Cibersegurança e segurança da informação

Cadeia de Custódia: Documentação de Evidências na Investigação Cibernética

6 min de leituraPublicado: 5 de agosto de 2026

Ilustração visual profissional sobre Cadeia de Custódia em cibersegurança na área de Resposta a Incidentes e DFIR

Resposta rápida

A Cadeia de Custódia em cibersegurança é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documentamos a fonte, o tempo e as ferramentas, salvamos o Hash, construímos uma linha do tempo e separamos fatos, interpretações e decisões.

A Resposta a Incidentes (Incident Response) e o DFIR exigem um equilíbrio entre velocidade, preservação de evidências, continuidade de negócios e documentação. Uma ação correta é uma ação que pode ser explicada, reproduzida e auditada após o incidente. Este artigo foca na Cadeia de Custódia em cibersegurança e é destinado a investigadores de incidentes e analistas. O objetivo é fornecer um método de trabalho que possa ser aplicado na prática, em entrevistas profissionais e no ambiente de trabalho, sem se contentar com uma definição de dicionário.

O desafio principal é que os dados são quase sempre parciais. Memória volátil, estado da rede, processos em execução podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construiremos a investigação em torno de uma questão de investigação, evidências necessárias e um critério claro para a conclusão.

O cenário prático no artigo é: preencher um formulário de exemplo para um ficheiro e uma Drive. Todos os exemplos são dados de laboratório ou descrição de processos. Quando se trata de Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com autorização explícita, Scope definido e capacidade de parar a investigação.

Objetivo da Cadeia de Custódia

A documentação da Cadeia de Custódia em cibersegurança deve permitir que uma pessoa que não participou no trabalho compreenda o que aconteceu e reproduza a conclusão. Separamos factos, interpretações, suposições e decisões, e associamos cada afirmação a uma evidência, consulta ou captura de ecrã.

Uma estrutura útil inclui Sumário, Scope, Timeline, Evidências, Impacto, Ações, Limitações e Próximos passos. Num relatório de PT, adicionamos Remediação e Reteste; numa investigação, adicionamos Contenção, Recuperação e Lições aprendidas.

Campos Obrigatórios

Os campos importantes não são necessariamente aqueles apresentados no topo do ecrã. Na Cadeia de Custódia em cibersegurança, devem ser identificados identificadores estáveis, tempo, origem, destino, resultado e contexto. Exemplos úteis são: memória volátil, estado da rede, processos em execução, imagem de disco, hash, coletor/tempo. O objetivo é permitir a Correlação entre registos e não apenas a leitura de um Evento individual.

É recomendável criar um pequeno dicionário de dados: nome do campo, significado, formato, origem, valores Null esperados e se é fiável para ligação. Assim, é possível distinguir entre um campo de exibição e um identificador investigativo, e identificar quando um Conector ou versão mudou o Schema.

Coleta, Embalagem e Transferência

Nesta fase, definimos quais evidências são necessárias para responder à questão da investigação. Para a Cadeia de Custódia em cibersegurança, os pontos básicos são a origem da evidência, o tempo de coleta e fuso horário, o Hash e a Cadeia de Custódia, a ferramenta e a versão. Para cada origem, documenta-se o proprietário, o período de retenção, o fuso horário, o atraso na receção e os campos que podem estar ausentes.

A qualidade da coleta não é medida pelo facto de o log 'chegar'. É necessário verificar a Completeness, Latency, Parsing, Duplicate events e a sincronização do tempo. Um teste Canary ou um evento de laboratório conhecido permite verificar se a ação apareceu na origem, passou pelo Pipeline e pode ser pesquisada nos campos corretos.

Cópias e Hash

O tema 'Cópias e Hash' é uma parte central do trabalho sobre a Cadeia de Custódia em cibersegurança. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se deseja tomar e qual evidência é suficiente para justificá-la. Essas perguntas impedem o uso automático de ferramentas sem compreender o objetivo.

Na prática, registe a memória volátil, o estado da rede, os processos em execução, a imagem do disco, o hash, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Erros que enfraquecem a credibilidade

O tema 'Erros que enfraquecem a credibilidade' é uma parte central do trabalho sobre a Cadeia de Custódia em cibersegurança. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se deseja tomar e qual evidência é suficiente para justificá-la. Essas perguntas impedem o uso automático de ferramentas sem compreender o objetivo.

Pontos de Verificação Exclusivos

Neste tópico, é aconselhável construir antecipadamente um mapa de evidências focado. Os principais pontos de verificação são: memória volátil, estado da rede, processos em execução, imagem do disco, hash, coletor/tempo. A lista não é um Checklist automático; cada item é selecionado porque pode ligar uma entidade, ação e tempo ou explicar um comportamento legítimo.

memória volátil: Defina o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.
estado da rede: Defina o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.
processos em execução: Defina o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.
imagem do disco: Defina o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.
hash: Defina o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.
coletor/tempo: Defina o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.

