Cibersegurança e segurança da informação

Disk Forensics para Iniciantes: Ficheiros, Metadados e Timeline

6 min de leituraPublicado: 5 de agosto de 2026

Ilustração visual profissional sobre Disk Forensics para Iniciantes na área de Resposta a Incidentes e DFIR

Resposta rápida

Disk Forensics para Iniciantes é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documente a origem, tempo e ferramentas, mantenha o Hash, construa uma Timeline e separe os factos, interpretação e decisão.

A Resposta a Incidentes (Incident Response) e o DFIR exigem um equilíbrio entre velocidade, preservação de evidências, continuidade de negócios e documentação. Uma ação correta é aquela que pode ser explicada, reproduzida e auditada após o incidente. Este artigo foca-se em Disk Forensics para Iniciantes e destina-se a estudantes e analistas de DFIR. O objetivo é fornecer um método de trabalho que possa ser aplicado em exercícios, entrevistas profissionais e ambientes de trabalho, sem se limitar a uma definição de dicionário.

O principal desafio é que os dados são quase sempre parciais. Metadados do sistema de ficheiros, MFT, timestamps podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Portanto, construiremos a investigação em torno de uma questão de investigação, evidências necessárias e um critério claro para a conclusão.

O cenário prático neste artigo é: construir uma timeline MACB a partir de um sistema de laboratório. Todos os exemplos são dados de laboratório ou descrições de processos. No caso de Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com autorização explícita, um Scope definido e a capacidade de interromper o teste.

Image vs Live disk

Para entender a diferença no contexto de Disk Forensics para Iniciantes, é importante comparar objetivos e não apenas ferramentas. Uma opção oferece amplitude ou velocidade, e outra oferece verificação profunda ou contexto. A escolha correta depende da pergunta: É necessário descoberta, investigação, prova de impacto, contenção ou relatório.

Uma tabela de comparação profissional deve incluir pelo menos: tipo de entrada, nível de certeza, custo operacional, impacto possível, limitações e continuação necessária. Em caso de dúvida, utiliza-se a abordagem menos invasiva e adiciona-se uma fonte complementar em vez de tirar uma conclusão muito ampla.

File system e Metadados

Os campos importantes não são necessariamente aqueles exibidos no topo do ecrã. Em Disk Forensics para Iniciantes, é preciso identificar identificadores estáveis, tempo, origem, destino, resultado e contexto. Exemplos úteis são metadados do sistema de ficheiros, MFT, timestamps, ficheiros apagados, artefatos do navegador, timeline. O objetivo é permitir a Correlação entre registos e não apenas a leitura de um único Evento.

É recomendado criar um pequeno dicionário de dados: nome do campo, significado, formato, origem, valores Null esperados e se é confiável para ligação. Assim, é possível distinguir entre um campo de exibição e um identificador de investigação, e identificar quando um Connector ou uma versão alterou o Schema.

Timestamps e Timeline

A Timeline é a espinha dorsal do Disk Forensics para Iniciantes. Os tempos são normalizados para UTC ou o fuso horário é explicitamente indicado, tanto o Event time quanto o Ingestion time são guardados, e os eventos são conectados por identificadores estáveis. A linha deve incluir tempo, origem, entidade, ação, resultado e confiabilidade.

Uma lacuna ou contradição não é uma falha no documento, mas uma descoberta. Clock drift, atraso na receção, NAT, reutilização de PID ou uma Session persistente podem alterar a ordem. Portanto, indicam-se intervalos de incerteza e mantém-se um link de volta à evidência bruta.

Deleted data e Artifacts

O tópico 'Deleted data e Artifacts' é uma parte central do trabalho em Disk Forensics para Iniciantes. Recomenda-se dividi-lo em três perguntas: qual é a entrada, qual decisão se quer tomar e qual evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de uma ferramenta sem entender o objetivo.

No exercício, anote os metadados do sistema de ficheiros, MFT, timestamps, ficheiros apagados, artefatos do navegador, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Correlation com Logs

O tópico 'Correlation com Logs' é uma parte central do trabalho em Disk Forensics para Iniciantes. Recomenda-se dividi-lo em três perguntas: qual é a entrada, qual decisão se quer tomar e qual evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de uma ferramenta sem entender o objetivo.

Pontos de verificação únicos

Neste tópico, é recomendável construir previamente um mapa de evidências focado. Os principais pontos de verificação são: metadados do sistema de ficheiros, MFT, timestamps, ficheiros apagados, artefatos do navegador, timeline. A lista não é um Checklist automático; cada item é selecionado porque pode ligar uma entidade, uma ação e um tempo ou explicar um comportamento legítimo.

metadados do sistema de ficheiros: Defina qual é o valor esperado, o que será considerado anómalo e qual outra fonte verificará a descoberta.
MFT: Defina qual é o valor esperado, o que será considerado anómalo e qual outra fonte verificará a descoberta.
timestamps: Defina qual é o valor esperado, o que será considerado anómalo e qual outra fonte verificará a descoberta.
ficheiros apagados: Defina qual é o valor esperado, o que será considerado anómalo e qual outra fonte verificará a descoberta.
artefatos do navegador: Defina qual é o valor esperado, o que será considerado anómalo e qual outra fonte verificará a descoberta.
timeline: Defina qual é o valor esperado, o que será considerado anómalo e qual outra fonte verificará a descoberta.

