actual es línea NT (desde 1993, y en el escritorio doméstico desde XP), núcleo híbrido, sistema de archivos NTFS y Registro como base de configuración —y como mina forense—. Windows 10 dejó de tener soporte el 14 de octubre de 2025. macOS: base Darwin, núcleo XNU híbrido, UNIX certificado, sistema de archivos APFS.
• 🚨 Android mantiene su código fuente abierto (AOSP) y iOS no; tampoco vale «ambas». Android va sobre núcleo Linux y admite instalar fuera de la tienda; iOS comparte con macOS la base Darwin/XNU, es propietario y solo corre en hardware de Apple. Ojo: los Servicios de Google Play sí son propietarios.
• 🚨 El pendrive es almacenamiento de medio ELECTRÓNICO, no óptico ni magneto-óptico. Magnético: disco duro, disquete y cinta. Óptico: CD, DVD y Blu-ray. Magneto-óptico: los discos MO. Regla: sin partes móviles y con carga en celdas, es electrónico.
• Sistemas de archivos: FAT32 no admite ficheros de más de 4 GB y por eso existe exFAT; NTFS aporta diario, permisos y flujos alternativos; ext4 es el común en Linux, con inodos; APFS en Apple. Particionado: MBR tope de 2 TB y 4 primarias; GPT sin ese límite. 🚨 Y el RAID no es una copia de seguridad.
• 🚨 Borrar no destruye: se marca el espacio como libre y los datos siguen ahí hasta que se sobrescriben —de ahí el espacio no asignado y el sobrante de bloque—. La excepción es el SSD con TRIM, donde el borrado puede ser inmediato e irreversible. La RAM es volátil: apagar destruye claves, procesos y conexiones.
• 🚨 Art. 588 sexies a.2 LECrim: la simple incautación del dispositivo NO legitima el acceso a su contenido. Hace falta autorización judicial motivada; se evita llevarse el soporte si basta una copia con garantías; en urgencia, 24 horas para comunicar al juez y 72 para que resuelva; y el deber de colaborar bajo apercibimiento de desobediencia no alcanza al investigado. El registro remoto (588 septies) es solo para delitos tasados y dura un mes, prorrogable hasta tres.