O processo pericial

A perícia digital segue um processo. Diferentes normas e livros didáticos o representam com blocos diferentes, mas concordam quanto aos pontos essenciais: encontrar as evidências, preservá-las, copiá-las de forma verificável, examiná-las, interpretar seu significado e relatar os resultados para que outras pessoas possam verificá-los. Esta aula apresenta essas fases, as normas que as descrevem e as regras que se aplicam da primeira à última etapa.

Um processo, várias descrições

Você encontrará vários modelos. Eles descrevem o mesmo trabalho em diferentes níveis de detalhe.

Este curso utiliza seis fases que combinam essas referências. Saber como elas se relacionam ajuda você a compreender qualquer procedimento, independentemente do modelo que ele siga.

Antes da primeira fase: preparação

Boas investigações começam antes que algo aconteça. A preparação, que a ISO/IEC 27043 trata como prontidão, inclui pessoal capacitado, ferramentas validadas, mídias de armazenamento limpas, formulários para anotações e cadeia de custódia, além de procedimentos acordados. Para uma organização, isso também significa manter os logs e registros de que uma investigação precisará, por tempo suficiente, e saber quem pode autorizar um exame. Uma equipe que precisa improvisar esses recursos no momento da ocorrência perde tempo e comete erros evitáveis.

As perguntas orientam o processo

Cada exame responde a perguntas específicas, e essas perguntas moldam todas as fases. "Esta conta copiou a lista de clientes para uma mídia removível entre 1 e 15 de março?" indica ao perito quais dispositivos identificar, quais dados adquirir, quais artefatos examinar e o que o relatório deve responder. Uma solicitação vaga, como "verifique o notebook", deve ser transformada em perguntas precisas com a pessoa que solicitou o exame, antes do início do trabalho. Perguntas claras também mantêm o trabalho dentro do escopo e facilitam a definição de quando o exame está concluído.

As seis fases

Coleta ou aquisição?

A ISO/IEC 27037 separa duas ideias que são facilmente confundidas. Coleta é reunir os itens físicos que podem conter evidências digitais, como colocar um notebook sob custódia. Aquisição é criar uma cópia dos dados, como uma imagem forense da unidade de armazenamento do notebook. Às vezes, apenas a aquisição é possível: um servidor da empresa que precisa continuar em funcionamento, ou dados mantidos por um provedor de nuvem, são copiados em vez de serem removidos. O Módulo 3 aborda a apreensão, e o Módulo 4 aborda a aquisição.

Exame ou análise?

O exame disponibiliza os dados: transforma uma imagem de disco em uma lista de arquivos, recupera registros excluídos e extrai artefatos, como o histórico do navegador. A análise busca determinar o que os dados significam para o caso. Identificar que um arquivo foi copiado para uma unidade USB é exame; concluir, após verificar outras explicações, que uma conta específica o copiou em um determinado momento é análise. A ISO/IEC 27042 aborda essa etapa interpretativa. Uma boa prática é considerar hipóteses concorrentes e declarar o grau de confiança do perito em cada conclusão.

Regras que se aplicam a todas as fases

• Trabalhe com cópias verificadas. Examine imagens forenses, não os originais, e confirme, por meio de valores de hash, que as cópias correspondem à fonte.
• Documente durante o trabalho. Registre ações, horários, ferramentas e versões, além dos motivos das decisões, no momento em que ocorrerem (Módulo 5).
• Mantenha a cadeia de custódia. Toda transferência de um item ou de uma cópia é registrada, para que seu histórico não tenha lacunas.
• Use métodos e ferramentas validados. Saiba o que uma ferramenta faz, quais são seus limites e como seus resultados foram verificados (ISO/IEC 27041).
• Permaneça dentro do escopo. Examine apenas o que a autorização abrange e as perguntas exigem (Módulo 2).
• Separe os fatos da interpretação. Informe o que os dados mostram, depois o que você infere a partir deles e qual é seu grau de certeza.

Um breve exemplo passo a passo

Um empregador suspeita que um engenheiro que está deixando a empresa copiou arquivos de projeto para uma unidade USB pessoal. Seguindo o processo:

1. Identificação: o notebook corporativo do engenheiro, o servidor de arquivos que armazena os arquivos de projeto, os logs de acesso do servidor e qualquer unidade USB que o engenheiro devolva.
2. Coleta e aquisição: o notebook é colocado sob custódia e uma imagem forense é criada; os logs relevantes do servidor são exportados; os valores de hash são registrados para cada imagem e exportação.
3. Preservação: os originais são lacrados e armazenados; cada imagem é verificada e registrada na cadeia de custódia.
4. Exame: a imagem é processada para listar os dispositivos USB que foram conectados, os arquivos abertos recentemente e a atividade do sistema de arquivos.
5. Análise: o perito constrói uma linha do tempo, compara-a com os logs do servidor e testa outras explicações, como um backup automático ou outro usuário do notebook.
6. Elaboração do relatório: o relatório informa o que foi examinado, como, o que foi encontrado, o que não pôde ser determinado e qual é o grau de confiança do perito em cada constatação.

Observe que a ordem não é estritamente linear. A análise pode revelar uma nova fonte, como uma conta na nuvem, que leve o perito de volta à identificação. O processo estabelece uma disciplina para cada etapa, não uma esteira de mão única.

Foco no exame: Conheça as seis fases e sua ordem, como elas se relacionam com a ISO/IEC 27037 (identificação, coleta, aquisição, preservação), a ISO/IEC 27042 (análise e interpretação), a ISO/IEC 27041 (validação), a ISO/IEC 27043 (processo geral) e a NIST SP 800-86 (coleta, exame, análise, elaboração do relatório). Saiba distinguir coleta de aquisição e exame de análise, e listar as regras que se aplicam a todas as fases.