DOCUMENTOSCOPIA-COMPUTACIONAL-FORENSE-1 (1)

Prévia do material em texto

<p>1</p><p>DOCUMENTOSCOPIA COMPUTACIONAL FORENSE</p><p>1</p><p>Sumário</p><p>NOSSA HISTÓRIA ................................................................................. 3</p><p>1. INTRODUÇÃO ........................................................................... 4</p><p>2. EVOLUÇÃO TECNOLOGICA ......................................................... 6</p><p>2.1 A complexidade e a evolução da computação .............................. 7</p><p>3. TERMINOLOGIA E CONCEITOS BÁSICOS DA COMPUTAÇÃO</p><p>FORENSE 9</p><p>4. NORMAS TÉCNICAS E PROCEDIMENTOS EM COMPUTAÇÃO</p><p>FORENSE 13</p><p>4.1 Normas técnicas ......................................................................... 14</p><p>4.2 Procedimento Operacional Padrão (POP) ou Norma Operacional</p><p>Padrão (NOP) .............................................................................................. 15</p><p>5. OS CRIMES CIBERNÉTICOS E SEUS VESTÍGIOS ................ 16</p><p>5.1 Aspectos e temas abordados no Tratado de Computação Forense</p><p>Identificação, Isolamento, Coleta e Preservação do Vestígio Cibernético .... 18</p><p>6. EXAMES .................................................................................. 19</p><p>6.1 Exames em Mídias de Armazenamento ...................................... 19</p><p>6.2 Exames em Locais de Internet .................................................... 19</p><p>6.3 Exames em Redes de Computadores e Dados de Interceptação</p><p>Telemática ................................................................................................... 20</p><p>6.4 Exames em Imagens Digitais ...................................................... 20</p><p>6.5 Exames em Constatação de Pornografia Infanto-juvenil ............. 20</p><p>6.6 Exames em Computação Embarcada ......................................... 21</p><p>6.7 Exames em Equipamentos Computacionais Portáteis e de Telefonia</p><p>Móvel ........................................................................................................... 21</p><p>6.8 Exames em Computação na Nuvem ........................................... 21</p><p>6.9 Exames em Detecção de Intrusão............................................... 22</p><p>6.10 Exames em Malwares ............................................................... 22</p><p>7. PROCEDIMENTOS FORENSES ............................................. 22</p><p>8. TÉCNICAS ANTI FORENSE .................................................... 24</p><p>8.1. Criptografia ................................................................................ 24</p><p>8.2. Esteganografia ........................................................................... 26</p><p>2</p><p>8.3. Particularidades de sistemas de arquivos .................................. 27</p><p>8.3.1. Alternate Data Streams (ADS)................................................. 27</p><p>8.4. Sanitização de discos ................................................................. 28</p><p>8.4.1. Wipe ........................................................................................ 28</p><p>9. CONCLUSÃO........................................................................... 30</p><p>REFERENCIAS ................................................................................ 31</p><p>3</p><p>NOSSA HISTÓRIA</p><p>A nossa história inicia com a realização do sonho de um grupo de</p><p>empresários, em atender à crescente demanda de alunos para cursos de</p><p>Graduação e Pós-Graduação. Com isso foi criado a nossa instituição, como</p><p>entidade oferecendo serviços educacionais em nível superior.</p><p>A instituição tem por objetivo formar diplomados nas diferentes áreas de</p><p>conhecimento, aptos para a inserção em setores profissionais e para a</p><p>participação no desenvolvimento da sociedade brasileira, e colaborar na sua</p><p>formação contínua. Além de promover a divulgação de conhecimentos culturais,</p><p>científicos e técnicos que constituem patrimônio da humanidade e comunicar o</p><p>saber através do ensino, de publicação ou outras normas de comunicação.</p><p>A nossa missão é oferecer qualidade em conhecimento e cultura de forma</p><p>confiável e eficiente para que o aluno tenha oportunidade de construir uma base</p><p>profissional e ética. Dessa forma, conquistando o espaço de uma das instituições</p><p>modelo no país na oferta de cursos, primando sempre pela inovação tecnológica,</p><p>excelência no atendimento e valor do serviço oferecido.</p><p>4</p><p>1. INTRODUÇÃO</p><p>“A Forense Computacional pode ser estabelecida como a ciência que</p><p>estuda a aquisição, preservação, recuperação e análise de dados que estão em</p><p>formato eletrônico e armazenados em algum tipo de mídia computacional.”</p><p>A Computação Forense é a subdivisão da Criminalística que tem como</p><p>objetivo a análise de vestígios cibernéticos, incorporando os elementos que os</p><p>orbitam. Esse aspecto a torna uma área multidisciplinar, que engloba diferentes</p><p>áreas das Ciências Forenses. Isso pode ser visto diariamente nos Institutos de</p><p>Criminalística, onde os peritos de informática interagem com os peritos de áreas</p><p>como contabilidade e audiovisual.</p><p>5</p><p>Essa cooperação acompanha o próprio movimento de migração do</p><p>analógico para o digital visto na sociedade moderna. Até pouco tempo atrás, os</p><p>peritos daquelas áreas analisavam livros-caixa e fitas VHS. Atualmente,</p><p>examinam relatórios eletrônicos extraídos a partir de sistemas contábeis e</p><p>vídeos codificados no formato H.264. A própria documentoscopia, que</p><p>tradicionalmente lidava apenas com documentos em papel, hoje já trata de</p><p>arquivos assinados com certificados digitais e montagens feitas eletronicamente.</p><p>Indo além, a evolução tecnológica faz com que a Computação Forense</p><p>permeie áreas nunca antes imagináveis como: a balística, ao tratar da fabricação</p><p>caseira de armas de fogo por meio de impressoras 3D; a medicina, em função</p><p>da análise de dispositivos médicos, como marca passos; e a perícia em</p><p>acidentes de trânsito, que pode contar com o auxílio da eletrônica embarcada.</p><p>Outro aspecto envolve a atualização tecnológica, uma vez que os</p><p>computadores estão cada vez mais presentes no nosso dia a dia, seja por meio</p><p>de um simples relógio de pulso, que hoje tem mais poder de processamento do</p><p>que o computador que auxiliou o pouso do homem na lua, ou seja através do</p><p>conceito de “Internet das Coisas” (Internet of Things – IoT), que está</p><p>revolucionando a forma com que interagimos com os objetos ao nosso redor.