Imagens forenses e bloqueio de escrita

Esta aula aborda como uma unidade é efetivamente submetida à criação de uma imagem: os formatos de imagem utilizados, os bloqueadores de escrita que mantêm a origem inalterada, como as ferramentas são testadas, um fluxo de trabalho passo a passo e os problemas mais comuns. O armazenamento seguro de imagens é abordado no Módulo 5.

Formatos de imagem

Uma imagem forense é um arquivo, ou conjunto de arquivos, que contém uma cópia bit a bit de uma origem.

Raw (dd)

Uma imagem raw, frequentemente chamada de imagem dd em referência ao comando dd do Unix, comumente usado para criá-la, contém os bytes exatos da origem e nada mais. Quase todas as ferramentas conseguem lê-la, e ela pode ser dividida em segmentos numerados (.001, .002). Como não há cabeçalho, os detalhes do caso e os valores de hash são mantidos separadamente, em logs e anotações.

Expert Witness Format (E01)

O Expert Witness Format (EWF), conhecido por sua extensão de arquivo E01, surgiu em uma ferramenta forense comercial e hoje é compatível com a maioria dos softwares forenses. Uma imagem E01 armazena os dados de origem, opcionalmente compactados, junto com metadados do caso, como número do caso, perito e descrição, somas de verificação para cada bloco de dados para localizar corrupção e um hash dos dados adquiridos. Imagens grandes são divididas em segmentos chamados .E01, .E02 e assim por diante.

O hash armazenado em um E01 é o hash dos dados de origem, não do arquivo .E01. Calcular o hash do próprio arquivo .E01 com um utilitário de uso geral produz um valor diferente, o que é esperado e não é sinal de adulteração. As ferramentas verificam um E01 lendo os dados do contêiner e comparando seu hash com o valor armazenado.

AFF4

AFF4 (Advanced Forensic Format 4) é um formato aberto projetado para imagens muito grandes, que pode conter vários fluxos de dados, como uma imagem de disco e uma imagem de memória, junto com seus metadados em um único contêiner.

Bloqueadores de escrita

Um bloqueador de escrita permite que um perito leia um dispositivo de armazenamento enquanto impede qualquer escrita nele. Sem um bloqueador, simplesmente conectar uma unidade a um computador pode alterá-la: os sistemas operacionais podem montar seus volumes, reaplicar os registros de journal do sistema de arquivos ou criar arquivos de sistema nela.

• Bloqueadores de escrita por hardware ficam fisicamente entre a unidade de origem e a estação de trabalho forense. Eles encaminham comandos de leitura à unidade e bloqueiam comandos de escrita, independentemente do sistema operacional da estação de trabalho. Existem modelos para interfaces comuns, como SATA, SAS, NVMe e USB.
• Bloqueadores de escrita por software funcionam dentro do sistema operacional, como um driver ou uma configuração que recusa escritas em dispositivos selecionados, ou como um ambiente de inicialização forense que nunca monta unidades para escrita. Eles custam pouco, mas dependem de que o sistema operacional e sua configuração se comportem exatamente como esperado.

Um bloqueador de escrita controla os comandos que vêm do computador. Ele não controla o que acontece dentro da unidade: o controlador de um SSD pode continuar apagando blocos marcados pelo TRIM (Módulo 1) enquanto recebe energia, e as unidades atualizam contadores internos, como as horas de funcionamento. Um bloqueador de escrita também protege apenas o dispositivo conectado por meio dele, e um simples adaptador USB para SATA não é um bloqueador de escrita, por mais semelhante que pareça.

Teste de ferramentas e validação da sua configuração

Os peritos devem ser capazes de demonstrar que seu bloqueador de escrita e sua ferramenta de criação de imagens se comportam conforme declarado. Dois tipos de evidência dão suporte a isso.

• Testes independentes: o programa Computer Forensics Tool Testing (CFTT) do NIST publica especificações para categorias de ferramentas, incluindo bloqueadores de escrita por hardware e software e criação de imagens de disco, além de relatórios de testes de produtos e versões específicos, incluindo quaisquer anomalias encontradas.
• Sua própria validação: a ISO/IEC 27041 prevê que métodos e ferramentas sejam validados para o uso pretendido. Uma verificação simples: calcule o hash de uma unidade de teste, conecte-a por meio do bloqueador, tente montá-la e escrever nela e, em seguida, calcule seu hash novamente; os valores devem corresponder. Repita após atualizações de firmware ou software e mantenha os registros. O SWGDE também publica orientações sobre testes de validação.

