Preservação do local

Os primeiros minutos em um local determinam grande parte do que um exame pode alcançar. Um clique descuidado, um desligamento bem-intencionado ou a permissão para que o proprietário volte ao teclado podem alterar ou destruir evidências antes que alguém registre como tudo estava. Esta aula aborda o trabalho prático do primeiro respondente: garantir a segurança das pessoas, controlar a área, documentar antes de tocar em qualquer coisa e registrar o estado de cada dispositivo. Os motivos por trás das decisões de manter dispositivos ligados ou desligados estão no Módulo 1, e a autorização legal para entrar e realizar buscas está no Módulo 2.

O papel do primeiro respondente

A ISO/IEC 27037 descreve dois papéis. Um Primeiro Respondente de Evidências Digitais (DEFR) é uma pessoa autorizada, treinada e qualificada para atuar primeiro em um local para coletar e adquirir evidências digitais. Um Especialista em Evidências Digitais (DES) tem conhecimentos técnicos mais aprofundados e pode lidar com situações que vão além das competências do DEFR, como capturar dados em tempo real de um servidor complexo. Em uma equipe pequena, uma pessoa pode desempenhar os dois papéis, mas a distinção é útil: o que acontece no local deve permanecer dentro das competências de quem executa o trabalho. Um bom DEFR conhece esses limites e chama um especialista em vez de improvisar.

Segurança em primeiro lugar

Nenhuma evidência vale uma lesão. Primeiro, verifique se há perigos no local: equipamentos elétricos danificados, fiação exposta, baterias de lítio estufadas ou superaquecidas, objetos cortantes e, às vezes, pessoas hostis. Os dispositivos também podem conter evidências forenses tradicionais, como impressões digitais ou DNA. Use luvas e coordene as atividades com os peritos de local de crime para que as evidências físicas sejam coletadas sem prejudicar as evidências digitais, e vice-versa.

Controle a área e as pessoas

• Afaste as pessoas de computadores, telefones e outros dispositivos, e não permita que ninguém toque neles, incluindo o proprietário ou um gerente de TI.
• Anote quem estava presente, quem usa cada dispositivo e quem teve acesso a ele antes da sua chegada.
• Fique atento a tentativas de alcançar um dispositivo, ligar para alguém que possa excluir dados remotamente ou esconder itens pequenos.
• Mantenha um registro de todas as pessoas que entram e saem da área.
• Quando permitido, faça perguntas gerais sobre dispositivos, contas e senhas (Aula 3.1).

Documente antes de tocar em qualquer coisa

Fotografias e anotações preservam o local tal como foi encontrado, para que perguntas posteriores, como o que uma tela mostrava, possam ser respondidas. Trabalhe do geral para o específico:

1. Fotografias gerais ou vídeo do ambiente, mostrando onde cada dispositivo está.
2. Cada dispositivo pela frente e por trás, incluindo telas, cabos, portas e periféricos conectados.
3. A tela de cada dispositivo em funcionamento, de perto o suficiente para permitir a leitura.
4. Cada cabo, identificado nas duas extremidades com a porta à qual estava conectado, antes de desconectar qualquer coisa.
5. Um croqui simples mostrando as posições dos dispositivos e os números de identificação dos vestígios que serão atribuídos.

Registre o horário de cada etapa com base em uma fonte de tempo confiável e anote o horário exibido por cada dispositivo. A diferença será importante posteriormente, quando os registros de data e hora forem analisados (Módulo 6).

Dispositivos ligados, desligados ou em estados intermediários

O Módulo 1 explica por que dispositivos em funcionamento e desligados são tratados de maneiras diferentes. No local, o que importa é a medida prática e seu registro.

Telefones exigem cuidado: um telefone que é desligado e ligado novamente geralmente retorna a um estado em que a maior parte dos dados permanece criptografada até que o código de acesso seja inserido. Em notebooks cuja bateria não pode ser removida, manter o botão de energia pressionado força o desligamento do sistema. Servidores que executam serviços empresariais são um caso diferente (Aula 3.3).