</p><p>Esse acontecimento de capilaridade tecnológica é chamado de</p><p>computação ubíqua ou pervasiva, que representa a evolução da área, que</p><p>passou dos grandes computadores que ocupavam inteiras para os dispositivos</p><p>portáteis, tão comuns atualmente.</p><p>É relevante frisar que, apesar da tecnologia estar presente no ambiente</p><p>forense, os profissionais não devem se lançar cegamente em sua direção. Ao</p><p>contrário, precisam se dedicar a estudá-la para tomar consciência de sua</p><p>amplitude e potencialidade. “É difícil dizer o que é impossível, pois a fantasia de</p><p>ontem é a esperança de hoje e a realidade de amanhã”.</p><p>Segundo Eleutério e Machado (2011), exames forenses na área de</p><p>informática podem ser realizados em dispositivos de armazenamento, em</p><p>aparelhos de telefone celular, em sites da internet, entre outros. Galvão (2013)</p><p>ressalta, no entanto, que na maior parte das vezes a perícia tem como objetivo</p><p>6</p><p>a análise de dados armazenados em dispositivos de armazenamento (discos</p><p>rígidos, CDs, DVDs, cartões de memória, etc.).</p><p>Tarefas envolvendo computadores e redes aumentam em ritmo</p><p>acelerado. Ações ilícitas utilizando esses meios, também. Segundo o Centro de</p><p>Estudos, Resposta e tratamento de Incidentes de Segurança no Brasil</p><p>(CERT.br), o número de fraudes na internet cresceu 6.513% no país entre 2004</p><p>e 2009. Em 2013, foram 352.925 incidentes reportados ao CERT.br (CERT,</p><p>2014).</p><p>Dado o aumento dos incidentes e fraudes envolvendo meios</p><p>computacionais, há a necessidade de técnicas investigativas para a apuração</p><p>dessas atividades ilícitas. A perícia forense</p><p>computacional busca a coleta e a</p><p>análise de dados e informações, ou seja, de vestígios digitais deixados na</p><p>ocorrência de uma atividade criminosa ou fraudulenta envolvendo meios</p><p>computacionais (ERBACHER; CHRISTIANSEN; SUNDBERG, 2006).</p><p>2. EVOLUÇÃO TECNOLOGICA</p><p>A evolução da tecnologia está junto desde sempre a evolução humana.</p><p>Na esfera computacional não é diferente, seu ritmo de evolução é acentuado e</p><p>aumenta cada vez mais. A busca é pelo desenvolvimento de novas tecnologias</p><p>da informação, pela disseminação do acesso à internet, pela promoção de novas</p><p>demandas e correspondência com novas ofertas tecnológicas.</p><p>O avanço da computação e da comunicação em rede proporciona</p><p>conforto às pessoas. A realização de uma tarefa escolar pode ser feita de forma</p><p>online (através da internet). O estudo e formação em um curso pode ser EaD</p><p>(Educação à Distância). A compra de um produto pode ser realizada pelo site</p><p>(página web). Enfim, atividades que antes eram executadas presencialmente,</p><p>agora podem ser feitas de qualquer lugar e a qualquer hora, inclusive crimes.</p><p>No caso de prática de crime, o Código de Processo Penal Brasileiro</p><p>(BRASIL, 1941) determina que: quando a infração deixar vestígios, será</p><p>indispensável o exame de corpo de delito (artigo 158); o exame de corpo de</p><p>7</p><p>delito e outras perícias serão realizados por perito oficial (artigo 159); os peritos</p><p>elaborarão o laudo pericial, no qual descreverão o que examinarem e</p><p>responderão aos quesitos formulados (artigo 160).</p><p>Na computação, os vestígios de um crime são digitais (em forma de bits),</p><p>podendo ser encontrados em dispositivos de armazenamento ou trafegando em</p><p>rede. De acordo com Eleutério e Machado (2011), na maioria dos casos, exames</p><p>forenses nesses dispositivos resultam em uma excelente prova técnica e os</p><p>laudos produzidos tornam-se peças fundamentais para o convencimento do juiz</p><p>na elaboração da sentença.</p><p>2.1 A complexidade e a evolução da computação</p><p>Segundo a 27ª pesquisa anual do uso de TI 20162 realizada pelo Centro</p><p>de Tecnologia de Informação Aplicada da FGV-EAESP existem no Brasil cerca</p><p>de 244 milhões de dispositivos conectáveis à internet, ou seja, mais de um</p><p>dispositivo por habitante.</p><p>O cenário atual indica que cerca de 77 mil brasileiros sofrem ataques</p><p>cibernéticos por dia e, provavelmente por falta de educação tecnológica ou</p><p>conhecimentos de Computação Forense, apenas 21% deles denunciam o</p><p>ataque.</p><p>São cerca de 2.100 ataques/hora a sistemas governamentais, fato que foi</p><p>alvo de pauta do Fórum Econômico Mundial, no qual seus líderes colocaram os</p><p>ataques cibernéticos, a incidência massiva de fraude, o roubo de dados e a</p><p>desinformação digital entre os 10 maiores riscos às Nações.</p><p>Chamam a atenção as cifras referentes aos custos dos crimes</p><p>cibernéticos. De acordo com o relatório da Allianz Global Corporate & Specialty</p><p>foram 7,7 bilhões de dólares só no Brasil, ou seja, se trata de campo promitente</p><p>para os profissionais atuantes na prevenção, reposta a incidentes e remediação</p><p>dos crimes cibernéticos.</p><p>8</p><p>Os avanços tecnológicos amplificaram significativamente as</p><p>possibilidades de comércio, comunicação e relacionamento interpessoal, porém,</p><p>a formação de profissionais e a educação tecnológica não acompanhou o ritmo</p><p>desse vertiginoso crescimento.</p><p>O trabalho da Perícia Forense Computacional demanda, além de</p><p>profissionais capacitados e investimentos em soluções de TI, tempo para</p><p>execução dos respectivos exames. Dessa forma, os profissionais que atuam em</p><p>Computação Forense terão que lidar com a variação das complexidades dos</p><p>exames periciais. Nesse contexto, alguns fatores se mostram preponderantes:</p><p>Fator humano: Se relaciona à capacidade humana de compreensão e</p><p>tratamento da informação, dos vestígios e suas análises em nível de raciocínio,</p><p>deduções e conclusões. O fator humano é afetado por diversas variáveis como</p><p>estado emocional, cansaço, sono, calor e outros;</p><p>Fator tecnológico: Diz respeito às facilidades e dificuldades impostas</p><p>pela tecnologia, especialmente no tocante à velocidade de processamento da</p><p>informação (tempo) como também na limitação de tamanho das mídias de</p><p>armazenamento atuais (espaço);</p><p>Fator legal: Se conecta aos parâmetros impostos pela legislação no</p><p>tratamento do vestígio cibernético, já que a análise desse deve obedecer, além</p><p>dos princípios científicos, os ditames de ordem legal e processual.