A forense digital é a aplicação de métodos científicos e técnicas de investigação para coletar, preservar, analisar e apresentar evidências digitais de forma que sejam admissíveis em processos judiciais ou administrativos. No contexto da segurança da informação, a análise de logs é uma das principais fontes de evidência, pois registra eventos de sistemas, aplicações e redes, permitindo reconstruir incidentes, identificar invasões e responsabilizar autores.

Nesta aula, vamos explorar as etapas cruciais de uma investigação forense: a coleta de dados (priorizando a preservação da integridade), a manutenção da cadeia de custódia (para garantir a validade legal das evidências), a construção de uma timeline (para entender a sequência dos eventos) e a análise de artefatos (como arquivos, registros e metadados). Ao final, você terá uma visão prática de como conduzir uma investigação digital básica.

Coleta

A coleta é a primeira fase da forense digital e envolve a obtenção de dados de fontes como discos rígidos, memória RAM, logs de sistemas, tráfego de rede, dispositivos móveis e serviços em nuvem. O princípio fundamental é que a coleta deve ser feita de forma a não alterar os dados originais, pois qualquer modificação pode comprometer a validade da evidência. Para isso, utilizam-se técnicas como a criação de imagens forenses (cópias bit a bit) e a coleta de dados voláteis antes de desligar o sistema.

Existem dois tipos principais de coleta: a coleta ao vivo (live acquisition) e a coleta estática (static acquisition). A coleta ao vivo é feita enquanto o sistema está em execução, capturando dados voláteis como processos ativos, conexões de rede e conteúdo da memória RAM. Já a coleta estática é realizada após o desligamento, geralmente criando uma imagem do disco. Em ambos os casos, é essencial documentar todos os passos, utilizar ferramentas confiáveis e calcular hashes (como MD5 ou SHA-256) para verificar a integridade dos dados.

Exemplo de comando para criar uma imagem de disco com dd:

# Criar uma imagem bit a bit do dispositivo /dev/sda para o arquivo imagem.dd
sudo dd if=/dev/sda of=imagem.dd bs=4M status=progress
# Calcular o hash da imagem para verificação posterior
sha256sum imagem.dd

Para coletar logs de um servidor Linux, você pode copiar os arquivos de log e preservar seus metadados (como timestamps) com rsync ou cp, mas é importante usar uma ferramenta que mantenha a data de modificação original.

Cadeia de custódia

A cadeia de custódia é o processo que documenta a movimentação e o manuseio das evidências desde o momento da coleta até a apresentação em juízo. O objetivo é garantir que a evidência não foi adulterada, substituída ou danificada, e que é possível rastrear todas as pessoas que tiveram acesso a ela. Uma cadeia de custódia bem mantida é fundamental para que a evidência seja aceita legalmente.

Para manter a cadeia de custódia, é preciso registrar de forma detalhada: quem coletou a evidência, quando (data e hora), onde, como (método e ferramentas), e quem a transferiu e recebeu em cada etapa. Isso é feito por meio de formulários, etiquetas de identificação e um registro de custódia (chain of custody form). Além disso, as evidências devem ser armazenadas em locais seguros com acesso controlado, e todas as etapas devem ser assinadas e datadas.

Exemplo de campos de um formulário de cadeia de custódia:

  • Número de identificação da evidência
  • Descrição do item (tipo, marca, modelo, número de série)
  • Data e hora da coleta
  • Nome e assinatura do coletor
  • Local de armazenamento
  • Transferências (data, de quem, para quem)
  • Observações sobre a integridade (hashes)

No caso de logs digitais, a cadeia de custódia pode ser parcialmente automatizada com a assinatura digital dos arquivos e a utilização de sistemas de log centralizados que registram quem acessou os logs.

Timeline

A timeline é uma representação cronológica dos eventos relevantes para a investigação, construída a partir de logs, metadados de arquivos, timestamps de sistemas e outras fontes. Ela permite visualizar a sequência de ações do atacante, identificar quando um incidente começou, quais sistemas foram acessados e em que ordem, e correlacionar eventos que ocorreram em diferentes máquinas.

Para construir uma timeline, é necessário extrair timestamps de diversas fontes, como: horários de criação, modificação e acesso de arquivos (MAC times), logs de autenticação, registros de conexões de rede, logs de aplicações e eventos do sistema. Ferramentas como plaso (log2timeline) e timeliner do Autopsy podem automatizar esse processo, gerando uma linha do tempo consolidada e filtrada por palavras-chave ou intervalos de tempo.

Exemplo de comando com plaso para criar uma timeline a partir de uma imagem de disco:

# Instalar plaso (em distribuições Debian/Ubuntu)
sudo apt install plaso
# Criar um arquivo de timeline a partir da imagem
log2timeline.py --storage-file timeline.plaso imagem.dd
# Exportar a timeline em formato CSV
psort.py -o csv timeline.plaso > timeline.csv

A timeline deve ser analisada com atenção para identificar eventos anômalos, como logins fora do horário, picos de acesso, tentativas de acesso a arquivos sensíveis ou comunicação com IPs suspeitos. A correlação com outras fontes de informação é essencial para reconstruir a história completa.

