Preservação de Evidências Digitais | Decripte Security

Preservação adequada de evidências digitais é fundamental para investigações forenses bem-sucedidas e admissibilidade legal de provas em processos judiciais.

Conceito e Propósito

Evidências digitais são informações armazenadas ou transmitidas em formato digital que podem ser usadas como prova em investigações. Incluem arquivos, logs, e-mails, imagens, vídeos, dados de rede, etc.

Propósito da preservação é garantir que evidências não sejam alteradas, danificadas ou destruídas, mantendo sua integridade e autenticidade para análise forense e uso legal.

Princípios Fundamentais

Integridade: Garantir que evidência permaneça inalterada desde a coleta.

Autenticidade: Confirmar que evidência é o que alega ser e não foi adulterada.

Chain of Custody: Documentar cada etapa do manuseio da evidência, desde a coleta até a apresentação em juízo.

Competência: Realizar coleta e análise com pessoal treinado e qualificado.

Conformidade Legal: Seguir leis e regulamentos aplicáveis à coleta e preservação de evidências.

Coleta Forense

Identificação: Identificar fontes de evidência relevantes (e.g., servidores, estações de trabalho, dispositivos móveis, mídia removível).

Aquisição: Criar cópia forense da evidência usando métodos que preservem integridade (e.g., imageamento de disco bit a bit).

Write Blockers: Usar dispositivos write-blocker para impedir que dados sejam gravados na mídia original durante a aquisição.

Documentação: Registrar detalhes da coleta (data, hora, local, pessoas envolvidas, descrição da evidência).

Hashing

Cálculo de Hash: Calcular hash (e.g., MD5, SHA-256) da evidência original e da cópia forense para verificar integridade.

Comparação de Hash: Comparar hashes para garantir que cópia é idêntica ao original e não foi alterada.

Registro de Hash: Registrar valores de hash na chain of custody.

Chain of Custody

Documentação Detalhada: Registrar cada transferência de custódia da evidência, incluindo data, hora, pessoas envolvidas e propósito da transferência.

Formulário de Custódia: Utilizar formulário padronizado para documentar chain of custody.

Assinaturas: Obter assinaturas de todas as pessoas que manuseiam a evidência.

Armazenamento Seguro: Armazenar evidência em local seguro com acesso controlado.

Ferramentas Essenciais

Write Blockers: Dispositivos de hardware ou software que impedem gravação em discos.

Ferramentas de Imageamento: Software para criar imagens forenses de discos (e.g., FTK Imager, EnCase).

Ferramentas de Hashing: Utilitários para calcular hashes (e.g., HashCalc, md5sum).

Software de Análise Forense: Plataformas para analisar evidências digitais (e.g., Autopsy, Volatility).

Mídias de Armazenamento

Discos Rígidos: Utilizar discos rígidos novos e formatados para armazenar cópias forenses.

Mídia Removível: Utilizar mídia removível (e.g., DVDs, pendrives) apenas para transferência de dados, não para armazenamento a longo prazo.

Armazenamento em Nuvem: Considerar armazenamento em nuvem para backup e redundância, mas garantir segurança e conformidade.

Documentação

Plano de Resposta a Incidentes: Incluir procedimentos de preservação de evidências no plano de resposta a incidentes.

Políticas e Procedimentos: Criar políticas e procedimentos detalhados para coleta e preservação de evidências.

Treinamento: Treinar equipes de TI e segurança em procedimentos forenses.

Cenários Comuns

Invasão de Sistemas: Preservar logs de servidores, estações de trabalho e dispositivos de rede.

Roubo de Dados: Coletar cópias de arquivos acessados e transferidos ilegalmente.

Fraude Interna: Preservar e-mails, documentos e registros de acesso de funcionários suspeitos.

Ataques de Malware: Analisar amostras de malware e sistemas infectados.

Desafios

Criptografia: Lidar com dados criptografados requer conhecimento de técnicas de descriptografia.

Volume de Dados: Grandes volumes de dados exigem ferramentas e infraestrutura adequadas.

Dados Voláteis: Coletar dados voláteis (e.g., memória RAM) antes que sejam perdidos.

Privacidade: Equilibrar necessidade de preservar evidências com direitos de privacidade.