</p><p>Mesmo diante da evolução do processamento e armazenamento de</p><p>informações, previstas pelas Leis de Moore, em que o número de transistores</p><p>9</p><p>colocados em um circuito integrado dobraria a cada dois anos , e Kryder , em</p><p>que a densidade e a capacidade de armazenamento dos discos rígidos</p><p>dobrariam de tamanho entre 18 e 24 meses, o ser humano pode não ser capaz</p><p>de processar as informações e produzir resultados em tempo hábil de forma a</p><p>atender à legislação pertinente.</p><p>3. TERMINOLOGIA E CONCEITOS BÁSICOS DA</p><p>COMPUTAÇÃO FORENSE</p><p>Alguns termos foram empregados e padronizados na Computação</p><p>Forense a fim de consolidar a terminologia pericial, assim sendo, alguns</p><p>conceitos e terminologias pertinentes para a leitura deste material serão</p><p>apresentados a seguir:</p><p>• Algoritmo de hash criptográfico (função de hash criptográfico):</p><p>função matemática cujo resultado é um valor de tamanho fixo, gerado a partir de</p><p>uma entrada de tamanho arbitrário. Na Computação Forense, os arquivos</p><p>geralmente são utilizados como parâmetros de entrada dessas funções, o que</p><p>permite identificar se dois ou mais arquivos possuem conteúdos idênticos. Outra</p><p>característica importante das funções hash é a unidirecionalidade, ou seja, a</p><p>partir de seu resultado é impraticável produzir o parâmetro de entrada. Muito</p><p>usados no controle de integridade de arquivos e mídias de armazenamento, haja</p><p>vista a baixíssima probabilidade de dois arquivos distintos submetidos à mesma</p><p>função produzirem o mesmo resultado;</p><p>• Análise live (análise a quente, análise online, análise viva ou live</p><p>analysis): tipo de análise realizada diretamente no equipamento questionado</p><p>com o sistema operacional em funcionamento. É destinada à análise do</p><p>dispositivo e dos dados em tempo de execução. Tal análise, apesar de aumentar</p><p>a superfície de exposição da evidência e alterá-la de forma involuntária, pode ser</p><p>a única forma de identificar e salvaguardar a evidência de natureza volátil. Deve</p><p>10</p><p>ser aplicada de acordo com as técnicas recomendadas para o tipo específico de</p><p>equipamento e evidência, sendo que os procedimentos realizados durante o</p><p>exame devem ser documentados;</p><p>• Análise post-mortem (análise a frio, análise offline, análise morta</p><p>ou dead analysis): tipo de exame realizado quando se deseja aumentar o grau</p><p>de preservação da evidência questionada. Nesse tipo de exame, opta-se por</p><p>criar uma imagem forense (cópia exata) da evidência, protegendo-a contra</p><p>gravações involuntárias. Esse tipo de perícia é o mais recomendado quando não</p><p>há necessidade de preservação dos dados voláteis presentes em um</p><p>determinado equipamento no momento de sua arrecadação ou quando a</p><p>presença de criptografia nas mídias secundárias não for detectada;</p><p>• Análise Forense Computacional: tipo de análise realizada em</p><p>dispositivos computacionais, tanto em software quanto em hardware, com foco</p><p>na análise de evidências cibernéticas, a fim de trazer à tona elementos</p><p>indicativos de autoria, materialidade e dinâmica de fatos, geralmente</p><p>relacionados a violações legais;</p><p>• Antiforense: recurso usado para encobrir a existência, quantidade e a</p><p>qualidade de evidências de determinado recurso computacional. Também pode</p><p>objetivar dificultar a análise das evidências ou torná-la impraticável;</p><p>• Arquivo Composto (ou Arquivo Container): arquivo binário cujo</p><p>conteúdo é formado por outros arquivos, como os arquivos compactados e os</p><p>utilizados pelas suítes Libre Office</p><p>e Microsoft Office;</p><p>• Arquivo Imagem (Imagem Pericial ou Imagem Forense): arquivo que</p><p>contém a cópia exata da mídia submetida a exame. Dependendo das opções</p><p>escolhidas pelo perito durante o processo de cópia, o arquivo pode ser</p><p>11</p><p>fragmentado em arquivos menores ou pode ser compactado. Sua integridade é</p><p>garantida pelas funções de hash;</p><p>• Cadeia de Custódia: registro detalhado de todos os passos, pessoas,</p><p>ambientes, mídias e informações direta ou indiretamente relacionadas à perícia.</p><p>É fundamental para instrumentar o processo e dar suporte a investigações ou</p><p>contestações posteriores, sem que todo o processo pericial seja comprometido.</p><p>Esse assunto teve suas diretrizes e procedimentos estabelecidos na portaria</p><p>número 82, de 16 de julho de 2014 da Secretaria Nacional de Segurança Pública</p><p>do Ministério da Justiça - SENASP/MJ;</p><p>• Computação na nuvem: termo utilizado para caracterizar os serviços</p><p>de internet que oferecem recursos computacionais, como processamento e</p><p>armazenamento, situados em servidores cuja localização geográfica é</p><p>transparente para o cliente;</p><p>• Criptografia: estudo e aplicação de métodos que transformam a</p><p>informação plana e aberta em um conjunto de dados ininteligíveis às partes não</p><p>autorizadas. Tem como principal objetivo permitir a troca de mensagens sigilosas</p><p>em um ambiente inseguro;</p><p>• Deep Web: é o termo dado à parte da internet cujo conteúdo não está</p><p>indexado pelos serviços de busca mais populares, como o Google. O acesso,</p><p>geralmente, é feito por meio navegação anônima. Está repleta de páginas com</p><p>conteúdo de caráter clandestino, como pornografia infantil e comércio ilegal de</p><p>drogas;</p><p>• Duplicação Pericial (Duplicação Forense): é o processo de aquisição</p><p>de uma evidência cibernética, na qual é realizada a cópia bit a bit de determinada</p><p>informação, resultando na criação de um arquivo imagem ou de uma mídia</p><p>duplicada;</p><p>12</p><p>• Imagem Digital: arquivo criado ou editado por meio eletrônico,</p><p>geralmente máquinas fotográficas digitais ou softwares como o Adobe</p><p>Photoshop;</p><p>• Intrusão: atividade de caráter voluntário, que leva à violação das</p><p>políticas de segurança da informação de uma organização, podendo ter origem</p><p>local ou remota;</p><p>• Laudo (Parecer Técnico): documento técnico científico de caráter</p><p>formal, elaborado pelo perito. Apresenta o resultado da análise pericial de modo</p><p>compreensível aos interessados e responsáveis pelo julgamento do mérito,</p><p>dispensando-os da necessidade de conhecimento técnico aprofundado e</p><p>reduzindo o risco de interpretação equivocada por parte dos mesmos. Para</p><p>alcançar esse objetivo, o documento pode ser enriquecido com ilustrações,</p><p>fotografias e croquis, visando a facilitação de seu entendimento;</p><p>• Malware: programas especificamente desenvolvidos para executar</p><p>ações danosas e atividades maliciosas em um computador;</p><p>• Mídia Questionada (Mídia de Prova): é a mídia objeto da investigação.