Apreensão, acondicionamento e transporte

Depois que o local é protegido e documentado, os itens são apreendidos ou seus dados são copiados no local. Em ambos os casos, as evidências devem chegar ao laboratório nas condições em que foram encontradas, e qualquer pessoa deve conseguir verificar que não foram abertas nem trocadas durante o trajeto. Esta aula aborda a escolha entre apreender e copiar, a identificação, o acondicionamento, a lacração e o transporte. Como as cópias são feitas é abordado no Módulo 4, e como as transferências são registradas, no Módulo 5.

Apreender o item ou copiar os dados

Apreender um dispositivo proporciona ao perito o original, tempo e um ambiente controlado. Copiar no local, o que constitui uma aquisição (Módulo 4), às vezes é a única opção e, em outras situações, a melhor.

• Apreenda quando o dispositivo for portátil, a autorização permitir, o exame exigir tempo ou o próprio dispositivo for relevante, por exemplo, para examinar o hardware de um telefone ou demonstrar quem o possuía.
• Copie no local quando o sistema não puder ser removido ou interrompido, como um servidor empresarial ou um conjunto de armazenamento; quando os dados estiverem criptografados e só puderem ser lidos enquanto o sistema estiver em execução; quando a apreensão do hardware for desproporcional (Módulo 2); ou quando os dados estiverem em um serviço de nuvem.

Alguns casos exigem ambas as medidas: uma cópia da memória e de um volume desbloqueado com o sistema em execução, seguida da apreensão do dispositivo.

Identificação e etiquetagem

Cada item recebe um número de identificação de evidência exclusivo, que o acompanha em todos os registros e relatórios. Muitas organizações combinam a referência do caso, as iniciais do responsável pela coleta e um número sequencial. Partes que podem ser separadas, como um notebook, seu carregador e um cartão de memória encontrado em seu interior, recebem, cada uma, seu próprio número e são registradas como relacionadas.

• Fotografe cada item com sua etiqueta visível antes de acondicioná-lo.
• Fixe as etiquetas na embalagem ou use etiquetas de amarrar, sem cobrir números de série, portas ou parafusos do próprio dispositivo.
• Insira o número de identificação da evidência, uma descrição, o local onde foi encontrada, a data e a hora e quem a apreendeu na lista de evidências.

Acondicionamento

O acondicionamento protege os itens contra danos físicos, eletricidade estática, sinais de rádio e adulteração.

• Sacos antiestáticos protegem unidades de armazenamento sem gabinete, módulos de memória e placas de circuito contra descargas eletrostáticas, que podem danificar componentes. Sacos plásticos comuns podem acumular eletricidade estática e devem ser evitados para componentes eletrônicos sem proteção.
• Caixas rígidas com acolchoamento protegem contra esmagamento e impactos. Discos rígidos, que têm partes móveis, são especialmente sensíveis a impactos.
• Sacos ou envelopes de papel são adequados para itens que possam estar úmidos, pois o plástico vedado pode reter umidade.
• Bolsas de Faraday (bolsas com blindagem de RF) bloqueiam sinais de telefonia móvel, Wi-Fi e Bluetooth enviados e recebidos por telefones, tablets e dispositivos vestíveis.

Bolsas de Faraday e consumo da bateria

Um telefone em uma bolsa blindada continua procurando uma rede, o que geralmente consome sua bateria mais rápido que o normal. Se a bateria acabar, o telefone será desligado e, quando for reiniciado, grande parte de seus dados poderá permanecer criptografada até que o código de acesso seja inserido. Mantenha os telefones isolados carregados, com uma bateria externa dentro da bolsa ou usando uma bolsa com porta de carregamento blindada; um cabo de carregamento passado pela abertura da bolsa pode conduzir sinais para dentro e comprometer a blindagem. Abra a bolsa somente dentro de uma caixa ou sala blindada; caso contrário, o telefone se reconectará. Teste as bolsas periodicamente, por exemplo, ligando para um telefone de teste colocado em seu interior.

Lacração

Cada embalagem é fechada com fita de segurança que evidencia violações, e a pessoa que a lacra assina e registra a data sobre o lacre, de modo que a assinatura se estenda tanto pela fita quanto pela embalagem. Qualquer tentativa posterior de abertura rasga a fita ou rompe o traço da assinatura. Quando um perito abre a embalagem posteriormente, ele a corta longe do lacre original, registra a abertura e a lacra novamente com uma nova fita e uma nova assinatura, para que todo o histórico permaneça visível.

Cabos, carregadores e adaptadores de energia

Apreenda os carregadores e adaptadores de energia pertencentes aos dispositivos apreendidos. Telefones e notebooks podem usar conectores proprietários, e um telefone mantido em uma bolsa blindada precisará de energia dentro de poucas horas. Unidades externas e dispositivos NAS podem precisar de suas próprias fontes de alimentação para serem lidos, e estações de acoplamento, cabos especiais e chaves de segurança de hardware podem ser necessários posteriormente para acessar os dados. Cada acessório recebe seu próprio número de identificação de evidência, vinculado ao dispositivo ao qual pertence.

Transporte

• Mantenha os itens longe do calor, como o de um carro estacionado ao sol, e do frio que possa causar condensação quando forem levados para ambientes internos.
• Mantenha-os longe de ímãs fortes, como os de alto-falantes grandes, que podem danificar mídias magnéticas.
• Proteja-os contra umidade, vibração e impactos, e prenda as caixas para que não possam deslizar ou cair.
• Não deixe evidências sem supervisão em um veículo; leve-as diretamente para um local de armazenamento seguro.
• Registre cada transferência entre pessoas ou locais, com data, hora e assinaturas, no registro da cadeia de custódia (Módulo 5).

Um servidor de data center em comparação com um notebook pessoal

Duas apreensões no mesmo caso fictício mostram o contraste. Na residência do suspeito, o notebook pessoal está desligado. A equipe o fotografa, identifica o notebook e seu carregador com etiquetas, acondiciona o notebook em uma caixa acolchoada, lacra a caixa e o leva.

Na empresa em que o suspeito trabalha, os dados relevantes estão em uma máquina virtual em um data center, em um conjunto de armazenamento compartilhado por dezenas de sistemas que precisam continuar em execução. Apreender o hardware não é possível nem proporcional. Em vez disso, com a ajuda dos administradores de sistemas e dentro do escopo acordado, um especialista adquire no local os arquivos de disco da máquina virtual e os logs relevantes (Módulo 4), registra os valores de hash de cada cópia, anota quem fez o quê em cada etapa e documenta a configuração: plataforma de virtualização, organização do armazenamento e configurações de horário. Se algum dia for necessário remover discos físicos de um conjunto RAID, suas posições nos slots serão identificadas com etiquetas, pois o conjunto pode não ser reconstruído corretamente sem essa ordem. As cópias, e não o servidor, são então acondicionadas e transportadas.

Acondicionamento por tipo de dispositivo

Foco no exame: Saiba quando apreender um item e quando copiar dados no local, como os números de identificação e as etiquetas de evidências são atribuídos e qual acondicionamento é adequado a cada dispositivo: sacos antiestáticos para unidades de armazenamento, caixas rígidas acolchoadas, papel para itens úmidos e bolsas de Faraday para telefones. Espere questões sobre o consumo acelerado da bateria como efeito colateral das bolsas de Faraday e como manter os telefones carregados sem comprometer a blindagem, sobre a assinatura atravessando os lacres que evidenciam violações, sobre os riscos do transporte (calor, ímãs, umidade, impactos, veículos sem supervisão) e sobre servidores cujos dados são adquiridos no local, em vez de serem apreendidos.