Quando um dos pontos de verificação não estiver disponível, documente a lacuna e escolha uma alternativa. Por exemplo, se o Process identifier não for estável, pode usar o tempo, Host, Utilizador e Parent; se o Payload estiver encriptado, use Metadata, volume, frequência e contexto TLS/DNS.

Processo de Trabalho Recomendado

Defina o Scope e uma pergunta de trabalho sobre a Cadeia de Custódia em cibersegurança.
Registe as fontes de dados e as evidências necessárias: memória volátil, estado da rede, processos em execução, imagem do disco.
Crie uma Baseline curta de comportamento normal ou resultado esperado.
Realize o teste mínimo em ambiente de laboratório e guarde o tempo, a entrada e a saída.
Construa uma Timeline ou uma tabela comparativa e separe o facto da interpretação.
Faça um Pivot para uma fonte adicional para confirmar ou refutar a explicação inicial.
Resuma a decisão, limitações, ação recomendada e critério de Reteste.

Cenário Prático

O cenário escolhido é o preenchimento de um formulário de exemplo para um ficheiro e uma Drive. O objetivo do exercício não é provar a capacidade de ataque, mas sim praticar a coleta, comparação e documentação de forma segura. Antes de iniciar o trabalho, definem-se dados simulados, janela de tempo e resultado esperado.

Ao final do exercício, deve-se apresentar um produto que outro analista ou auditor possa revisar: uma captura de ecrã ou Export da evidência, uma breve Timeline, uma suposição inicial, uma evidência corroborante, uma limitação e uma recomendação. Quando não houver evidência suficiente, a conclusão correta é que o cenário não foi provado.

Fase	O que é executado	Produto
Preparação	Defina Scope, tempo e objetivo. Registe quais campos ou evidências de memória volátil, estado da rede, processos em execução devem aparecer.	Plano de teste curto
Criação de dados	Execute uma ação segura e simulada relacionada à Cadeia de Custódia em cibersegurança, sem informações reais ou impacto no sistema de produção.	Evento/Pedido/Fluxo controlado
Coleta	Coleta a evidência bruta e o contexto de uma fonte adicional. Verifique o Fuso horário, identificadores e integridade.	Duas evidências ligadas
Análise	Escreva o que cada evidência prova, o que não prova e qual é a explicação legítima possível.	Conclusão provisória
Conclusão	Escolha fechamento, escalada, Descoberta ou Ajuste; adicione recomendação e Reteste.	Produto documentado

Lista de Verificação Prática

Verifique e documente: Fonte da evidência.
Verifique e documente: Hora da coleta e fuso horário.
Verifique e documente: Hash e Cadeia de Custódia.
Verifique e documente: Ferramenta e versão.
Verifique e documente: Ações de resposta executadas.
Verifique e documente: Timeline e premissas de trabalho.
Indique o fuso horário, a versão da ferramenta e a hora da coleta.
Guarde os dados brutos antes de filtrar ou alterar.
Escreva o que a descoberta prova e o que ainda não é conhecido.
Defina o proprietário e a próxima ação com uma data.

Erros Comuns

Alterar o sistema antes de preservar as evidências.
Não documentar o fuso horário.
Não calcular o Hash.
Misturar factos e especulações.
Não documentar quem teve a evidência.
Preferir a integridade teórica à contenção imediata de danos.

Resumo e CTA

A Cadeia de Custódia: documentação de evidências na investigação cibernética é um tópico que conecta o conhecimento técnico à disciplina de trabalho. Comece com uma pergunta, colete apenas evidências relevantes, preserve o contexto e o tempo, e escolha uma ação que possa ser justificada e reavaliada.

No curso Cybersecurity & AI da HPI, estes princípios são praticados usando sistemas, logs e laboratórios. Um próximo passo natural é consultar os artigos relacionados, realizar o exercício de laboratório e guardar o produto como parte de um portfólio profissional.

Perguntas frequentes

A Cadeia de Custódia em cibersegurança por si só prova um ataque ou vulnerabilidade?

Não. Ela fornece um sinal ou uma descoberta que requer contexto, verificação e uma fonte adicional. Uma conclusão profissional baseia-se numa sequência de evidências e na conformidade com o comportamento esperado.

O que fazer quando faltam alguns dados?

Documente o que falta, verifique uma fonte alternativa e reduza o nível de confiança. Não complete campos com suposições ou apresente "Unknown" como correto.

Por quanto tempo as evidências devem ser mantidas?

O tempo depende da política, regulamentação, custo e tipo de incidente. É importante definir antecipadamente a Retenção, Legal hold e a capacidade de exportar evidências num formato verificável.

Como praticar sem colocar em risco um sistema real?

Utilize máquinas virtuais, dados simulados, CTF ou um laboratório dedicado. Em testes autorizados, defina o Scope, Stop conditions e faça um backup antes de iniciar o trabalho.