</p><p>Os tipos mais comuns são pendrives, discos rígidos externos ou inseridos em</p><p>computadores, bem como as mídias ópticas;</p><p>• Mídia de Destino: suporte para o qual o conteúdo das mídias</p><p>questionadas é copiado, de modo a preservá-las contra alterações não</p><p>intencionais;</p><p>13</p><p>• Vestígio Cibernético (Vestígio Digital): qualquer informação de valor</p><p>probatório que tenha sido armazenada ou transmitida em meio digital e que pode</p><p>ser utilizada para comprovação de um crime. Na Computação Forense, um</p><p>computador pode ser o meio ou o alvo de uma atividade criminosa, cabendo ao</p><p>analista pericial a coleta de vestígios que possam levar à autoria dos delitos</p><p>cometidos;</p><p>• Wipe: técnica empregada para apagamento seguro de mídias. Usada</p><p>principalmente para reutilização de mídias de apoio aos exames periciais,</p><p>evitando que informações anteriormente existentes contaminem uma nova</p><p>análise pericial.</p><p>4. NORMAS TÉCNICAS E PROCEDIMENTOS EM</p><p>COMPUTAÇÃO FORENSE</p><p>No Brasil, a legislação não é taxativa quanto ao uso de normas,</p><p>regimentos ou procedimentos específicos, bem como não exige titulação ou</p><p>certificação do profissional que atua na área de Computação Forense. Aliás,</p><p>cumpre destacar, que os profissionais da área de informática sequer têm</p><p>conselho profissional, a exemplo dos conselhos de engenharia ou medicina.</p><p>Porém, o Código de Processo Penal (CPP) exige que o perito oficial ou</p><p>nomeado tenha curso superior e faça uso de métodos aceitos pela comunidade</p><p>científica. Em especial nos órgãos de perícia oficial, o perito, além de ter que ser</p><p>aprovado em concurso público, deve atender a exigências como ter formação</p><p>superior específica e participar de curso de formação oficial. O profissional deve</p><p>seguir regras impostas através de Instruções Normativas, Procedimentos</p><p>Operacionais Padrão, Manuais e certificações profissionais e de laboratórios. Já</p><p>nas perícias ad hoc, são considerados o notório saber, a titulação, as</p><p>certificações e a reputação do profissional.</p><p>Em Computação Forense segue-se a teoria da hierarquia das normas, na</p><p>qual a está legislação constitucional está no topo da pirâmide e na base estão</p><p>14</p><p>os documentos infraconstitucionais. Neste capítulo serão abordados os</p><p>documentos mais usados como o Procedimento Operacional Padrão</p><p>SENASP/MJ, a ISO/IEC 27037/2013 e ISO/IEC 27000. Bem como, as</p><p>certificações mais populares na área.</p><p>4.1 Normas técnicas</p><p>Quando se trata de qualquer tipo de regramento ou ordenamento deve-se</p><p>ter em mente a balança da Justiça, ou seja, sempre deve haver uma forma de</p><p>pesar qual regramento deve ser aplicado no caso concreto. Na Computação</p><p>Forense não é diferente, pois o profissional se depara com uma imensidão de</p><p>normas oficiais, normas técnicas e procedimentos operacionais, sejam eles</p><p>nacionais ou internacionais, sendo que, em um dado momento, deve escolher</p><p>qual tem melhor aplicação.</p><p>No âmbito público, as normas só se tornam impositivas quando</p><p>regulamentadas, porém, o perito sempre tem a autonomia técnico-científica. O</p><p>exemplo mais claro disso é a não obrigatoriedade de o perito seguir</p><p>rigorosamente normas técnicas, a exemplo da ISO/IEC 27037/2013, senão por</p><p>regulamento do órgão de perícia oficial.</p><p>Importante ressaltar que Regulamento Técnico é um documento</p><p>normativo, de uso obrigatório, que dispõe sobre processos, métodos periciais e</p><p>requisitos técnicos, incluindo as disposições administrativas cabíveis. Poderá</p><p>ainda, normatizar o uso de terminologia, estrutura de laudos, etc. Sendo assim,</p><p>os Regulamentos Técnicos são emitidos por autoridades competentes a nível</p><p>federal, estadual e municipal, bem como podem ser emitidos em âmbito privado.</p><p>Tendo no âmbito público especial função de regulamentar a utilização de normas</p><p>e procedimentos.</p><p>Entre os documentos que tratam das perícias de informática, alguns</p><p>como Regulamentos Técnicos, Procedimento Operacional Padrão e Normas</p><p>Técnicas merecem desataque, pois são documentos oriundos do consenso e</p><p>aprovados por uma instituição reconhecida, que fornece regras, diretrizes ou</p><p>15</p><p>características para produtos ou processos e métodos de produção conexos,</p><p>cujo cumprimento e adoção são voluntários .</p><p>O consenso deriva de grupos de trabalho que têm a participação de</p><p>especialistas e são abertos a comunidade interessada, sintetizando os</p><p>conhecimentos de ciência, tecnologia e prática, em uma norma. Diferente do</p><p>Regulamento Técnico, a norma tem aplicação voluntária, ou seja, a Norma</p><p>Técnica só é obrigatória quando referendada por um ato jurídico.</p><p>No âmbito da Computação Forense, as normas podem ser divididas de</p><p>acordo com sua abrangência a nível de associações: nacionais, regionais e</p><p>internacionais. Essas normas são editadas e emitidas por associações, como a</p><p>Associação Brasileira de Criminalística, a Sociedade Brasileira de Ciências</p><p>Forenses, a International Society of Forensic Computer Examiners, etc.</p><p>No nível nacional</p><p>as normas são editadas e emitidas pelo organismo</p><p>nacional de normalização, que deve ter legitimidade para editar e publicar</p><p>normas e, ainda, reconhecimento e consenso das instituições e da comunidade</p><p>cientifica. No Brasil, podemos citar a Associação Brasileira de Normas Técnicas</p><p>(ABNT), que foi responsável pela tradução da norma ISO/IEC 27037/2012.</p><p>No nível regional, as normas são editadas e emitidas por entidades como</p><p>a AMN- -Mercosul, COPANT e CEN, que incluem um conjunto de países</p><p>próximos ou uma região.</p><p>Finalmente, no nível internacional, as normas são editadas e emitidas por</p><p>organismos internacionais como a ITU, ISO e IEC, que têm abrangência mundial.</p><p>4.2 Procedimento Operacional Padrão (POP) ou Norma</p><p>Operacional Padrão (NOP)</p><p>O principal objetivo do POP é padronizar e minimizar os riscos na</p><p>execução de tarefas relativas a Computação Forense. Ou seja, um POP bem</p><p>feito e atualizado é instrumento fundamental da qualidade e eficiência da perícia.</p><p>16</p><p>Em Computação Forense, o POP aumenta a previsibilidade dos</p><p>resultados esperados e minimiza os riscos, inclusive aqueles decorrentes de</p><p>imperícia e negligência.</p><p>Também permite selecionar e fazer uso adequado das ferramentas</p><p>forenses e demais recursos tecnológicos.