1ª aula forense computacional

Forense Computacional
João Freire Abramowicz
Professor
E-mail : joaoabramowicz@hotmail.com
Facebook :/joaoabramowicz
Skype : joaofreireabramowicz

Perícia forense computacional;
Conceitos da perícia forense e UNIX
Distribuições Linux
Modus Operandi;
 Coletando evidências digitais;
Forense de rede;
Post Mortem Analysis;
Classificação das técnicas;
 Modelos de experimentos práticos de intrusão
para prova de conceito
C.H : 40 Horas

Identificar ameaças digitais e seus impactos nas
redes de computadores;
Identificar a forma clássica de atuação dos
invasores e a relação de suas ações com a geração de
evidências.
Aprender o processo de coleta de evidências de
sistemas digitais
Identificar as principais técnicas antiforenses
Discutir os aspectos legais da perícia forense
computacional

Aulas teóricas expositivas,
Aulas práticas em laboratório;
Quadro branco, computador, projetor multimídia.
Provas escritas
Trabalhos individuais e em grupo
(listas de exercícios, estudos dirigidos, pesquisas)

 Computação Forense com Software Livre, MELO,
Sandro; Ed. Alta Books, 2009
 Perícia Forense Comuatcional: Teoria e Prática
Aplicada, FARMER, Dan; VENEMA Wietse; Ed.
Pearson.
 Perícia Forense Aplicada à Informática, FREITAS,
Andrey R.; Ed. Brasport, 2006.

“A Forense Computacional pode ser definida
como a ciência que estuda a aquisição,
preservação, recuperação e análise de dados
que estão em formato eletrônico e armazenados
em algum tipo de mídia computacional.”

Tipos de ocorrências
Ocorrências mais comuns:
 Calúnia, difamação e injúria via e-mail
Roubo de informações confidenciais
Remoção de arquivos
Outros crimes:
Pedofilia
Fraudes
Tráfico de drogas via Internet

Objetivo da Forense Computacional
Aplicar métodos científicos e sistemáticos, buscando extrair
e analisar tipos de dados dos diferentes dispositivos, para
que essas informações passem a ser caracterizadas como
evidências e, posteriormente, como provas legais de fato.
A forense aplicada à tecnologia é muito recente, porém a
ciência forense como um todo existe há muito tempo.

No século VII já eram utilizadas impressões digitais para
determinar as identidades dos devedores. As impressões
digitais dos cidadãos eram anexadas às contas que ficavam
em poder dos credores.


A forense computacional
Para fins legais (ex.: investigar casos de
espionagem industrial); em ações disciplinares
internas (ex.: uso indevido de recursos da
instituição);
Para serem consideradas provas válidas, é muito
importante que o perito realize o processo de
investigação de maneira cuidadosa e sistemática.
Preservar a integridade das evidências
Gerar documentação detalhada
È empregada:

Etapas da investigação
Fases de um processo de investigação


Coleta dos dados
Possíveis fontes de dados:
Computadores pessoais;
Dispositivos de armazenamento em rede;
CDs, DVDs;
Máquina fotográfica, relógio com comunicação via
USB;
 HD portatil;
Aparelhos celular (Smartphone);
Pendriver , cartão de memória, etc.

Os dados também podem estar armazenados em
locais fora dos domínios físicos da cena investigada
Provedores de Internet :
Servidores FTP (File Transfer Protocol)
Servidores corporativos
Servidores em Nuvens
Nesses casos, a coleta dos dados somente será
possível mediante ordem judicial.
Coleta dos dados

Cópia dos dados: envolve a utilização de ferramentas
adequadas para a duplicação dos dados ;
Garantir e preservar a integridade
Se não for garantida a integridade, as evidências poderão ser
invalidadas como provas perante a justiça
A garantia da integridade das evidências consiste na
utilização de ferramentas que aplicam algum tipo de
algoritmo hash
Assim como os demais objetos apreendidos na cena do
crime, os materiais de informática apreendidos deverão ser
relacionados em um documento (cadeia de custódia)
Coleta dos dados

Cópia lógica (Backup): as cópias lógicas gravam o
conteúdo dos diretórios e os arquivos de um volume lógico.
 Não capturam outros dados:
arquivos excluídos;
fragmentos de dados armazenados nos espaços não
utilizados, mas alocados por arquivos.
Imagem: imagem do disco ou cópia bit-a-bit inclui os
espaços livres e os espaços não utilizados:
mais espaço de armazenamento, consomem muito mais
tempo;
permitem a recuperação de arquivos excluídos e dados não
alocados pelo sistema de arquivos. Exemplo: setor de 4KB,
arquivo com 9KB (3 setores ocupados)
Coleta dos dados

