Recolha de Provas Digitais sem Comprometer a sua Integridade

Objetivo da Recolha

Nesta fase, define-se que provas são necessárias para responder à questão da investigação. Para a recolha de provas digitais, os pontos básicos são a fonte da prova, hora e fuso horário da recolha, Hash e Chain of Custody, ferramenta e versão. Para cada fonte, documenta-se o proprietário, período de retenção, fuso horário, atraso na receção e campos que podem estar em falta.

A qualidade da recolha não é medida apenas pela chegada do log. É necessário verificar a Completeness, Latency, Parsing, Duplicate events e a sincronização do tempo. Um teste Canary ou um evento de laboratório conhecido permite verificar se a ação apareceu na origem, passou pelo Pipeline e é pesquisável nos campos corretos.

Ordem de Operações e Permissões

Na recolha de provas digitais, identidade e permissão são duas questões diferentes: quem é o cliente e o que lhe é permitido fazer no recurso. Verificam-se Roles, Claims, Session, Object ownership e alterações ao longo do ciclo de vida, e não se fica satisfeito com o utilizador estar 'ligado'.

Uma matriz de teste inclui utilizador anónimo, utilizador regular, proprietário do objeto, outro utilizador e administrador. Para cada ação, compara-se a Response e o impacto no lado do servidor. A alteração de um identificador ou Header é apenas um meio de teste; a prova é que o servidor aprovou ou rejeitou uma ação contra a política.

Live data vs. Disk image

Para entender a diferença no contexto da recolha de provas digitais, é importante comparar objetivos e não apenas ferramentas. Uma opção oferece amplitude ou velocidade, e outra oferece verificação profunda ou contexto. A escolha correta depende da pergunta: é necessária descoberta, investigação, prova de impacto, contenção ou relatório?

Uma tabela de comparação profissional deve incluir pelo menos: tipo de entrada, nível de certeza, custo operacional, impacto potencial, limitações e continuação necessária. Em caso de dúvida, use a abordagem menos invasiva e adicione uma fonte complementar em vez de tirar uma conclusão muito ampla.

Hash e Integridade

O tópico 'Hash e Integridade' é uma parte central do trabalho na recolha de provas digitais. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se deseja tomar e que prova é suficiente para a justificar? Estas perguntas evitam o uso automático de uma ferramenta sem entender o objetivo.

Na prática, registe o volatile memory, network state, running processes, disk image, hash, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Armazenamento, Transferência e Documentação

A documentação da recolha de provas digitais deve permitir que uma pessoa que não participou no trabalho compreenda o que aconteceu e reproduza a conclusão. Separe factos, interpretações, suposições e decisões, e ligue cada afirmação a uma prova, consulta ou captura de ecrã.

Uma estrutura útil inclui Summary, Scope, Timeline, Evidence, Impact, Actions, Limitations e Next steps. Num relatório de PT, adicionam-se Remediation e Retest; numa investigação, adicionam-se Containment, Recovery e Lessons learned.

Pontos de Verificação Únicos

Neste tópico, é recomendável construir previamente um mapa de provas focado. Os principais pontos de verificação são: volatile memory, network state, running processes, disk image, hash, collector/time. A lista não é um Checklist automático; cada item é selecionado porque pode ligar uma entidade, ação e tempo ou explicar um comportamento legítimo.

• volatile memory: Defina o valor esperado, o que seria considerado excecional e qual fonte adicional confirmaria a descoberta.
• network state: Defina o valor esperado, o que seria considerado excecional e qual fonte adicional confirmaria a descoberta.
• running processes: Defina o valor esperado, o que seria considerado excecional e qual fonte adicional confirmaria a descoberta.
• disk image: Defina o valor esperado, o que seria considerado excecional e qual fonte adicional confirmaria a descoberta.
• hash: Defina o valor esperado, o que seria considerado excecional e qual fonte adicional confirmaria a descoberta.
• collector/time: Defina o valor esperado, o que seria considerado excecional e qual fonte adicional confirmaria a descoberta.

Quando um dos focos não está disponível, deve-se documentar a lacuna e escolher uma alternativa. Por exemplo, se o Process identifier não for estável, pode-se usar o tempo, Host, User e Parent; se o Payload estiver encriptado, usam-se Metadata, volume, frequência e TLS/DNS context.

Processo de Trabalho Recomendado

1. Defina um Scope e uma única questão de trabalho sobre a recolha de provas digitais.
2. Registe as fontes de dados e as provas necessárias: volatile memory, network state, running processes, disk image.
3. Crie uma Baseline curta de comportamento normal ou resultado esperado.
4. Execute o teste mínimo num ambiente de laboratório e guarde o tempo, a entrada e a saída.
5. Construa uma Timeline ou tabela de comparação e separe os factos da interpretação.
6. Faça um Pivot para uma fonte adicional para confirmar ou refutar a explicação inicial.
7. Resuma a decisão, limitações, ação recomendada e critério de Retest.

Cenário Prático

O cenário escolhido é um Checklist para recolha de um ficheiro, Log e Memory dump em laboratório. O objetivo do exercício não é provar a capacidade de ataque, mas sim praticar a recolha, comparação e documentação de forma segura. Antes de iniciar o trabalho, definem-se dados fictícios, uma janela de tempo e um resultado esperado.

No final do exercício, deve-se apresentar um produto que outro analista ou testador possa rever: uma captura de ecrã ou Export da prova, uma Linha de Tempo curta, uma suposição inicial, uma prova de confirmação, uma limitação e uma recomendação. Quando não há provas suficientes, a conclusão correta é que o cenário não foi provado.

Checklist Prático

• ✓Verifique e documente: Fonte da prova.
• ✓Verifique e documente: Hora de recolha e fuso horário.
• ✓Verifique e documente: Hash e Chain of Custody.
• ✓Verifique e documente: Ferramenta e versão.
• ✓Verifique e documente: Ações de resposta realizadas.
• ✓Verifique e documente: Linha de Tempo e suposições de trabalho.
• ✓Indique o Time zone, versão da ferramenta e hora de recolha.
• ✓Guarde o dado bruto antes de filtrar ou alterar.
• ✓Escreva o que a descoberta prova e o que ainda é desconhecido.
• ✓Defina o proprietário e a ação de acompanhamento com prazo.

Erros Comuns

• Alterar o sistema antes de preservar as provas.
• Não documentar o fuso horário.
• Não calcular o Hash.
• Misturar factos e especulações.
• Não documentar quem deteve a prova.
• Priorizar a integridade teórica sobre a contenção imediata de danos.

Resumo e CTA

A recolha de provas digitais sem comprometer a sua integridade é um tema que combina conhecimento técnico com disciplina de trabalho. Comece com uma pergunta, recolha apenas provas relevantes, preserve o contexto e o tempo, e escolha uma ação que possa ser justificada e verificada novamente.

No curso Cybersecurity & AI da HPI, estes princípios são praticados através de sistemas, logs e laboratórios. Uma continuação natural é passar para os artigos relacionados, realizar o exercício de laboratório e guardar o produto como parte de um portfólio profissional.

Perguntas frequentes