</p><p>No Brasil, o ato normativo que tem maior amplitude é a obra denominada</p><p>“Procedimento Operacional Padrão: Perícia Criminal”, publicada pelo Ministério</p><p>da Justiça, através da Secretaria Nacional de Segurança Pública. Esse</p><p>documento traz uma padronização mínima para as perícias criminais em todo</p><p>território nacional e lança luz sobre a área de computação em quatro POPs:</p><p>• Exame Pericial de Mídia de Armazenamento Computacional: tem a</p><p>finalidade de orientar o profissional de perícia da área de computação a realizar</p><p>exames que envolvam dados contidos em mídias de armazenamento</p><p>computacional, como os discos rígidos, pendrives e cartões de memória;</p><p>• Exame Pericial de Equipamento Computacional Portátil e de Telefonia</p><p>Móvel: serve como um guia para o perito realizar exames que envolvam</p><p>computadores portáteis e telefones móveis como, por exemplo, celulares e</p><p>tablets;</p><p>• Exame Pericial de Local de Informática: apresenta orientações ao</p><p>profissional que realizará exames que envolvam locais de informática ou que</p><p>demandem a análise do vestígio cibernético in loco;</p><p>• Exame Pericial de Local de Internet: tem a finalidade de orientar o perito</p><p>de informática a investigar crimes ocorrido ou auxiliados pela internet.</p><p>5. OS CRIMES CIBERNÉTICOS E SEUS VESTÍGIOS</p><p>Os crimes compreendendo equipamentos computacionais vêm</p><p>aumentado, impulsionados pelas facilidades disponibilizadas pela tecnologia,</p><p>pela velocidade da comunicação e pela própria especialização dos criminosos.</p><p>17</p><p>Por envolver questões técnicas específicas, a justiça necessita de um</p><p>profissional capaz de auxiliar a apuração dos crimes que envolvem o uso de</p><p>computadores.</p><p>Para a Symantec, a criminalidade cibernética pode assumir muitas formas</p><p>e ocorrer em qualquer hora ou lugar. Da mesma forma, os criminosos</p><p>cibernéticos usam métodos diferentes, segundo suas habilidades e seus</p><p>objetivos.</p><p>A definição de crime cibernético, ainda de acordo com Symantec, é</p><p>qualquer delito em que tenha sido utilizado um computador, uma rede ou um</p><p>dispositivo de hardware. O computador ou dispositivo pode ser o agente, o</p><p>facilitador ou o alvo do crime. O delito pode ocorrer apenas no computador ou</p><p>fora dele.</p><p>Para compreender melhor a ampla variedade de crimes cibernéticos, é</p><p>necessário dividi-los em duas categorias gerais. Na primeira, o computador é</p><p>apenas uma ferramenta de auxílio aos criminosos, que praticam crimes</p><p>conhecidos, como sonegação fiscal, compra de votos em eleições, tráfico de</p><p>entorpecentes e falsificação de documentos. Ou seja, se o dispositivo</p><p>computacional não existisse, tal crime poderia continuar a ser praticado,</p><p>utilizando outros meios.</p><p>Já no segundo tipo, o computador é a peça central para o</p><p>empreendimento do crime. Fraudes bancárias pela internet, compartilhamento</p><p>de pornografia infantil por redes sociais e pichação de um site governamental</p><p>são exemplos de crimes que não existiriam sem o uso de computadores.</p><p>No Brasil, foi a Lei 12.737/2012, sancionada em 2 de dezembro de 2012,</p><p>que promoveu alterações no Código Penal Brasileiro, acrescentando-lhe os</p><p>artigos 154-A e 154-B, a fim de tipificar os chamados delitos ou crimes</p><p>informáticos praticados em âmbito nacional.</p><p>18</p><p>Como o crime cibernético pode uma gama muito ampla de transgressões,</p><p>a compreensão de suas várias vertentes é essencial para identificar a ação mais</p><p>adequada para ser adotada em um determinado caso.</p><p>Assim, é necessário recorrer a profissionais especializados, com amplo</p><p>conhecimento em computação, segurança da informação, direito digital e outras</p><p>áreas afins. Esse profissional deve ser capaz de identificar a autoria, a</p><p>materialidade e a dinâmica de um crime praticado com auxílio da tecnologia.</p><p>Em um local de crime convencional, um vestígio pode significar um</p><p>instrumento deixado no ambiente ou um fio de cabelo. Na informática, no</p><p>entanto, os vestígios são digitais – zeros e uns, que poderão representar os mais</p><p>diversos tipos de informação, como conversas online, histórico de navegação e</p><p>programas maliciosos.</p><p>5.1 Aspectos e temas abordados no Tratado de Computação</p><p>Forense Identificação, Isolamento, Coleta e Preservação do</p><p>Vestígio Cibernético</p><p>Um dos maiores desafios na Computação Forense é delimitar a</p><p>abrangência de um determinado cenário criminoso, no qual a principal evidência</p><p>é a informação digital. A correta identificação, isolamento, coleta e preservação</p><p>dos vestígios dessa natureza são fatores imprescindíveis para se chegar à</p><p>autoria e à materialidade do crime.</p><p>19</p><p>Uma vez que esses vestígios não são confinados em perímetro bem</p><p>definido, mas espalhados em uma série de ambientes que precisam ser</p><p>devidamente tratados, o leitor precisa enriquecer o seu cabedal de conhecimento</p><p>com relação aos aspectos básicos do trato do vestígio cibernético, desde a busca</p><p>e à manutenção da cadeia de custódia.</p><p>6. EXAMES</p><p>Essa é a fundamental seção do laudo pericial, onde o perito irá especificar</p><p>exatamente todos os procedimentos realizados na análise. Quais as técnicas</p><p>utilizadas para a recuperação dos arquivos, quais ferramentas foram</p><p>necessárias, qual sistema operacional foi aplicado e qual sistema existia no disco</p><p>analisado, quais foram os meios usados na preservação do material questionado</p><p>e outros diversos procedimentos que foram efetivamente utilizados.</p><p>Durante todo o laudo e aconselhável ao perito evitar ao máximo o uso de</p><p>palavras técnicas, de modo que pessoas com pouco entendimento sobre os</p><p>meios e procedimentos forense utilizados na análise entendam claramente o</p><p>resultado do laudo. Porém essa seção e a única que permite ao perito a</p><p>utilização dos termos mais técnicos, pois é aqui que explica e garante toda a</p><p>integridade dos procedimentos realizados. E onde também, o perito busca</p><p>respostas para os quesitos ou dúvidas levantadas no início das investigações</p><p>pela autoridade solicitante (ELEUTERIO, MACHADO, 2011).</p><p>6.1 Exames em Mídias de Armazenamento</p><p>Análise de discos rígidos, pendrives e mídias ópticas estão entre os tipos</p><p>exame pericial mais comuns realizados nos Institutos Periciais e Polícias</p><p>Científicas. Portanto, saber como lidar com os vestígios armazenados nesses</p><p>dispositivos é primordial para o trabalho do perito de informática.