Uma abordagem prática sobre Computação Forense

Devido a acentuada queda dos preços, os dispositivos de navegação portátil, também conhecidos como dispositivos de GPS (Global Positioning System) têm se tornado cada dia mais utilizados. Estima-se em 2010 mais de 120 milhões de unidades vendidas. Esta popularização tem trazido à tona uma discussão acerca da possibilidade de invasão de privacidade, provocada pelas informações armazenadas nos equipamentos. No caso de um veículo roubado, o conteúdo armazenado pode fornecer aos autores do roubo/furto informações sobre a localização da residência, do trabalho, rotas diárias, etc.

Por outro lado é cada vez mais comum encontrarmos estes dispositivos associados a atos criminosos, que podem conter informações importantes na elucidação dos crimes. Assim a Computação Forense se depara com mais um desafio: A coleta, aquisição e análise de GPS.

Terminologia

Existem termos comuns associados à navegação com uso de recursos de GPS e cujo conceito é muito importante para a perícia, como waypoints, routes, tracks, entre outros.

• Waypoints (Pontos de passagem) – São pontos identificados por coordenadas geográficas;
• Routes (Rotas) – São sequências de dois ou mais waypoints conhecidos, importantes, interligados, que determinam uma rota entre a origem e o destino de um deslocamento;
• Tracks (Trilhas) – São sequência de pontos de caracterizam um caminho percorrido ou planejado. Normalmente as trilhas possuem mais pontos que as rotas.

Ferramentas

Já existem ferramentas especializadas para análise forense de dispositivos GPS. O BlackThorn2 e o TomTology são softwares comerciais compatíveis com uma série de marcas e modelos. Existe ainda outros utilitários não especializados, alguns gratuitos, voltados para integração entre os sistemas do GPS e desktops, que podem ser utilizados para auxiliar a análise, na ausência de uma ferramenta especializada.

Voltaremos em outra oportunidade para tratar desse assunto.

Como vimos no segundo post sobre procedimentos, uma das recomendações básicas para o manuseio de computadores, se o equipamento estiver desligado, é não ligar em hipótese nenhuma. Porque este rigor em manter o equipamento desligado?

Primeiro, quando da realização da perícia, o disco rígido deste equipamento estará bloqueado contra a escrita, mantendo o “local de crime” devidamente preservado.

Se o equipamento for ligado sem os devidos cuidados, alguns eventos indesejados acontecerão sem que possam ser controlado. Como a alteração da data e hora do último desligamento do equipamento, que pode ser visto nos metadados do sistema de arquivos, no registro de eventos do sistema, etc.

No Linux, se verificarmos a pasta /var/logs o arquivo kern.log encontraremos indicações do momento em que o sistema foi desligado e quando foi religado.

Jul 6 19:20:04 ubuntu kernel: Kernel logging (proc) stopped. Jul 7 18:38:21 ubuntu kernel: imklog 4.2.0, log source = /var/run/rsyslog/kmsg started

No Windows podemos encontrar informações no log de eventos de sistema situados na pasta C:WindowsSystem32winevtsystem.evtx (Windows Vista/7) para os eventos de ID 12 e 13, e C:WindowsSystem32configsystem.evt (Windows XP/2000/NT) para os eventos de ID 6005, 6006 e 6009. Ainda podemos encontrar no registro do Windows, na chave HKLMSYSTEMCurrentControlSet ControlWindows no valor ShutdownTime, o registro da data e hora em que o computador foi desligado de forma regular pela última vez. Este tempo está registrado no horário UTC, formato Windows 64 bit Hex Value – Little Endian.

Os arquivos abertos terão seus metadados do sistema de arquivos, relacionados à data e hora do último acesso alterados, sem considerar que arquivos temporários serão criados na mídia de prova, podendo sobrescrever conteúdo de interesse para a investigação e perícia.