Durante a aquisição dos dados é muito
importante manter a integridade dos atributos de
tempo mtime (modification time), atime (access
time) e ctime (creation time) – MAC Times.
Modificação: registro da data e hora em que
ocorreu a última alteração no arquivo;
Acesso: registro da data e hora em que ocorreu o
último acesso ao arquivo;
Criação: registro da data e hora em que o
arquivo foi criado.
Coleta dos dados

atributosdetempo
atributosdetempo

Finalidade: localizar, filtrar e extrair somente as informações
relevantes à investigação - 7 tarefa trabalhosa!
Capacidade de armazenamento dos dispositivos atuais
Quantidade de diferentes formatos de arquivos existentes
(imagens, áudio, arquivos criptografados e compactados)
Muitos formatos de arquivos possibilitam o uso de
esteganografia para ocultar dados, o que exige que o perito
esteja atento e apto a identificar e recuperar esses dados
Em meio aos dados recuperados podem estar informações
irrelevantes e que devem ser filtradas.
Ex.: o arquivo de log do sistema de um servidor pode conter
milhares de entradas, sendo que somente algumas delas podem
interessar à investigação
Exame de dados

Após a restauração da cópia dos dados, o perito faz uma
avaliação dos dados encontrados:
arquivos que haviam sido removidos e foram recuperados;
arquivos ocultos;
fragmentos de arquivos encontrados nas áreas não
alocadas;
fragmentos de arquivos encontrados em setores alocados,
porém não utilizados pelo arquivo.
Exame de dados

Análise das informações
Após a extração dos dados considerados relevantes, o perito
deve concentrar suas habilidades e conhecimentos na etapa de
análise e interpretação das informações.
Finalidade: identificar pessoas, locais e eventos; determinar
como esses elementos estão inter-relacionados.
Normalmente é necessário correlacionar informações de
várias fontes de dados
Exemplo de correlação: um indivíduo tenta realizar um
acesso não autorizado a um determinado servidor
É possível identificar por meio da análise dos eventos
registrados nos arquivos de log o endereço IP de onde foi
originada a requisição de acesso
Registros gerados por firewalls, sistemas de detecção de
intrusão e demais mecanismos de proteção

A interpretação dos resultados obtidos é a etapa
conclusiva da investigação.
O perito elabora um laudo pericial que deve ser
escrito de forma clara e concisa, listando todas
as evidências localizadas e analisadas.
O laudo pericial deve apresentar uma conclusão
imparcial e final a respeito da investigação
Resultado

• Para que o laudo pericial torne-se um
documento de fácil interpretação, é indicado que
o mesmo seja organizado em seções:
• Finalidade da investigação
• Autor do laudo
• Resumo do incidente
• Relação de evidências analisadas e seus detalhes
• Conclusão
• Anexos
• Glossário (ou rodapés)
Resultado

Também devem constar no laudo pericial:
Metodologia
Técnicas
Softwares e equipamentos empregados
Com um laudo bem escrito torna-se mais fácil a
reprodução das fases da investigação, caso
necessário.
Resultado

Técnicas Forenses
Limpar todas as mídias que serão utilizadas ou usar mídias novas a
cada investigação;
Certificar-se de que todas as ferramentas (softwares) que serão
utilizadas estão devidamente licenciadas e prontas para utilização;
Verificar se todos os equipamentos e materiais necessários (por
exemplo, a estação forense, as mídias para coleta dos dados, etc.)
estão à disposição;
Quando chegar ao local da investigação, o perito deve providenciar
para que nada seja tocado sem o seu consentimento, com o objetivo
de proteger e coletar todos os tipos de evidências
Os investigadores devem filmar ou fotografar o ambiente e registrar
detalhes sobre os equipamentos como: marca, modelo, números de
série, componentes internos, periféricos, etc.
Manter a cadeia de custódia.

Ferramentas Forenses
Algumas ferramentas forenses serão mostradas
nas etapas:
Coleta dos dados
Exame dos dados
Análise dos dados

Ferramentas Forenses – Distribuições Linux
Kali Linux
Forense – FDTK
Caine
Forense NetworMiner
Win-Ufo
Kit-Forense
OSForense

1ª aula forense computacional

Mais conteúdo relacionado

Mais procurados (20)

Destaque (20)

Semelhante a 1ª aula forense computacional (20)

Mais de João Freire Abramowicz (8)

Último (20)

1ª aula forense computacional