Análise de artefatos

Artefatos são vestígios digitais que permanecem em um sistema após a atividade do usuário ou do atacante, como arquivos de sistema, registros de aplicativos, entradas de registro do Windows, arquivos de cache, histórico de navegação, documentos recentes, entre outros. A análise desses artefatos pode revelar informações cruciais sobre as ações realizadas, como programas executados, arquivos acessados, mídias removíveis conectadas e contas utilizadas.

Na análise de logs, os artefatos incluem os próprios arquivos de log, mas também outros dados correlacionados, como logs de firewall, logs de IDS/IPS, registros de eventos do Windows (Event Logs) e logs de aplicações web. A análise visa identificar padrões de ataque, como varreduras de portas, tentativas de brute force, injeção de SQL ou transferência de arquivos maliciosos.

Exemplo de análise de log de autenticação do Linux (/var/log/auth.log) para detectar tentativas de acesso:

# Buscar tentativas de login falhas
sudo grep "Failed password" /var/log/auth.log | head -20
# Buscar logins bem-sucedidos fora do horário comercial
sudo grep "Accepted" /var/log/auth.log | awk '$3 >= "18:00:00"'

Ferramentas como o Autopsy (interface gráfica) e o The Sleuth Kit (linha de comando) são amplamente utilizadas para analisar imagens de disco e recuperar artefatos. No caso de logs, ferramentas como ELK Stack (Elasticsearch, Logstash, Kibana) ou Splunk podem ser usadas para centralizar e correlacionar grandes volumes de dados.

Boas práticas e observações finais

Em qualquer investigação forense, a documentação é tão importante quanto a própria análise. Mantenha registros detalhados de todas as ações, incluindo comandos executados, ferramentas utilizadas e resultados obtidos. Sempre que possível, trabalhe com cópias (imagens) dos dados originais e nunca execute análises diretamente no sistema comprometido, a menos que seja absolutamente necessário e você esteja preparado para lidar com dados voláteis.

Além disso, esteja ciente das leis e regulamentos locais sobre privacidade e coleta de evidências. A forense digital é uma disciplina que exige ética e rigor técnico. Pratique em ambientes controlados e mantenha-se atualizado com as novas ferramentas e técnicas.

Exercícios

  1. Explique a diferença entre coleta ao vivo e coleta estática e dê um exemplo de situação em que cada uma é mais adequada.

    ✓ Resposta: A coleta ao vivo é realizada enquanto o sistema está em execução, capturando dados voláteis como memória RAM, processos ativos e conexões de rede. É adequada quando o sistema não pode ser desligado imediatamente, como em servidores críticos ou quando há suspeita de malware que pode se perder com o desligamento. A coleta estática é feita após o desligamento, criando uma imagem do disco, e é mais adequada quando o sistema já está desligado ou quando se deseja preservar o estado persistente sem interferir em processos em execução.
  2. Por que a cadeia de custódia é importante em uma investigação digital? Cite três elementos que devem ser registrados.

    ✓ Resposta: A cadeia de custódia é importante para garantir a integridade e autenticidade das evidências, assegurando que não foram adulteradas e que podem ser rastreadas. Três elementos que devem ser registrados são: identificação da evidência (número, descrição), data e hora da coleta, e nome e assinatura de quem coletou. Além disso, é crucial registrar todas as transferências de custódia.
  3. O que é uma timeline e como ela ajuda na investigação forense?

    ✓ Resposta: Uma timeline é uma representação cronológica dos eventos relevantes, construída a partir de timestamps de logs, arquivos e outros dados. Ela ajuda a visualizar a sequência de ações do atacante, identificar quando o incidente começou, quais sistemas foram acessados e correlacionar eventos. Isso permite reconstruir a história do incidente de forma clara e objetiva.
  4. Quais são os artefatos mais comuns que podem ser analisados em um sistema Windows? Dê exemplos de onde encontrá-los.

    ✓ Resposta: Os artefatos comuns em Windows incluem: Event Logs (registros de eventos do sistema, segurança e aplicações) localizados em C:\Windows\System32\winevt\Logs; Prefetch (arquivos para acelerar a inicialização de aplicativos) em C:\Windows\Prefetch; Registro do Windows (chaves que armazenam configurações e atividades) em C:\Windows\System32\config; histórico de navegação (arquivos do navegador) em %UserProfile%\AppData\Local\Google\Chrome\User Data\Default\History; e arquivos de artefatos de mídia removível (informações sobre dispositivos USB) no Registro.
  5. Qual comando você usaria para verificar a integridade de uma imagem de disco após a coleta? Por que isso é necessário?

    ✓ Resposta: O comando é sha256sum imagem.dd (ou md5sum). Isso é necessário para calcular um hash da imagem e compará-lo com o hash original calculado no momento da coleta. Se os hashes coincidirem, a imagem não foi alterada, garantindo a integridade da evidência.

Referências