5.5 - Conceitos de Forense

5.5 - Conceitos de Forense

1. Introdução a investigação forense

   • Investigação forense de computadores é um processo investigatório em um determinado sistema para se determinar a causa de um incidente; Importante ter em mente as principais terminologias desta área
     • Em suma, para que um caso tenha sucesso é necessário apresentar evidências concretas com a combinação dos elementos abaixo:
       • Competência Técnica
       • Preservação da Evidência
       • Validação das evidências usando múltiplas fontes
       • Conformidade com padrões legais
       • Flexibilidade para adequar - se a diversos tipos de cenários

2. Terminologias

   • Chain of Custody
     • garantir a identidade e integridade de um determinado objeto desde sua obtenção até o veredito final.
     • Gravar todos os itens coletados
     • Gravar quem coletou a evidência, considerando data e hora
     • Escrever um descritivo da evidência na documentação
     • Colocar a evidência em local apropriado, etiquetando adequadamente
     • Gravar todos os hashes
     • Transportar de forma segura
     • Obter assinatura de quem aceitou a evidência no local
     • Prover controles que garantam que a evidência não será acessada ou comprometida
   • Tipos de Investigação
     • Roubo de Segredos Importantes (Trade Secret )
     • Uso mal - intencionado de recursos
     • Brecha explorada por entidade externa

3. Ordem de volatilidade

   • Registros e cache
   • Tabelas de roteamento, cache ARP, tabela de processos, memória RAM
   • Arquivos temporários
   • Disco
   • Log remoto
   • Configuração física e topologia
   • Fitas de backup

4. Coleta de dados

   • Captura de imagem do sistema ( Helix,Rapid Image - hw, Forensic toolkit)
   • Tráfego de rede e logs
   • Captura de vídeo e telas
   • Registro do tempo
   • Garantia de integridade ( hash é um exemplo)
   • Entrevista com testemunhas

5. Padrões de evidência

   • Evidência relevante
     • associação direta com o caso. Nem toda evidência será relevante.
   • Evidência suficiente
     • quando se cria um cenário de evidência de maneira que não é passível contestação
   • Evidência competente
     • quando está de acordo com padrões legais de coleta de informação de garantia de integridade

6. Tipos de evidência

   • Evidência direta
     • quando se tem uma prova não questionável
   • Evidência real
     • diretamente associada a informação
   • Evidência documental
     • baseado em documentos encontrados
   • Evidência demonstrativa
     • trabalhar com cenário de associação a casos similares

7. Outros itens importantes

   • Preservação das evidências
   • Recuperação
   • Inteligência estratégica
   • Contabilização dos gastos por homem - hora