</p><p>6.2 Exames em Locais de Internet</p><p>20</p><p>Entender como os serviços de internet se comportam e a natureza dos</p><p>protocolos envolvidos no processo de comunicação e distribuição de</p><p>informações é de fundamental importância para proceder os exames em</p><p>ambientes dessa natureza.</p><p>6.3 Exames em Redes de Computadores e Dados de</p><p>Interceptação Telemática</p><p>Com o aumento da conectividade do mundo moderno, as redes de</p><p>computadores se tornaram fundamentais para praticamente qualquer tipo de</p><p>comunicação, ocasionando em milhões de bytes de dados sigilosos transmitidos</p><p>diariamente por esse meio. Como o crime organizado também utiliza a internet</p><p>para realização dos mais variados delitos, o Profissional da Computação</p><p>Forense tem como desafio coletar e examinar essa grande massa de dados,</p><p>extraindo evidências relevantes para a investigação. Outra questão importante é</p><p>a volatilidade desse tipo de informação.</p><p>6.4 Exames em Imagens Digitais</p><p>O avanço programas de edição de imagens e a popularidade dos</p><p>dispositivos móveis equipados com câmeras digitais abriu um leque de</p><p>possibilidades para a perícia em imagens digitais. O conhecimento dessa área</p><p>pode, inclusive, ser aplicado em outros ramos da perícia, como a</p><p>documentoscopia. As técnicas, quando devidamente aplicadas, permitem a</p><p>extração de informações úteis para as investigações.</p><p>6.5 Exames em Constatação de Pornografia Infanto-juvenil</p><p>A Constatação de Pornografia Infanto-juvenil representa um grande</p><p>desafio à perícia forense. Aliado ao aumento dos casos investigados, está a</p><p>evolução de técnicas que e ferramentas que fortalecem o anonimato dos</p><p>criminosos envolvidos. Além de tratar das questões legais, separando o que é</p><p>transtorno e o que é crime.</p><p>21</p><p>6.6 Exames em Computação Embarcada</p><p>Os sistemas embarcados são cada vez mais comuns no cotidiano das</p><p>pessoas e empresas. Com o advento da “Internet das Coisas” e dos dispositivos</p><p>portáteis, a tendência é que os sistemas embarcados se tornem onipresentes.</p><p>Por esse motivo, os dispositivos embarcados são fontes ricas em informações</p><p>que podem auxiliar na elucidação de crimes. Devido às características desses</p><p>dispositivos, esse tipo de exame pode permear as mais diversas áreas das</p><p>Ciências Forenses, como perícias em veículos, aeronaves e equipamentos</p><p>médicos.</p><p>6.7 Exames em Equipamentos Computacionais Portáteis e de</p><p>Telefonia Móvel</p><p>Dispositivos móveis estão presentes na vida de quase todas as pessoas,</p><p>principalmente, na forma de telefones celulares e tablets. Assim, o exame pericial</p><p>desses equipamentos pode fornecer evidências e informações preciosas para</p><p>uma investigação. No entanto, a grande diversidade de marcas, modelos e</p><p>sistemas operacionais, bem como o ciclo de vida muito rápido desses produtos,</p><p>oferece um desafio considerável para os peritos de Computação Forense.</p><p>Diferentemente dos métodos clássicos de exame de computadores, não existe</p><p>um método à prova de falhas para a realização de perícias em dispositivos</p><p>móveis.</p><p>6.8 Exames em Computação na Nuvem</p><p>A mudança de paradigma da computação tradicional para a Computação</p><p>na Nuvem, fez com que itens logicamente relacionados possam estar</p><p>geograficamente separados. Isso tornou possível o acesso a praticamente todo</p><p>o tipo de informação a partir de qualquer dispositivo computacional.</p><p>Entretanto, poucos são os usuários que se preocupam com a segurança</p><p>dessas informações, preferindo confiar cegamente nas empresas que fornecem</p><p>22</p><p>serviços dessa natureza. Por essa razão, a segurança de todos esses dados</p><p>compartilhados vem sendo estudada arduamente por pesquisadores. Nesse</p><p>contexto, o perito Forense Computacional tem a responsabilidade de enfrentar</p><p>um novo desafio.</p><p>6.9 Exames em Detecção de Intrusão</p><p>A exploração de vulnerabilidades para invasão de sistemas, redes,</p><p>dispositivos móveis e até mesmo ambientes em nuvem é uma prática crescente</p><p>e preocupante em um mundo altamente conectado. Se, por um lado, essa</p><p>conectividade cria um ambiente de compartilhamento de informações em uma</p><p>velocidade que não para de crescer, ao mesmo tempo traz novas preocupações</p><p>e desafios.</p><p>6.10 Exames em Malwares</p><p>Devido ao aumento da quantidade de dispositivos computacionais</p><p>conectados, a distribuição de programas maliciosos associados à prática</p><p>criminosa cresce diariamente. Consequentemente, o exame desse tipo de</p><p>aplicativo é cada vez mais comum. Adicionalmente, a alta diversidade de</p><p>métodos distintos de atuação faz com que os exames periciais desse tipo criem</p><p>novos desafios aos especialistas em Computação Forense.</p><p>7. PROCEDIMENTOS FORENSES</p><p>A realização de uma perícia forense é justificada pela busca de uma</p><p>melhor compreensão de um determinado evento, encontrando e analisando</p><p>outros fatos e eventos relacionados ao objeto de análise. Para alcançar esse</p><p>objetivo, Kent et al. (2006) sugere que a perícia siga um processo forense</p><p>composto por quatro etapas: coleta, extração, análise e apresentação.</p><p>23</p><p>O processo sugerido pode ser utilizado para perícias forenses em</p><p>diversas áreas científicas, inclusive em computação. A perícia forense</p><p>computacional não segue procedimentos rígidos bem definidos (KENT et al.,</p><p>2006).</p><p>Assim, o processo pode ser seguido e ajustado para a realização de uma</p><p>perícia adequada às características dos dispositivos de armazenamento</p><p>computacional a serem apreendidos e periciados (JUNIOR; MOREIRA, 2014). A</p><p>figura ilustra as etapas do processo forense (KENT et al., 2006) em um contexto</p><p>computacional.</p><p>a) Coleta: O objetivo da primeira etapa é identificar, isolar, etiquetar, registrar e</p><p>coletar os dados e evidências físicas relacionadas com o incidente que está</p><p>sendo investigado, enquanto estabelece e mantem a integridade das provas.</p><p>b) Exame: Identificar e extrair as informações relevantes a partir dos dados</p><p>coletados utilizando ferramentas e técnicas forenses adequadas.</p><p>c) Análise: Analisar os resultados do exame para gerar respostas úteis para as</p><p>questões apresentadas nas fases anteriores.</p><p>d) Relatório (Resultados)(Apresentação): Inclui encontrar relevância para o</p><p>caso. Nessa etapa também é redigido o laudo pericial, o qual deve ter conclusão</p><p>imparcial, clara e concisa; deve ter exposto os métodos utilizados na perícia, e</p><p>deve ser de fácil interpretação por uma pessoa comum, de conhecimento médio.