As investigações forenses digitais estão se tornando cada vez mais comuns. Isso ocorre porque a sociedade digital de hoje está repleta de agentes mal-intencionados com intenções maliciosas — portanto, ao aproveitar a perícia forense digital, os investigadores cibernéticos podem se aprofundar nessa teia de fraudes e fraudes.
Este guia foi elaborado para orientá-lo em tudo o que você precisa saber sobre análise forense digital: desde o que é, como é realizado, até as ferramentas que o tornam possível.
O que é Perícia Forense Digital?
A perícia digital envolve a preservação, identificação, extração e documentação de evidências de dispositivos eletrônicos. Os analistas que praticam forense digital tentam identificar e coletar evidências de crimes cibernéticos ou outros crimes cobertos pela legislação sobre tecnologia da informação, como roubo, fraude, espionagem e crimes de proteção à criança.
O processo de perícia digital inclui o acesso ao hardware apreendido e o uso de ferramentas de software especializadas para buscar evidências relevantes durante uma investigação. As equipes forenses analisam e identificam dados encontrados em vários tipos de dispositivos eletrônicos, como computadores e dispositivos inteligentes.
A história da perícia digital
Enraizada na revolução da computação pessoal, a história da perícia digital remonta ao final dos anos 1970, quando IBM lançou seu primeiro computador pessoal. Na década de 1990, países de todo o mundo legislaram a perícia digital como uma ferramenta importante para as agências de aplicação da lei. (Leia também: Análise avançada: ferramentas policiais para combater o crime.)
Hoje, existem cinco ramos de tecnologia em uma investigação forense digital:
- Apreensão, imagens forenses e análise de mídia.
- Exame de artefatos relevantes.
- Preservação.
- Controle de acesso através de mecanismos de autenticação como senhas ou tokens.
- Consultoria jurídica, como revisão de documentos ou gerenciamento de litígios, ferramentas de software para resposta a incidentes ou fluxos de trabalho pós-incidentes.
Embora a perícia digital esteja associada à revolução da computação, a perícia tem uma longa e rica história que remonta ao final do século XIX. Em 1879, Hans Gross foi o primeiro a usar o estudo científico em investigações criminais. Ele era um jurista alemão que ajudou a estabelecer o campo da ciência forense.
Outros anos importantes na história forense incluem:
- 1932. O FBI montou um laboratório que permitiu que policiais de todos os Estados Unidos acessassem seus serviços. Este laboratório desempenhou um papel significativo no desenvolvimento da perícia digital como a conhecemos hoje.
- 1992. O termo “computação forense” foi usado pela primeira vez na literatura acadêmica. Apareceu em um artigo escrito por Peter Sommer e Michael Goodman chamado “Computers and Law: The Use of Computers in British Criminal Investigations”.
- 2000. O primeiro Laboratório Forense de Computação Regional do FBI (RCFL) foi estabelecido. Este laboratório treinou policiais em técnicas e metodologia forense digital.
- 2002. O Grupo de Trabalho Científico sobre Evidências Digitais (SWGDE) publicou o primeiro livro sobre forense digital chamado “Best Practices for Computer Forensics”. Este livro delineou as melhores práticas para investigadores e examinadores de computação forense.
- 2010. Simson Garfinkel problemas identificados nas investigações digitais. Seu artigo “Digital Evidence: A Forensic Science Perspective” destacou muitos dos desafios que os investigadores enfrentam ao lidar com evidências digitais.
Tipos de perícia digital
Existem muitos tipos de perícia digital, mas os mais comuns são:
Em todos os tipos de forense digital, os investigadores estão procurando por evidências – não importa quão pequenas – para construir uma imagem dos fatos ou procurar pistas que possam juntar os pontos em um caso mais amplo. Alternativamente, os investigadores podem usar os dados para procurar certos tipos de tráfego que eles suspeitam serem maliciosos — como um pacote encapsulado não é bem o que parece ser.
