Fundamentos forenses e cadeia de custódia

A perícia digital é a recuperação, preservação e análise metódicas de evidências digitais para que as conclusões resistam ao escrutínio, inclusive em tribunal.

Não se trata apenas de recuperação de dados. O requisito fundamental é a defensibilidade: toda ação deve ser documentada, repetível e imparcial.

• Identificação das fontes de evidência relevantes
• Preservação sem alteração
• Análise usando métodos validados
• Apresentação em relatórios claros e reproduzíveis

Ao responder a um incidente ativo, colete evidências da fonte mais volátil à menos volátil. Os dados que desaparecem mais rapidamente devem ser capturados primeiro.

• Registradores e cache da CPU
• Tabela de roteamento, cache ARP, lista de processos, conexões de rede
• RAM (memória)
• Sistemas de arquivos temporários
• Disco
• Registros remotos e mídias de arquivamento

A RFC 3227 codifica esse princípio. Adquira a imagem do disco cedo demais e perderá para sempre artefatos da RAM ativa.

A cadeia de custódia é o registro cronológico documentado que mostra quem manuseou a evidência, quando, por quê e o que fez com ela.

Uma única lacuna pode tornar a evidência inadmissível. Cada transferência é registrada.

• Quem coletou e recebeu o item
• O que é o item (número de série, resumo criptográfico, descrição)
• Quando ocorreu cada transferência
• Onde ele foi armazenado
• Por que a custódia mudou

Resumos criptográficos comprovam que a evidência não foi alterada. Calcule o resumo no momento da aquisição e repita o cálculo posteriormente; valores correspondentes comprovam a integridade.

Use SHA-256 como padrão moderno. MD5 e SHA-1 ainda aparecem em ferramentas legadas, mas são fracos contra colisões; muitos laboratórios registram ambos para verificação cruzada.

Um bloqueador de escrita fica entre o perito e a unidade de evidência, permitindo leituras e negando fisicamente ou logicamente as gravações. Isso garante que o original nunca seja modificado durante a aquisição.

• Bloqueadores de escrita de hardware são dispositivos em linha, preferidos em trabalhos judiciais
• Bloqueadores de escrita de software configuram o OS para montagem somente leitura

Mesmo montar uma unidade normalmente pode atualizar as marcas de data e hora de acesso, portanto um bloqueador é obrigatório para a mídia original.

A regra de ouro: analise uma cópia verificada e preserve o original. O original vai para o armazenamento de evidências e deve ser manuseado o mínimo possível.

A melhor prática é criar pelo menos duas cópias: uma imagem de trabalho para análise e uma cópia-mestra de arquivamento mantida intacta. Ambas devem corresponder ao resumo criptográfico da fonte.

Anotações feitas no momento também são evidências. Registre as ações enquanto as executa, não depois, de memória.

• Registre a data e a hora de cada ação (use UTC para evitar ambiguidades)
• Fotografe o local e o estado do dispositivo
• Anote os nomes e as versões das ferramentas
• Registre quaisquer anomalias ou erros

Se não foi registrado, no tribunal, é como se não tivesse acontecido.

Antes de tocar em qualquer coisa, confirme a autoridade legal: um mandado, consentimento, autorização interna ou regulamentação aplicável. Exceder o escopo pode contaminar todo o caso e expor o perito a responsabilidade jurídica.

A perícia está sujeita à jurisdição. Dados transfronteiriços, expectativas de privacidade dos funcionários e a legislação de proteção de dados (GDPR, KVKK) restringem o que pode ser coletado e como.

As conclusões devem ser repetíveis: outro perito que use ferramentas validadas na mesma evidência deve chegar à mesma conclusão.

Por isso, os laboratórios usam ferramentas comprovadamente confiáveis e controladas por versão (testadas pelo NIST CFTT, quando possível) e documentam as versões. Scripts personalizados ou não avaliados comprometem a defensibilidade.

Uma estação de trabalho dedicada e isolada evita a contaminação cruzada e o vazamento acidental de evidências para a rede.

• Sem conexão com a rede ou protegida por firewall rigoroso
• Mídia de destino esterilizada (apagada e verificada) para as imagens
• Conjunto de ferramentas validado (Autopsy, Sleuth Kit, Volatility, Wireshark)
• Acesso registrado

A integridade deve ser comprovável não apenas no momento da aquisição, mas durante todo o armazenamento. Recalcule o resumo criptográfico periodicamente e após cada transferência, comparando-o com a linha de base da aquisição.

• Lacres que evidenciem violação em mídias físicas
• Armazenamento de evidências com acesso controlado e registros
• Resumo criptográfico registrado a cada transferência de custódia

Se um resumo criptográfico posterior divergir do original, a evidência será tratada como comprometida e suas conclusões serão contestadas.

Teste sua compreensão da ordem de aquisição.

Você estudou os fundamentos da perícia forense defensável:

• Ordem de volatilidade determina a sequência de coleta
• Cadeia de custódia documenta cada transferência
• Geração de resumos criptográficos (SHA-256) comprova a integridade
• Bloqueadores de gravação protegem os originais
• Sempre trabalhe com cópias verificadas
• Documentação, escopo legal e repetibilidade tornam as evidências admissíveis

A seguir: transformar esses princípios em imagens de disco reais e recuperação de artefatos.