</p><p>24</p><p>8. TÉCNICAS ANTI FORENSE</p><p>Muitas adversidades podem ser encontradas durante as etapas de um</p><p>processo investigatório. Adversidades estas, comumente conhecidos pelo termo</p><p>Anti Forense computacional.</p><p>A anti forense pode ser aplicada através de métodos de ocultação,</p><p>codificação ou exclusão de evidências, tendo como objetivo interferir nos</p><p>resultados da investigação forense computacional.</p><p>A utilização de criptografia, esteganografia, sanitização de discos e</p><p>utilização de propriedades não utilizadas comumente por diferentes sistemas de</p><p>arquivos são algumas formas de aplicação desse tipo de prática.</p><p>Além das complicações diretas, existem também as indiretas, que surgem</p><p>com o passar do tempo, como os avanços tecnológicos. Devido ao surgimento</p><p>diário de novidades tecnológicas computacionais e eletrônicas, as expectativas</p><p>são de que a área passe por diversos desafios, visto que técnicas de coleta e</p><p>análise de dados devem ser sempre inovadas para que possam acompanhar a</p><p>evolução tecnológica. Como um exemplo desse tipo de desafio, temos o</p><p>aumento da quantidade de arquivo.</p><p>Além dos avanços tecnológicos, como se não bastassem, existem ainda</p><p>os entraves impostos pela falta de tipificação da legislação brasileira. A</p><p>inexistência de leis eficientes que tipifiquem os crimes digitais faz com que os</p><p>crimes virtuais permaneçam sem a devida punição, além do fato de que não há</p><p>uma reparação concisa dos danos às vítimas.</p><p>A seguir, serão explicados os tópicos citados neste capítulo.</p><p>8.1. Criptografia</p><p>25</p><p>A Criptografia é uma área da criptologia que tem por objetivo esconder o</p><p>significado original de algo.</p><p>Para que um texto seja criptografado, são necessários os seguintes</p><p>elementos:</p><p>1. Mensagem: mensagem original que se deseja transmitir;</p><p>2. Cifra: chave utilizada na conversão da mensagem original em</p><p>código;</p><p>3. Código: resultado da conversão da mensagem original utilizando</p><p>a cifra.</p><p>Muito usada quando se deseja garantir a privacidade dos dados, a</p><p>criptografia atualmente utiliza algoritmos matemáticos complexos para</p><p>transformar a mensagem em código.</p><p>Esta difere do cálculo de código hash por possuir dois sentidos, ou seja,</p><p>pode-se obter o conteúdo original da mensagem a partir do código final gerado.</p><p>Existe uma área da criptologia chamada criptoanálise que trata do estudo</p><p>de técnicas e metodologias para se obter a mensagem original a partir do código</p><p>criptográfico gerado mesmo sem ter a cifra (chave) usada na criptografia.</p><p>Rainbow Tables são muito utilizadas por peritos para lidar com a</p><p>segurança por criptografia. Esta consiste em comparar diversos códigos pré</p><p>compilados armazenados em tabelas com as combinações de caracteres do</p><p>código criptográfico, levando então a encontrar a mensagem original.</p><p>No entanto, é muito importante que o perito realize buscas no computador</p><p>questionado por possíveis softwares que apliquem criptografia em arquivos ou</p><p>textos, pois, assim pode ser obtido o algoritmo utilizado na criptografia,</p><p>facilitando assim, a tentativa em se descriptografar o texto ou arquivo.</p><p>26</p><p>8.2. Esteganografia</p><p>A esteganografia é o estudo de técnicas que possam ser utilizadas para</p><p>esconder uma mensagem ou o seu verdadeiro conteúdo. Esta difere da</p><p>criptografia, pois, a criptografia torna ilegível o conteúdo da mensagem enquanto</p><p>a esteganografia esconde este verdadeiro conteúdo em meio a outro. Estas duas</p><p>técnicas quando combinadas podem levar o perito despreparado a concluir</p><p>erroneamente o seu laudo, afetando assim o curso da investigação.</p><p>A vantagem da esteganografia perante a criptografia é que o conteúdo</p><p>real da mensagem pode estar dentro de outro tipo de arquivo, no entanto o perito</p><p>que está analisando o artefato pode não dedicar esforço e tempo na busca pela</p><p>real mensagem caso não perceba algo de diferente no arquivo.</p><p>Existem atualmente diversas técnicas utilizadas na esteganografia,</p><p>algumas mais complexas que as outras. Um arquivo com uma mensagem</p><p>esteganografada pode ser descoberto utilizando algumas das seguintes</p><p>técnicas:</p><p>- Busca por palavras chaves: Caso a mensagem esteja gravada</p><p>sequencialmente dentro do arquivo, poderá ser obtido resultado através dessa</p><p>técnica;</p><p>- Valor hash do arquivo: Caso sejam comparados os valores hash atual</p><p>do arquivo e o original do fabricante, pode ser identificado que existem diferenças</p><p>entre o conteúdo dos mesmos;</p><p>- Tamanho de arquivo: Caso um arquivo esteja muito maior do que</p><p>comumente seria, por exemplo, se a imagem do plano de fundo de tela do</p><p>Sistema Operacional estiver com 100MB, existe um forte indício de que existem</p><p>mais informações no conteúdo deste arquivo que não são originais da imagem;</p><p>- Arquivos instalados: Analisando os arquivos instalados no computador</p><p>questionado, pode ser encontrado o software utilizado na esteganografia. Dessa</p><p>27</p><p>forma, o perito pode obter informações do tipo de técnica utilizada para então</p><p>focar esforços na tentativa de descobrir a mensagem original.</p><p>A esteganografia é também comumente utilizada por empresas que</p><p>desejam preservar o seu direito autoral ou rastrear a distribuição de arquivos.</p><p>8.3. Particularidades de sistemas de arquivos</p><p>Os sistemas de arquivos são conjuntos de estruturas lógicas e rotineiras</p><p>que permitem ao Sistema Operacional controlar o acesso aos discos rígidos.</p><p>Os Sistemas Operacionais por sua vez, utilizam e compreendem certos</p><p>tipos de sistemas de arquivos. Esta tarefa tornou-se ainda mais complicada com</p><p>a evolução tecnológica à medida em que é expandida a capacidade de discos,</p><p>tecnologias por eles utilizadas e aumento no número de arquivos e acessos à</p><p>estes.</p><p>Existem diversos sistemas de arquivos utilizados, alguns mais simples</p><p>como o FAT16 e o FAT32, e outros mais complexos, com recursos mais</p><p>sofisticados como o NTFS, EXT3 e ReiserFS.</p><p>Além das propriedades dos sistemas de arquivos comumente utilizadas</p><p>pelos Sistemas Operacionais, existem ainda algumas particularidades que</p><p>diferenciam os sistemas de arquivos uns dos outros, e que muitas vezes não são</p><p>interpretadas pelo Sistema Operacional, como é o caso da propriedade ADS</p><p>(Alternate Data Streams) do NTFS.