Existem três tipos principais de análise forense digital. Eles são:
1. Análise ao vivo
A análise ao vivo é quando uma ferramenta forense é usada para processar dados em tempo real. Normalmente encontramos essas ferramentas em produtos de segurança de endpoint ou sistemas de gerenciamento de eventos e informações de segurança (SIEM). Eles identificam as ameaças à medida que ocorrem e alertam os administradores em tempo real.
2. Análise Forense
A análise forense envolve o uso de uma ferramenta forense para processar dados depois que eles foram coletados. Essas ferramentas são encontradas em plataformas de descoberta eletrônica ou forense digital. Eles analisam dados coletados de endpoints, discos ou dispositivos de rede.
3. Análise Híbrida
A análise híbrida é quando uma ferramenta forense é usada para processar dados ao vivo e forenses.
O que os investigadores forenses digitais fazem?
Os investigadores forenses digitais podem estudar uma ampla gama de coisas, incluindo crimes cibernéticos e serviços de proteção ao consumidor. O processo de perícia digital também pode incluir a apreensão de dispositivos ou a preservação de dispositivos para preservar as evidências deixadas para trás depois que alguém os adulterou, enquanto em uso por um infrator que já deixou a cena.
Coletar as evidências necessárias para a perícia digital exige muito esforço. Isso inclui identificar coisas como quais evidências estão presentes, onde estão armazenadas e como estão armazenadas.
Os deveres básicos dos investigadores forenses digitais incluem:
Identificação
Quando ocorre um incidente, a primeira tarefa é localizar e identificar evidências e determinar os caminhos de acesso que um invasor usou para se infiltrar na organização. (Leia também: Descobrindo brechas de segurança.)
Preservação
A próxima etapa envolve digitalizar as evidências e impedir que as pessoas adulterem a cena do crime ou o incidente.
Isso significa fotografar tudo – incluindo hardware, software e documentos – e fazer anotações sobre qualquer coisa que pareça relevante. Também é importante documentar a hora e a data de cada imagem tirada, bem como qualquer informação de identificação sobre quem as tirou.
Análise
Os investigadores forenses digitais usam software para criar uma cópia exata de uma peça de mídia digital e, em seguida, examinam a cópia sem alterar o original.
Documentação
Documentar as descobertas da investigação forense digital é uma etapa essencial na descrição da evidência digital encontrada na investigação. Um processo de documentação completo deve incluir:
- Uma análise de todas as evidências coletadas.
- Uma linha do tempo dos eventos.
- Uma descrição de como as evidências foram coletadas.
- Uma descrição da análise realizada.
Depois que as evidências são extraídas, a equipe forense pode começar a farejar os maus atores. Isso pode envolver a recuperação de arquivos excluídos ou o exame remoto do conteúdo de uma máquina.
Ao criar um plano de documentação detalhado, os investigadores podem garantir a captura de evidências adequadas e manter a cadeia de custódia.
Apresentação
As informações devem ser claras e compreensíveis e escritas de forma que os participantes possam entender facilmente. Não há espaço para qualquer ambiguidade em nenhum resumo ou explicação.
As equipes forenses exigem acesso às melhores técnicas e ferramentas para resolver casos complicados. Para realizar seu trabalho com eficácia, os analistas forenses precisam estar familiarizados com uma ampla gama de ferramentas de software e hardware. Eles também precisam ter um forte entendimento de como os computadores funcionam e como os dados são armazenados.
Desafios da Perícia Forense Digital
Embora as equipes forenses digitais de hoje enfrentem vários desafios, um tema subjacente que define muitos deles é a crescente complexidade das ameaças avançadas e a velocidade da invasão. Há também o volume incompreensível de dados e a necessidade de identificar e analisar evidências. (Leia também: Explicação dos ataques de comprometimento de e-mail comercial (BEC): você está em risco?)