Quando um dos focos não está disponível, é preciso documentar a lacuna e escolher uma alternativa. Por exemplo, se o Process identifier não for estável, pode-se usar tempo, Host, User e Parent; se o Payload estiver criptografado, usam-se Metadados, volume, frequência e contexto TLS/DNS.

Processo de trabalho recomendado

Defina o Scope e uma única questão de trabalho sobre Disk Forensics para Iniciantes.
Liste as fontes de dados e as evidências necessárias: metadados do sistema de ficheiros, MFT, timestamps, ficheiros apagados.
Crie uma Baseline curta de comportamento normal ou resultado esperado.
Realize o teste mínimo em ambiente de laboratório e guarde tempo, entrada e saída.
Construa uma Timeline ou tabela de comparação e separe os factos da interpretação.
Faça um Pivot para uma fonte adicional para confirmar ou refutar a explicação inicial.
Resuma a decisão, limitações, ação recomendada e critério de Retest.

Cenário prático

O cenário escolhido é a construção de uma timeline MACB a partir de um sistema de laboratório. O objetivo do exercício não é provar a capacidade de ataque, mas praticar a recolha, comparação e documentação de forma segura. Antes de iniciar o trabalho, definem-se dados simulados, uma janela de tempo e um resultado esperado.

Ao final do exercício, deve-se apresentar um produto que outro analista ou auditor possa revisar: uma captura de ecrã ou exportação da evidência, uma Timeline curta, uma suposição inicial, uma evidência de confirmação, uma limitação e uma recomendação. Quando não há evidência suficiente, a conclusão correta é que o cenário não foi provado.

Etapa	O que é realizado	Resultado
Preparação	Defina Scope, tempo e objetivo. Registre quais campos ou evidências de metadados do sistema de ficheiros, MFT, timestamps são esperados.	Plano de teste curto
Criação de dados	Execute uma ação segura e simulada relacionada a Disk Forensics para Iniciantes, sem informações reais ou impacto num sistema de produção.	Evento/Request/Flow controlado
Recolha	Recolha a evidência bruta e o contexto de uma fonte adicional. Verifique o fuso horário, identificadores e integridade.	Duas evidências ligadas
Análise	Escreva o que cada evidência prova, o que não prova e qual é a explicação legítima possível.	Conclusão provisória
Conclusão	Escolha fechamento, escalada, Finding ou Tuning; adicione recomendação e Retest.	Produto documentado

Checklist prático

Verifique e documente: origem da evidência.
Verifique e documente: tempo de recolha e fuso horário.
Verifique e documente: Hash e Chain of Custody.
Verifique e documente: ferramenta e versão.
Verifique e documente: ações de resposta realizadas.
Verifique e documente: Timeline e hipóteses de trabalho.
Indique o fuso horário, a versão da ferramenta e a hora da recolha.
Guarde os dados brutos antes de filtrar ou alterar.
Escreva o que a descoberta prova e o que ainda é desconhecido.
Defina o proprietário e a próxima ação com data.

Erros comuns

Alterar o sistema antes de preservar as evidências.
Não documentar o fuso horário.
Não calcular o Hash.
Misturar facto e suposição.
Não documentar quem deteve a evidência.
Priorizar a integridade teórica sobre a contenção imediata de danos.

Resumo e CTA

Disk Forensics para Iniciantes: Ficheiros, Metadados e Timeline é um tópico que conecta conhecimento técnico com disciplina de trabalho. Comece com uma pergunta, recolha apenas evidências relevantes, preserve o contexto e o tempo, e escolha uma ação que possa ser justificada e verificada novamente.

No curso de Cybersecurity & AI da HPI, estes princípios são praticados usando sistemas, logs e laboratórios. O próximo passo natural é passar para os artigos relacionados, realizar o exercício de laboratório e guardar o produto como parte de um portfólio profissional.

Perguntas frequentes

O Disk Forensics para Iniciantes sozinho prova um ataque ou uma vulnerabilidade?

Não. Ele fornece um sinal ou uma descoberta que precisa de contexto, verificação e uma fonte adicional. Uma conclusão profissional baseia-se numa sequência de evidências e na conformidade com o comportamento esperado.

O que fazer quando parte dos dados está em falta?

Documente o que está em falta, verifique uma fonte alternativa e reduza o nível de confiança. Não complete campos com suposições ou apresente "Unknown" como correto.

Por quanto tempo as evidências devem ser guardadas?

O tempo depende da política, regulamentação, custo e tipo de incidente. É importante definir antecipadamente o Retention, Legal hold e a capacidade de exportar evidências num formato que possa ser verificado.

Como praticar sem comprometer um sistema real?

Use máquinas virtuais, dados simulados, CTF ou um laboratório dedicado. Em testes autorizados, defina o Scope, Stop conditions e backup antes de iniciar o trabalho.