</p><p>8.3.1. Alternate Data Streams (ADS)</p><p>A propriedade do sistema de arquivos NTFS chamada Alternate Data</p><p>Streams (ADS) permite que mais de um fluxo de dados (conteúdo do arquivo)</p><p>seja adicionado a um nome de arquivo.</p><p>28</p><p>O padrão utilizado para acessar os diversos fluxos de dados é:</p><p><nomedoarquivo>:. Por padrão, o ADS não é listado nas ferramentas da</p><p>Microsoft Windows Explorer e como resultado dos comandos “dir” ou “ls”.</p><p>Quando se realiza a cópia de um arquivo com ADS para outro sistema de</p><p>arquivos que não suporta esta propriedade, como o FAT32, por exemplo, ou</p><p>quando é feito o envio do arquivo por e-mail deste arquivo, o conteúdo alternativo</p><p>de dados (ADS) é perdido, preservando-se apenas o conteúdo principal.</p><p>Ferramentas como o Streams da Microsoft e o LADS da Heysoft são</p><p>ferramentas de plataforma Windows para tratar ADS.</p><p>8.4. Sanitização de discos</p><p>A sanitização de discos consiste em apagar toda e qualquer informação</p><p>armazenada em um disco.</p><p>Quando um disco é formatado ou um arquivo é excluído, o Sistema</p><p>Operacional apenas informa ao sistema de arquivos que o espaço em disco</p><p>reservado para armazenar o conteúdo daquela partição do disco está liberado e</p><p>pode ser utilizado, no entanto, os dados permanecem gravados em disco e</p><p>podem ser recuperados utilizando técnicas específicas para recuperação de</p><p>dados, como o Data Carving, conforme foi apresentado em capítulos anteriores.</p><p>Estes dados apagados persistem no disco até que o Sistema Operacional os</p><p>sobrescreva, no entanto, devido a um projeto de alto desempenho do sistema de</p><p>arquivos que procura evitar a realização de movimentos do cabeçote do disco,</p><p>os dados tendem a ser armazenados lado a lado no disco, minimizando a</p><p>fragmentação de arquivos no disco. Simplificando, quanto mais recente ocorreu</p><p>a exclusão do arquivo, maior é a probabilidade de recuperá-lo.</p><p>8.4.1. Wipe</p><p>O processo de wipe consiste em apagar, bit a bit, toda a área reservada</p><p>para alocação de um arquivo. Os dados contidos nos setores apagados são</p><p>29</p><p>normalmente substituídos por zeros ou valores aleatórios. Desta maneira, não</p><p>são recuperados por engano quaisquer dados adicionais no disco.</p><p>O Departamento de Defesa dos Estados Unidos criou uma metodologia</p><p>chamada DoD 5220.22-M para sanitização de discos. Segundo o National</p><p>Industrial Security Program (1994), essa metodologia consiste em realizar três</p><p>tipos diferentes de escritas em cada byte endereçável do disco:</p><p>1. Escrever “zeros” (0x00) e verificar o que foi escrito.</p><p>2. Escrever “uns” (0xff) e verificar o que foi escrito.</p><p>3. Escrever valores aleatórios e verificar o que foi escrito.</p><p>Existem outras técnicas de wipe que sobrescrevem toda a área designada</p><p>com caracteres específicos até sete vezes. Segundo o National Institute of</p><p>Standards and Technology (2006), “a maioria das mídias atuais podem ser</p><p>efetivamente sanitizadas com apenas uma sobrescrita”.</p><p>No entanto, assim como a técnica wipe pode ser utilizada na limpeza de</p><p>discos, também pode ser utilizada como uma técnica anti forense para apagar</p><p>vestígios de um crime.</p><p>30</p><p>9. CONCLUSÃO</p><p>Computação forense é a fonte para encontrar a evidência da cena do</p><p>crime através das evidências digitais. Segundo a pesquisa de diversos autores,</p><p>a computação forense é a busca da verdade nos vestígios computacionais. A</p><p>equipe forense também tem muitas ferramentas diferentes disponíveis para</p><p>trabalhar em vários tipos de crimes.</p><p>A equipe forense computacional trabalha em processo básico que inclui a</p><p>identificação, coleta, preservação, análise</p><p>e relatório. Este processo funciona de</p><p>forma muito eficiente para investigação.</p><p>Pode-se concluir que a computação forense deve estar preparada para</p><p>assumir a responsabilidade de identificar e preservar possíveis vestígios digitais</p><p>deixados durante a realização de qualquer crime envolvendo tecnologia</p><p>computacional e eletrônica, relatando a materialidade, a dinâmica e a autoria dos</p><p>delitos, além de sempre considerar a legislação vigente ao manipular, preservar</p><p>e analisar os artefatos.</p><p>31</p><p>REFERENCIAS</p><p>ABDULLAH, M. Advances in Computer Forensics. IJCSNS. V. 8, N. 2,</p><p>Fevereiro, 2008.</p><p>BATTULA, B. et al. Techniques in Computer Forensics: IJS. V. 3, 2000.</p><p>Código de Processo Penal. decreto lei nº 3.689, de 03 de outubro de 1941.</p><p>Disponível em: http://www.planalto.gov.br/CCIVIL/Decreto-Lei/Del3689.htm.</p><p>ELEUTÉRIO, PMS. ; MACHADO, MP. - Desvendando a Computação</p><p>Forense. Novatec Editora, ISBN: 978-85-7522-260-7. São Paulo/SP. Jan/2011.</p><p>ERBACHER, R. F.; CHRISTIANSEN, K.; SUNDBERG, A. Visual Network</p><p>Forensic Techniques and Processes. In: ANNUAL SYMPOSIUM ON</p><p>INFORMATION ASSURANCE, 1 ., 2006, Albany. Proceedings of the 1 st. Annual</p><p>Symposium on Information Assurance. Albany: University at Albany, 2006. p. 72</p><p>- 80.</p><p>FARMER, Dan; VENEMA, Wietse. Pericia forense computacional,</p><p>teoria e pratica aplicada; Tradução Edson Furmankiewicz, Carlos Schafranski,</p><p>Docware Traduções Técnicas; Revisão Técnica Pedro Luís Próspero</p><p>Sanchez. São Paulo: Person Prentice Hall, 2007.</p><p>GALVÃO, R. K. M. Introdução à análise forense em redes de</p><p>computadores: São Paulo: Novatec, 2013.</p><p>JUNIOR, C. C. N. M.; MOREIRA, J. Roteiro Investigativo em Perícia</p><p>Forense Computacional de Redes: Estudo de Caso. T.I.S. - Tecnologias,</p><p>Infraestrutura e Software, São Carlos, v. 3, n. 1, p. 11-23, Jan./Abr., 2014.</p><p>32</p><p>KENT, K. et al. Guide to integrating forensic techniques into incident</p><p>response: recomendations of the National Institute of Standards and Technology.</p><p>Special publication. Gaithersburg: NIST, 2006.</p><p>LILLARD,T. et al. Digital forensics for network, internet and cloud</p><p>computing: Burlington: Syngress, 2010.</p><p>MACHADO, MP. ; ELEUTÉRIO, PMS. - Computação Forense e a Perícia</p><p>Criminal - A Informática a Serviço da Justiça. Revista SBC Horizontes, v. 4, n. 1,</p><p>p. 19-24. Abr/2011.</p><p>PINHEIRO, D. O. Um estudo experimental das ferramentas de</p><p>engenharia reversa aplicadas às vulnerabilidades do software. 42 f.Monografia,</p><p>UFCE, Quixadá,2013</p><p>YASINCAC, A.; MANZANO, Y. Policies to enhance computer and</p><p>Network Forensics. IEEE. 2001.</p><p>https://cgi.br/noticia/cert-br-divulga-balanco-das-notificacoes-de-</p><p>incidentes-de-seguranca-recebidas-em-2013/400</p>