Além disso, vários incidentes de segurança cibernética podem ocorrer ao mesmo tempo – e devem ser gerenciados rapidamente para se chegar a um resultado bem-sucedido, especialmente entre as agências de aplicação da lei. As equipes de resposta a incidentes (IR) das organizações precisam entender o que aconteceu, por que aconteceu e como corrigi-lo.
Tipos de ferramentas forenses digitais
As ferramentas forenses digitais são divididas em sete categorias principais:
- Ferramentas de captura de disco e dados.
- Visualizadores de arquivos.
- Ferramentas de análise da Internet.
- Ferramentas de análise de e-mail.
- Ferramentas de análise de dispositivos móveis.
- Ferramentas forenses de rede.
- Ferramentas forenses de banco de dados.
A história das ferramentas forenses digitais
Na era atual da perícia digital, o volume de requisitos de dados e análises dobrou — se não triplicou — em relação a alguns anos atrás. Assim, a análise forense digital pode rapidamente se tornar uma bola de neve para qualquer organização, especialmente agências de aplicação da lei.
Isso significa que as ferramentas forenses digitais precisam abordar duas questões:
- A quantidade esmagadora de dados que as organizações criam e armazenam hoje.
- As importantes implicações legais que acompanham cada etapa do processo forense digital, especialmente preservando a cadeia de custódia.
O Federal Law Enforcement Training Center (FLETC) reconheceu pela primeira vez a necessidade de um software como este em 1989. Sua solução, chamada DIBSfoi lançado comercialmente em 1991.
Após a década de 1990, a demanda por evidências digitais levou ao desenvolvimento de ferramentas como EnCase e FTK, que permitia aos analistas examinar cópias de mídia sem perícia ao vivo. Agora existem tendências para análise forense de memória ao vivo em ferramentas como WindowsSCOPE. A análise forense de memória ao vivo pode ser executada em dispositivos móveis com ferramentas como Wireshark e Hashkeeper.
O futuro das ferramentas forenses digitais
As ferramentas forenses digitais avançaram significativamente nos últimos anos. Novas ferramentas foram desenvolvidas para analisar dados ao vivo e forenses, enquanto as ferramentas legadas foram aprimoradas para permitir novos tipos de análise.
Algumas das mais recentes ferramentas forenses digitais incluem robótica avançada. Essa integração permite que a aplicação da lei quebre dispositivos inteligentes capturados durante uma investigação inserindo incansavelmente milhares de combinações de números PIN.
Muitas organizações, incluindo agências policiais e corporações, também estão recorrendo à inteligência artificial e ao aprendizado de máquina para automatizar o processo de análise e reduzir o processo manual de exame de dados. (Leia também: Automação robótica de processos: o que você precisa saber.)
Os benefícios da perícia digital automatizada
Automatizar a coleta de apresentações de evidências forenses sólidas, de testemunhas a investigadores e promotores, pode reduzir drasticamente o tempo e as despesas das investigações forenses digitais.
Além disso, uma vez que as evidências são coletadas, o software forense automatizado pode reduzir significativamente o tempo e os recursos humanos necessários para criar apresentações de evidências defensáveis, como relatórios e provas. (Leia também: As 6 principais maneiras pelas quais a IA está melhorando a produtividade dos negócios.)
Resumo
Com os avanços na robótica e no desenvolvimento de software automatizado, a perícia digital evoluiu de um processo meticuloso para um processo mais automatizado e econômico.
No passado, os especialistas forenses precisavam extrair dados manualmente de sistemas e dispositivos para conduzir investigações forenses digitais. Agora, no entanto, as ferramentas de software automatizadas tornam o processo mais fácil e rápido, categorizando evidências, pontuando e priorizando as evidências em segundos com velocidade e precisão.
Empresas forenses especializadas como Cellebrite, Grayshifte Perícia Forense Magnética introduziram novos avanços na perícia digital. Tecnologia de base reduziu os kits de ferramentas mais recentes do tamanho de uma maleta para uma simples unidade USB, liberando um tempo valioso para agências de aplicação da lei e organizações corporativas.