Reconhecendo fontes de evidências

Antes que qualquer coisa possa ser coletada, alguém precisa reconhecer onde pode haver evidências. A identificação, primeira fase do processo forense (Módulo 1), é mais difícil do que parece: vestígios de um único evento podem estar em uma dúzia de dispositivos, em vários serviços on-line e na memória das pessoas envolvidas. Esta aula apresenta as fontes que um investigador deve procurar, incluindo aquelas que passam facilmente despercebidas, e como decidir quais abordar primeiro. A preservação do local é tratada na Aula 3.2, e a aquisição dos dados, no Módulo 4.

Comece pelas perguntas

As perguntas do caso determinam o que conta como fonte. Em um caso de assédio, as mensagens e as contas e os dispositivos que as enviaram são o mais importante; em um caso de furto de dados, as mídias de armazenamento, a sincronização em nuvem e os logs de acesso do servidor de arquivos. Para cada pergunta, questione onde os vestígios das ações relevantes teriam sido criados, copiados ou sincronizados. As respostas geralmente se enquadram em alguns grupos: dispositivos, a rede, serviços on-line e as próprias pessoas.

Computadores e mídias de armazenamento

Computadores de mesa e notebooks continuam sendo fontes centrais: documentos, histórico de navegação, clientes de e-mail, aplicativos de mensagens, logs do sistema operacional e registros de dispositivos conectados. Seu armazenamento assume várias formas.

• Unidades de disco rígido (HDDs) armazenam dados em pratos magnéticos giratórios. Dados excluídos frequentemente permanecem até serem sobrescritos.
• Unidades de estado sólido (SSDs) usam memória flash. Muitas se conectam pela interface SATA; unidades NVMe se conectam por PCI Express e costumam ser pequenas placas M.2. Alguns notebooks têm o armazenamento soldado à placa-mãe, de modo que não há uma unidade para remover.
• Pen drives e cartões de memória, como cartões SD e microSD, são pequenos e fáceis de esconder. Um cartão microSD tem aproximadamente o tamanho de uma unha.
• Mídias ópticas (discos CD, DVD e Blu-ray) são menos comuns hoje, mas ainda aparecem em arquivos e sistemas antigos.

Mídias removíveis aparecem em lugares incomuns: dentro de livros, bolsos de casacos, capas de celular ou consoles de jogos, presas com fita sob gavetas ou disfarçadas de chaveiro ou caneta. Procure-as de forma deliberada.

Celulares, dispositivos vestíveis e objetos conectados

Celulares e tablets frequentemente contêm mais informações sobre a vida de uma pessoa do que qualquer computador: mensagens, chamadas, contatos, fotos com dados de localização e dados de aplicativos. Eles também são os dispositivos mais expostos a alterações remotas, razão pela qual recebem tratamento especial nas Aulas 3.2 e 3.3.

• Dispositivos vestíveis, como relógios inteligentes e pulseiras de monitoramento de atividade física, registram atividade, frequência cardíaca e, às vezes, localização, e geralmente se sincronizam com um aplicativo no celular e com o serviço de nuvem do fabricante.
• Dispositivos de casa inteligente e IoT (Internet das Coisas), como alto-falantes inteligentes, campainhas com câmera, termostatos e fechaduras inteligentes, mantêm históricos de eventos: quando uma porta foi destrancada, quando foi detectado movimento. Grande parte desse histórico costuma ficar no serviço de nuvem do fabricante, acessado pela conta do usuário, e não no dispositivo.
• Veículos podem conter celulares pareados, contatos, registros de chamadas e histórico de navegação no sistema de infoentretenimento, enquanto unidades de telemática podem enviar a localização e os eventos de condução a um provedor de serviços.
• Consoles de jogos têm contas de usuário, mensagens, navegadores e armazenamento, e passam facilmente despercebidos.