Um relatório do CFTT sobre uma versão diferente de firmware, ou uma validação feita anos atrás em outro hardware, oferece um respaldo mais fraco do que uma verificação recente da configuração exata utilizada.

O fluxo de trabalho de criação de imagens

1. Documente a origem. Fotografe a unidade e sua etiqueta; registre fabricante, modelo, número de série, capacidade, interface e o dispositivo do qual ela foi retirada.
2. Prepare o destino. Use uma mídia nova ou apagada de forma forense, com espaço suficiente e verificada antes do uso, para que dados antigos não sejam confundidos com evidências. Registre também sua identificação.
3. Conecte por meio do bloqueador de escrita. Origem ao bloqueador, bloqueador à estação de trabalho, seguindo as instruções do bloqueador para energizar a unidade.
4. Verifique o bloqueio. Confirme que o bloqueador indica proteção contra escrita e que a estação de trabalho reconhece a unidade como somente leitura; verifique se a capacidade informada é a esperada.
5. Crie a imagem. Escolha o formato, o tamanho dos segmentos, a compactação e os algoritmos de hash, insira os detalhes do caso e crie a imagem de todo o dispositivo.
6. Calcule o hash e verifique. Registre o hash da aquisição e, em seguida, verifique a imagem e compare os valores.
7. Registre. Mantenha o log da ferramenta; anote a ferramenta e sua versão, os horários de início e término, os erros e os valores finais de hash; atualize a cadeia de custódia (Módulo 5).

Ferramentas como exemplos

O método importa mais do que o produto. Exemplos gratuitos incluem FTK Imager (uma ferramenta gratuita para Windows de um fornecedor comercial), Guymager (uma ferramenta de código aberto para Linux com interface gráfica), ewfacquire (parte da biblioteca de código aberto libewf, que cria imagens E01) e dc3dd (uma versão do dd adaptada para uso forense, que calcula hashes enquanto copia e registra erros). Registre o nome e a versão da ferramenta.

Problemas comuns

• Setores defeituosos. As ferramentas de criação de imagens fazem novas tentativas de leitura das áreas danificadas e, em seguida, geralmente preenchem os setores ilegíveis com zeros e registram sua localização. Um hash posterior da origem pode ser diferente. Informe quantos setores não puderam ser lidos.
• Áreas ocultas. A Área Protegida do Host (HPA) e a Sobreposição de Configuração do Dispositivo (DCO) são recursos de unidades ATA que podem tornar parte do disco invisível para o sistema operacional. Compare a capacidade nativa da unidade com a capacidade informada; acessar uma área oculta pode exigir uma alteração na configuração da unidade, que deve ser documentada.
• Unidades criptografadas. Uma imagem física de uma unidade criptografada é válida, mas ilegível sem a senha ou a chave de recuperação. Procure chaves antes do desligamento (Aula 4.1), registre quaisquer chaves de recuperação fornecidas mediante autorização e considere uma imagem lógica do volume desbloqueado em um sistema em execução. Unidades com criptografia automática criptografam por hardware; quando uma senha é definida, elas se bloqueiam ao perder energia e não fornecem dados legíveis do usuário sem ela.
• Armazenamento que não pode ser removido. Em muitos notebooks atuais, o armazenamento é soldado à placa principal e criptografado pelo hardware, de modo que é impossível remover a unidade para criar uma imagem com o equipamento desligado. Nesses casos, os peritos recorrem às interfaces do próprio dispositivo, a modos especiais de inicialização ou à aquisição em sistema em execução e à aquisição lógica.

Foco no exame: Conheça as diferenças entre imagens raw (dd), E01 e AFF4 e saiba que o hash armazenado em um E01 abrange os dados adquiridos, não o arquivo contêiner. Distinga bloqueadores de escrita por hardware dos por software e conheça suas limitações, especialmente a coleta de lixo dos SSDs. Conheça o papel do NIST CFTT e da sua própria validação conforme a ISO/IEC 27041, as etapas do fluxo de trabalho de criação de imagens na ordem correta e como lidar com setores defeituosos, HPA e DCO e unidades criptografadas.