Tipos de aquisição

A aquisição é a etapa em que os dados são copiados de sua origem de uma forma que permita verificá-los posteriormente (o Módulo 1 explica como ela difere da coleta). Uma imagem completa de um disco rígido, uma cópia de caixas de e-mail selecionadas, uma captura da memória de um computador em execução e uma exportação de uma conta on-line são aquisições, e cada uma captura alguns dados, deixa outros de fora e altera alguma coisa. Esta aula descreve os principais tipos e como escolher entre eles. A Aula 4.2 explica como os valores de hash protegem a cópia, e a Aula 4.3, como as imagens de disco são criadas.

Física, lógica e direcionada

• Aquisição física, também chamada de imagem bit a bit ou de disco completo, copia todos os setores do dispositivo, em ordem: a tabela de partições, todas as partições, o espaço não alocado (áreas que o sistema de arquivos marca como livres, mas que muitas vezes ainda contêm dados excluídos) e o espaço residual (bytes não utilizados no final do último cluster de um arquivo). É a cópia mais completa.
• Aquisição lógica copia arquivos e pastas conforme apresentados pelo sistema de arquivos, com nomes, caminhos e registros de data e hora. É mais rápida e menor, mas deixa de fora arquivos excluídos, espaço não alocado e espaço residual.
• Aquisição direcionada ou seletiva copia apenas itens escolhidos segundo critérios, como a caixa de e-mail de um usuário, uma pasta de projeto ou arquivos de um intervalo de datas. É comum na descoberta eletrônica (ISO/IEC 27050).

Uma imagem de volume é uma cópia bit a bit de uma partição, e não de todo o disco. Ela preserva o espaço não alocado dessa partição e é frequentemente usada para copiar um volume descriptografado de um sistema em execução.

Em uma unidade de estado sólido, uma imagem física copia todos os blocos que a unidade apresenta, não a memória flash de reserva que seu controlador mantém para si, e os blocos limpos pelo TRIM (Módulo 1) geralmente retornam zeros na leitura.

Aquisição com o sistema desligado e em execução

• Aquisição com o sistema desligado (também chamada de estática ou off-line) trabalha com um sistema desligado: o disco é conectado por meio de um bloqueador de escrita, ou o computador é iniciado a partir de uma mídia de inicialização forense que não grava nele. Quando realizada corretamente, não altera nada na origem e pode ser repetida: criar novamente uma imagem de um disco em bom estado produz o mesmo valor de hash.
• Aquisição em execução trabalha com um sistema em funcionamento. Ela pode capturar a memória (processos, conexões de rede, chaves de criptografia, malware que nunca é gravado no disco) e os dados em volumes desbloqueados naquele momento.

A aquisição em execução tem um custo. A ferramenta é executada no sistema e o altera, e a memória continua mudando enquanto é copiada. O resultado não pode ser reproduzido nem verificado em relação à origem, pois a origem já não existe naquele estado; o hash de uma imagem de memória a protege apenas a partir do momento da captura. Anotações detalhadas compensam o que não pode ser repetido. As duas são frequentemente combinadas: primeiro a memória e os volumes desbloqueados, seguindo a ordem de volatilidade (Módulo 1), depois o disco após o desligamento.

Aquisição local e remota

A maioria das aquisições é local: o perito está junto ao dispositivo. A aquisição remota copia dados por uma rede. Nas organizações, agentes de endpoint, pequenos programas instalados previamente nos computadores, podem criar uma imagem de disco, capturar a memória ou coletar arquivos de uma máquina em outro país. Isso agiliza a resposta a incidentes, mas acrescenta requisitos:

• autorização para cada máquina e para qualquer transferência internacional (Módulo 2);
• uma conexão criptografada e um hash calculado na origem e novamente na cópia recebida;
• anotações sobre os vestígios deixados pelo próprio agente, já que ele é executado no sistema em funcionamento.

Dispositivos móveis

Celulares e tablets quase sempre passam pela aquisição enquanto estão ligados, por meio de seu próprio sistema operacional ou de um modo especial de inicialização, portanto toda aquisição de dispositivo móvel altera um pouco o dispositivo. Três níveis são comumente descritos.

• Lógica: dados que o sistema operacional fornece por suas interfaces normais ou pela função de backup, como contatos, mensagens e fotos.
• Sistema de arquivos (ou sistema de arquivos completo): uma cópia do sistema de arquivos, incluindo bancos de dados de aplicativos e logs do sistema que nunca aparecem em um backup. Frequentemente exige acesso elevado.
• Física: uma cópia bit a bit da memória flash. Em muitos dispositivos atuais, os dados do usuário são criptografados arquivo por arquivo, portanto uma cópia física não pode ser descriptografada sem as chaves que o dispositivo protege.

A NIST SP 800-101 descreve outros métodos, desde a extração manual (fotografar a tela) até o chip-off (remover o chip de memória).

O estado de bloqueio frequentemente determina o que é possível. Celulares modernos criptografam os dados do usuário com chaves que dependem parcialmente do código de desbloqueio. Antes do primeiro desbloqueio após uma reinicialização (BFU), a maioria dos dados do usuário permanece criptografada; após o primeiro desbloqueio (AFU), muito mais dados ficam acessíveis, mesmo que a tela seja bloqueada novamente. Por isso, um celular encontrado ligado é mantido carregado e isolado (Módulo 3).

Nuvem e serviços on-line

Não é possível criar uma imagem dos dados mantidos por um serviço on-line. Três vias são comuns:

• Exportação pelo provedor: o provedor fornece os dados em resposta a uma solicitação legal, muitas vezes com logs que o usuário nunca vê.
• Exportação da conta com autorização: uma pessoa autorizada acessa a conta, com consentimento ou outra base legal, e usa o recurso de download do serviço, registrando cada etapa.
• Coleta por API: uma ferramenta usa a interface de programação de aplicações (API) do serviço com credenciais autorizadas para baixar itens e seus metadados, como as organizações frequentemente fazem para suas próprias contas corporativas.

A aquisição em nuvem é sempre lógica: não há espaço não alocado, e os itens excluídos só existem enquanto o provedor os retém. Os formatos de exportação e os metadados dependem do serviço. Calcule o hash de cada exportação assim que ela for recebida.

Escolha de um método

Escolha considerando o que é necessário para responder às questões, o que pode ser perdido, o que a autorização permite e o que é tecnicamente possível. Uma imagem física mantém a maioria das opções em aberto; uma cópia direcionada costuma ser a escolha proporcional para um servidor que contém dados de outras pessoas. Sempre registre o que não foi adquirido e por quê, para que um revisor possa distinguir uma limitação deliberada de uma omissão.

Um exemplo resolvido

Mei, investigadora de uma empresa fictícia, a Northgate Freight, responde a uma suspeita de fraude na folha de pagamento. O computador de mesa do suspeito está em execução com um disco criptografado, os arquivos da folha de pagamento estão em um servidor compartilhado por 400 funcionários, e o suspeito usa uma conta de e-mail corporativa hospedada.

1. Mei captura a memória e uma imagem do volume desbloqueado, anotando cada comando, e registra a chave de recuperação fornecida pela TI.
2. Ela desliga o computador e cria uma imagem física do disco por meio de um bloqueador de escrita.
3. O servidor precisa permanecer on-line, então ela faz uma cópia direcionada das pastas da folha de pagamento e dos logs de acesso.
4. Ela coleta a caixa de e-mail por meio da exportação administrativa do serviço e calcula o hash de cada saída.

Suas anotações listam o que ela deixou de fora, como as pastas de outros usuários, e por quê.

Foco no exame: Saiba o que as aquisições físicas, lógicas, direcionadas e de volume capturam, e que apenas imagens bit a bit incluem espaço não alocado e espaço residual. Diferencie a aquisição com o sistema desligado da aquisição em execução e saiba por que uma imagem de memória não pode ser verificada em relação à sua origem. Conheça os níveis de aquisição de dispositivos móveis (lógica, sistema de arquivos, física), os estados de bloqueio BFU e AFU, as vias de obtenção de dados na nuvem e por que os peritos registram o que não adquiriram.