Dispositivos de rede, câmeras e serviços on-line

• Roteadores e firewalls mostram quais dispositivos se conectaram e para onde o tráfego foi: listas de clientes conectados, concessões DHCP (registros de qual endereço de rede foi atribuído a qual dispositivo) e logs de conexão. Muitos roteadores domésticos mantêm seus logs apenas na memória, de modo que uma reinicialização os apaga.
• Dispositivos NAS (armazenamento conectado à rede) são pequenos servidores de arquivos, frequentemente contendo arquivos compartilhados e backups de vários computadores em discos combinados em um arranjo RAID.
• Câmeras e gravadores de CFTV (DVRs e NVRs, gravadores de vídeo digitais e em rede) gravam continuamente e sobrescrevem as gravações mais antigas quando o disco fica cheio, muitas vezes após dias ou semanas. Seus relógios frequentemente estão errados, por isso a diferença entre o horário do gravador e uma referência confiável deve ser anotada.
• Contas em nuvem e serviços on-line, como e-mail, armazenamento de arquivos, redes sociais, mensagens e backups de dispositivos, podem conter dados que já não existem em nenhum dispositivo. Um provedor mantém esses dados, muitas vezes em outro país, e eles são obtidos por meio do titular da conta ou do provedor, com a devida autorização (Módulo 2).

Fontes menos óbvias

• Impressoras e dispositivos multifuncionais podem manter um histórico de trabalhos de impressão, cópia e digitalização, e alguns modelos têm armazenamento interno.
• Cartões SIM identificam a assinatura do serviço móvel. O número de série do cartão (ICCID) está impresso nele, e um SIM pode armazenar uma pequena quantidade de contatos e mensagens de texto, embora os celulares modernos mantenham a maior parte dos dados no aparelho.
• Backups em unidades externas, compartilhamentos NAS, celulares e computadores antigos (que frequentemente contêm backups de celulares) podem conter dados excluídos do dispositivo atual.
• Dispositivos sincronizados: mensagens, fotos e histórico de navegação de um dispositivo frequentemente aparecem em um tablet, em um segundo computador ou em um aplicativo de mensagens para computador vinculado à mesma conta.
• Senhas e anotações escritas: notas adesivas, cadernos e papéis próximos a um computador. Eles podem posteriormente permitir o desbloqueio de um dispositivo criptografado, por isso são fotografados no local em que foram encontrados e tratados como itens de evidência.

A pessoa como fonte

As pessoas presentes em um local frequentemente sabem o que nenhuma ferramenta consegue descobrir rapidamente: quais dispositivos usam, quais contas possuem, se o armazenamento está criptografado e quais são as senhas. Fazer perguntas sobre isso, em termos gerais, pode economizar dias de trabalho. Se essas perguntas podem ser feitas e se alguém é obrigado a responder depende do arcabouço jurídico e da função do investigador (Módulo 2). Nas organizações, a equipe de TI sabe onde os logs são mantidos, por quanto tempo são retidos e quem tem acesso administrativo. Registre cada pergunta, a resposta e o horário. Uma senha obtida no local não é usada para explorar o dispositivo; ela é usada posteriormente, em uma aquisição controlada e documentada (Módulo 4).

Decidindo o que vem primeiro

Nem todas as fontes podem ser tratadas ao mesmo tempo. Com base na ordem de volatilidade (Módulo 1), avalie quatro fatores.

1. Relevância: o quanto a fonte está diretamente relacionada às perguntas do caso.
2. Volatilidade e risco de perda: em quanto tempo os dados poderiam desaparecer por falta de energia, sobrescrita, rotação de logs ou exclusão remota.
3. Exclusividade: se os dados existem apenas aqui ou também em outro lugar, como em um servidor que já foi preservado.
4. Esforço e impacto: quanto tempo a coleta leva e quanto ela interfere nas atividades do proprietário ou de uma empresa.

Um gravador de CFTV prestes a sobrescrever as gravações da semana passada pode ter prioridade sobre um notebook desligado cujos dados permanecerão preservados. Registrar as prioridades e os motivos ajuda a justificá-las.

Visão geral das fontes

Foco no exame: Conheça os principais grupos de fontes de evidências (computadores e mídias de armazenamento, celulares e tablets, dispositivos vestíveis, dispositivos IoT e de casa inteligente, veículos, dispositivos de rede, gravadores de CFTV, consoles de jogos, contas em nuvem) e as fontes menos óbvias: impressoras, cartões SIM, backups, dispositivos sincronizados e senhas escritas. Espere questões baseadas em cenários sobre a priorização de fontes por relevância, volatilidade e risco de perda, exclusividade e esforço, sobre logs de roteadores e sobrescrita de gravações de CFTV e sobre a pessoa como fonte de informações a respeito de dispositivos, contas e senhas.