O descuido com a manipulação do equipamento quebrará a cadeia de custódia, podendo fornecer argumentos a serem utilizados para questionar à preservação da evidência material.

O documento do SWGDE, “Best Pratices for Computer Forensics Version 2.1 (July 2006)” sugere uma série de procedimentos básicos para a busca e apreensão, assim como para a manipulação da evidência digital, conforme dissemos no primeiro post deste blog. A seguir veremos as recomendações para a coleta e manipulação de provas.

Coleta – A coleta é a primeira etapa na aquisição da evidência de um crime ou incidente. Pode ser realizada durante uma operação de busca ou apreensão, durante um flagrante ou ainda, ser fornecido pela vítima do fato em questão, dando início à cadeia de custódia. Assim devemos observar os seguintes pontos:

• Em primeiro lugar é primordial saber o que encontraremos pela frente para que possamos estar de posse das ferramentas necessárias;
• Também devemos ter foco no expediente legal que norteará a coleta, seja uma ordem judicial, uma guia pericial ou outro expediente qualquer, emitido pela autoridade que requisita os exames, de forma a dar valor legal à evidência coletada;
• Na impossibilidade de removermos a prova devemos realizar a cópia ou imagem das mesmas de acordo com os procedimentos locais (Falaremos a respeito mais à frente);
• Todos aqueles que estiverem no local da coleta, sejam suspeitos, testemunhas ou observadores devem ser mantidos afastados das evidências, após se certificar que não estão de posse de material de interesse;
• Buscar se informar destes acerca da evidência apreendida, como senhas, nomes de usuários, endereços de e-mail, etc,;
• O local de crime deve ser inspecionado com cuidado e critério em busca de evidências em potencial.

Manipulação de evidências – O manuseio inadequado pode inviabilizar por completo a evidência de um crime ou incidente e somente deverá ser realizada por pessoa devidamente capacitada para tal tarefa. Vejamos:

• Se um computador estiver desligado não o ligue sob nenhum pretexto, pois esta iniciativa caracteriza a violação do local de crime, podendo por a perder a evidência encontrada;
• Documente as condições da evidência através de fotos dos itens apreendidos no seu local de origem, esboços sobre as conexões existentes com outros dispositivos, além da área em torno.
• Caso os itens apreendidos apresentem danos, documente-os;
• Dispositivos com memória volátil devem ser tratados de forma adequada de modo que não se perca os dados ali existentes (Análise a quente ou fonte de energia);
• Se ligados, os equipamentos devem ser desligados de forma adequada, através de comandos do sistema operacional, após capturar os dados contidos em sua memória (análise a quente);
• Os cabos de força das estações e servidores, assim como as baterias de notebooks devem ser removidos, colocando-se lacre nos conectores dos equipamentos ou no encaixe das baterias;
• As evidências apreendidas devem ser colocadas em embalagens adequadas e transportadas de forma a protegê-las de vibrações, campos eletro-magnéticos, eletricidade estática a variações de temperatura e umidade.

Até o próximo.

De forma resumida a cadeia de custódia é o conjunto de documentos que registra a posse e transmissão de uma evidência, desde sua apreensão até o final do processo na justiça. Nela é realizada uma descrição detalhada de forma a individualizá-la no contexto das evidências de um determinado processo. Além das informações sobre as características da evidência, contém também os instantes em que estas trocaram de mãos, quem deteve a posse, numeração de lacres e alguma outra observação ou registro julgado pertinente por quem a recebe ou entrega.

Recentemente me pediram para definir o termo Computação Forense, o que ainda não havia feito aqui no blog. Mas antes gostaria de comentar acerca das ciências forenses em geral, que podem ser entendidas como uma especialização das ciências tradicionais, voltadas para esclarecer questões legais na justiça. Assim a Computação Forense pode ser conceituada como a Ciência da Computação focada em desvendar ou eliminar dúvidas em ações legais. No livro “Computação Forense” da Editora Millennium, temos a seguinte definição: