Volatilidade e fragilidade

As evidências digitais não esperam. A memória perde seu conteúdo quando a energia é interrompida, os logs sobrescrevem a si mesmos, os celulares recebem mensagens e comandos de apagamento remoto, e as unidades de estado sólido eliminam dados excluídos por conta própria. Até mesmo o perito altera um sistema no momento em que interage com ele. Esta aula explica por que as evidências digitais são voláteis e frágeis, a ordem em que os dados voláteis costumam ser preservados e as decisões decorrentes disso. A forma de apreensão dos dispositivos é abordada no Módulo 3, e a criação de cópias, no Módulo 4.

Volátil e frágil não são a mesma coisa

• Dados voláteis desaparecem quando um dispositivo perde a alimentação elétrica ou um processo termina: o conteúdo da memória (RAM), os processos em execução, as conexões de rede abertas e as chaves de criptografia mantidas enquanto um disco está desbloqueado.
• Dados frágeis sobrevivem a uma interrupção de energia, mas mudam facilmente: arquivos, logs e registros de data e hora que são alterados pelo uso normal, pela manutenção automática ou pelo manuseio descuidado.

Ambos levam à mesma regra: decida desde o início o que pode ser perdido, preserve esses dados em uma ordem adequada e registre o que fez e por quê.

A ordem de volatilidade

A RFC 3227, "Diretrizes para coleta e arquivamento de evidências", publicada em 2002, propõe coletar evidências das mais voláteis para as menos voláteis. Sua ordem continua sendo a referência padrão:

1. Registradores e cache
2. Tabela de roteamento, cache ARP, tabela de processos, estatísticas do kernel e memória
3. Sistemas de arquivos temporários
4. Disco
5. Dados de registro e monitoramento remotos relevantes para o sistema
6. Configuração física e topologia de rede
7. Mídias de arquivamento

Na prática, registradores e caches não podem ser capturados isoladamente; o que os peritos podem preservar é o conteúdo da memória e o estado do sistema em execução informado pelo sistema operacional, como processos em execução e conexões de rede. O princípio é o que importa: se duas fontes estiverem em risco, comece pela que desaparecerá primeiro.

O que altera as evidências digitais

Os registros de data e hora merecem uma menção especial. Abrir um arquivo, navegar por uma pasta ou simplesmente inicializar um sistema operacional pode atualizar registros de data e hora e registros do sistema. No Windows, por exemplo, conectar um dispositivo USB para examiná-lo cria novas entradas no Registro e nos logs de instalação. Os dados do dispositivo original devem ser examinados por meio de cópias verificadas, e não pela navegação direta nele.

Toda ação deixa um vestígio

Um princípio atribuído ao criminologista Edmond Locard afirma que todo contato deixa um vestígio. Ele também se aplica aos peritos. Executar uma ferramenta de captura de memória carrega essa ferramenta na memória que está sendo capturada; conectar um dispositivo de armazenamento grava registros sobre ele; digitar comandos em um sistema em execução cria novos processos. Nem sempre é possível evitar essas alterações. O que as torna aceitáveis é serem reduzidas ao mínimo, escolhidas deliberadamente e documentadas para que qualquer pessoa possa distinguir os vestígios do perito dos vestígios do usuário.

Energia, criptografia e conectividade

Três perguntas orientam os primeiros minutos de contato com qualquer dispositivo.

Ele está ligado ou desligado?

Um dispositivo encontrado desligado normalmente é mantido assim: ligá-lo inicia o sistema operacional, o que altera dados. Um dispositivo encontrado em funcionamento contém dados voláteis que podem ser valiosos, e é necessário decidir se eles devem ser preservados antes de interromper a alimentação elétrica.

Os dados estão criptografados?

A criptografia de disco completo, como BitLocker no Windows, FileVault no macOS ou LUKS no Linux, protege os dados em repouso. Enquanto o sistema está em execução e desbloqueado, os dados podem ser lidos e as chaves podem estar na memória. Desligar o sistema pode tornar os dados ilegíveis sem a senha ou a chave de recuperação. Reconhecer a criptografia em um sistema em execução é, portanto, uma das observações iniciais mais importantes.

Ele está conectado?

Celulares, notebooks e pastas sincronizadas com a nuvem continuam mudando enquanto estão conectados. Um apagamento remoto, uma nova mensagem ou uma sincronização pode alterar ou destruir evidências. Isolar o dispositivo das redes móveis, do Wi-Fi e do Bluetooth, por exemplo, com o modo avião ou uma bolsa com blindagem de radiofrequência, interrompe essas alterações, mas cada método tem efeitos colaterais que são abordados no Módulo 3.

Volatilidade além do dispositivo

Algumas das evidências mais valiosas nunca ficam no dispositivo à sua frente.

• O tráfego de rede existe apenas enquanto trafega. A menos que alguém já o estivesse capturando, o que resta são registros sobre ele: logs de firewall, proxy e DNS, registros de fluxo e as conexões listadas em um sistema em execução.
• Os logs em servidores e serviços on-line são mantidos por tempo limitado. Os períodos de retenção variam de dias a meses e dependem do provedor, do plano de serviço e das configurações da própria organização.
• Os dados compartilhados e sincronizados podem ser alterados de qualquer lugar. Um arquivo excluído em um dispositivo pode desaparecer da nuvem e de todos os outros dispositivos vinculados à conta.

Para essas fontes, o primeiro passo costuma ser uma solicitação, e não uma ferramenta: peça ao responsável pelo sistema ou ao provedor do serviço que preserve os registros relevantes antes que expirem e registre quando e como essa solicitação foi feita. As organizações que se planejam com antecedência, mantendo logs de forma centralizada e por tempo suficiente, facilitam muito as investigações posteriores.

Raramente há uma escolha perfeita

A volatilidade impõe concessões. Capturar a memória altera um pouco o sistema, mas salva o que, de outra forma, seria perdido; retirar o cabo de alimentação preserva o disco exatamente como está, mas perde a memória e pode bloquear um volume criptografado. Não existe uma única resposta correta para todos os casos. A ISO/IEC 27037 exige justificabilidade: deve ser possível explicar a decisão como a melhor opção nas circunstâncias, considerando o objetivo da investigação, os riscos e a autorização. Registrar os motivos no momento da decisão é o que transforma uma decisão baseada em julgamento em uma decisão defensável.

Foco no exame: Conheça a diferença entre dados voláteis e frágeis, a ordem de volatilidade da RFC 3227 (memória antes do disco, disco antes de logs remotos e mídias de arquivamento) e por que o TRIM e a coleta de lixo dos SSDs, a rotação de logs e o apagamento remoto ameaçam as evidências. Espere questões com cenários sobre sistemas criptografados em execução, isolamento de celulares das redes e por que os peritos devem minimizar e documentar as alterações que causam.