O que não fazer

• Não navegue por arquivos, leia mensagens, abra aplicativos nem verifique "só uma coisa". Cada ação altera dados e registros de data e hora.
• Não conecte unidades USB ou outros dispositivos, a menos que isso seja uma etapa deliberada e documentada de uma aquisição.
• Não execute antivírus nem ferramentas de limpeza. Eles podem colocar arquivos em quarentena ou excluí-los e alterar seus metadados.
• Não desligue um computador pelo menu sem antes considerar a criptografia e os dados voláteis.
• Não permita que o proprietário ou um colega prestativo opere o dispositivo por você.

Isolamento de dispositivos das redes

O isolamento impede o acesso remoto, a sincronização e os comandos de apagamento remoto. Na prática:

• Conexões cabeadas: fotografe e identifique o cabo de rede, depois desconecte-o do dispositivo e registre o horário.
• Telefones e tablets: ative o modo avião e confirme que o Wi-Fi e o Bluetooth também estão desligados, pois em muitos telefones eles podem permanecer ligados no modo avião; ou coloque o dispositivo em uma bolsa de blindagem de radiofrequência (RF) (Aula 3.3). Registre cada interação com o dispositivo.
• Dispositivos gerenciados pela organização: solicite à equipe de TI, por meio de um contato autorizado que não esteja envolvido no caso, que suspenda os comandos de bloqueio ou apagamento remoto no sistema de gerenciamento de dispositivos.
• O roteador: desligá-lo isola tudo de uma vez, mas ele pode conter logs voláteis e listas de clientes (Aula 3.1), portanto registre ou preserve primeiro o que for necessário.

Registro de identificadores e estados

Para cada dispositivo, registre a marca, o modelo, o número de série, qualquer etiqueta patrimonial e, no caso de telefones, o IMEI (o identificador único do aparelho), que costuma estar impresso em uma etiqueta, na bandeja do SIM ou na caixa. Acrescente seu estado: ligado, desligado ou em suspensão; bloqueado ou desbloqueado; nível da bateria; carregando ou não; conexões de rede; e qualquer coisa exibida na tela. Um formulário pré-impresso ajuda a garantir que nada seja esquecido e mantém os registros consistentes entre os membros da equipe (Módulo 5).

Um cenário resolvido

Investigadores de uma empresa fictícia, Norrvik Freight, chegam a um escritório de contabilidade para coletar evidências sobre alterações em pagamentos a fornecedores. Um funcionário está sentado à mesa até a qual a atividade foi rastreada.

1. O DEFR pede ao funcionário que se afaste da mesa e anota quem mais está na sala.
2. A sala, a mesa e as telas são fotografadas. O computador de mesa está ligado com o aplicativo de contabilidade aberto, uma unidade USB está em uma porta frontal e um telefone está sobre a mesa.
3. A tela é fotografada sem tocar no mouse ou no teclado. O disco está criptografado, então o DEFR chama o especialista, que decide se deve capturar a memória antes de interromper a alimentação elétrica (Módulo 4).
4. O telefone é fotografado, isolado das redes e conectado a uma bateria externa.
5. Uma nota adesiva sob o teclado que parece conter uma senha é fotografada no lugar e registrada.
6. Um pequeno NAS em um armário é fotografado e seus cabos são identificados; o gerente de TI confirma que ele faz backup dos computadores do escritório.
7. Números de série, estados e horários são anotados no formulário do local antes que qualquer item seja embalado (Aula 3.3).

Foco no exame: Conheça o papel do Primeiro Respondente de Evidências Digitais (DEFR) e como ele difere do Especialista em Evidências Digitais (DES) na ISO/IEC 27037. Espere questões baseadas em cenários sobre a ordem das primeiras ações (segurança, controle das pessoas, fotografias antes de tocar), o que fazer com dispositivos encontrados ligados ou desligados, o que não fazer (navegar, conectar unidades USB, executar antivírus, desligar sem avaliar), o isolamento prático de redes e suas vantagens e desvantagens, e quais identificadores e estados registrar.