Uma abordagem prática sobre Computação Forense

A análise de mídias suspeitas exige a sua perfeita preservação, que consiste na utilização de recurso de bloqueio de escrita, para permitir o acesso à mídia sem risco de alteração de seu conteúdo. Este bloqueio pode ser realizado através de hardware ou de software, dependendo exclusivamente dos recursos disponíveis para o perito.

Software – No bloqueio por software, normalmente é utilizado uma mídia de inicialização controlada, que permite a colocação do hardware suspeito em modo somente leitura. O Helix da e-fense e o Linen da Guidance, são os dois exemplos de sistema que utilizam o Linux como base para realização de criação de imagem, que permite montar o dispositivo em modo somente leitura. A Digital Inteligence oferece o PDBlock, um utilitário para ambiente DOS com função de bloqueio de escrita.

Hardware – O bloqueio por hardware conta com um grande número dispositivos comerciais, adequados a todos os orçamentos, sendo possível encontrar soluções de baixo custo até dispositvos sofisticados de cópia. A Tableau é uma das empresas mais conhecidas na fabricação de dispositivos de bloqueio escrita, cujos produtos também levam a marca de terceiros.

Obs.: Assim como o Linux permite a montagem de dispositivos no modo somente leitura, o Windows também possui recurso para a montagem de dispositivos USB com escrita bloqueada, conforme veremos em breve.

Na perícia dos crimes com uso de tecnologia, adotamos alguns termos consolidados como forma de padronizar a terminologia pericial. Assim teremos um mesmo entendimento sobre estas denominações daqui em diante.

Prova Digital (Digital Evidence) – Informações armazenadas e/ou transmitidas em formato binário que podem ser utilizadas em juízo como prova de um crime.

Mídia de Provas (Evidence Media) – Mídia digital original, objeto da perícia, onde se encontram provas de um delito, seu planejamento e/ou sua execução.

Duplicação Pericial (Forensic Duplication) – Ato de criar uma cópia digital, bit a bit de uma mídia de provas, seja criando um arquivo de imagem ou produzindo uma nova mídia com conteúdo idêntico.

Imagem Pericial (Forensic Image) – Imagem gerada a partir da mídia de prova.

Mídia de Destino (Target Media) – O suporte no qual a mídia de provas é copiada ou onde uma imagem pericial é restaurada.

Imagem Restaurada (Restored Image) – Restauração dos dados de uma imagem pericial em uma mídia de destino, devolvendo-a a sua forma original.

Análise a Quente ou On Line (Live Analysis) – Coleta de dados voláteis de um computador ainda em funcionamento. Esta coleta pode alterar o estado dos dados na memória deste computador.

Análise a Frio ou Off Line (Offline Analysis) – Análise feita quando se examina a mídia de provas ou a duplicação pericial através de ferramentas de análise.

A análise de evidências de computadores requer uma especial atenção aos metadados relacionados com data e hora. Isto poderá significar a diferença entre o sucesso e o fracasso na análise de um caso. Dois tipos básicos destes metadados devem ser considerados, os metadados do sistema de arquivos e os metadados da aplicação ou serviço que gerou a evidência em análise.

Metadados do sistema de arquivos ou MAC Times – São metadados relacionados a alguma operação realizada com o arquivo e são gravados utilizando-se a hora local ajustada no computador que efetua a operação;

Metadados da aplicação ou serviço – Estão relacionados diretamente com o evento registrado pela aplicação ou serviço, em um log, cabeçalho de uma mensagem de correio eletrônico, histórico de navegação web, etc.

Alguns registros são explícitos com relação à data e hora, mostrando de forma clara como estes metadados foram registrados. Vejamos o cabeçalho de um e-mail.

Vemos que a data e hora registrada indica o tempo deslocado como -0300 (BRT) ou menos três horas do padrão UTC (Universal Coordinated Time ou Tempo Coordenado Universal), também conhecido como GMT (Greenwich Mean Time ou Tempo médio de Greenwich) ou ainda Zulu Time (Tempo Z), Universal Time (Tempo Universal) e World Time (Tempo Mundial). A sigla BRT significa Brazilian Time ou Tempo do Brasil.

Alguns formatos de log também inserem o deslocamento de tempo ou o fuso horário durante o registro da data e hora. Para aqueles que não fazem esta referência, exige-se saber como trata a inserção de data e hora. Vejamos o log do Microsoft IIS. O formato do log pode ser escolhido entre três opções: NCSA (National Center for Supercomputing Applications), IIS (Internet Information Server) e W3C (World Wide Web Consortium). O NCSA e IIS adotam a hora local do computador enquanto o W3C adota a hora no padrão UTC.

Portanto todo o cuidado é pouco para não nos situarmos no local errado. Para ver uma tabela com as Times Zones e seus respectivos deslocamentos clique aqui.

A conclusão do livro me fez ficar um pouco afastado do blog. Entretanto estou de volta e logo postaremos novos tópicos. Esta nova edição, totalmente revisada, trás um pequeno roteiro sobre a resposta a incidentes computacionais para aqueles que ainda não pensaram sobre o assunto. Para instituições que necessitam iniciar o processo de criação de um Grupo de Resposta a Incidentes Computacionais – GRISC. O livro foi editado pela Editora Millenium e pode ser encontrado no site da própria editora e nas melhores livrarias do país.

O rastreamento de e-mails exige a realização de uma análise no cabeçalho completo (e-mail header) da mensagem investigada. O cabeçalho completo é um relatório que começa a ser criado na composição da mensagem e a medida que é transmitido entre os diversos servidores recebe novos campos contendo informações sobre a rota traçada até o seu destino final. O conteúdo destes cabeçalhos também permite que se examine a autenticidade da mensagem e a identificação dos campos de rastreamento, determinando se um ou mais campos foram forjados e se as informações extraídas possibilitam a identificação da origem e da autoria.

Assim além do corpo da mensagem é necessário se obter o cabeçalho completo, e isso só é possível obtendo a mensagem a partir de um destinatário direto do e-mail, ou seja, dos destinatários originais da mensagem. Portanto não se presta para a análise o encaminhamento de seu conteúdo, pois só o corpo da mensagem é enviado e o cabeçalho completo é substituído pelos do processo de encaminhamento.

Existe uma grande diversidade de clientes de e-mail e webmail, que são frequentemente atualizados, criando alguma dificuldade na localização do acesso ao cabeçalho completo da mensagem.

Este texto tem como propósito auxiliar a localização e cópia dos cabeçalhos e códigos fontes das mensagens, preservando-as para a produção da prova material.

Webmails

Gmail, IG, SuperIG, iBest, BRTurbo, Oi, etc. (powered by google)

Acesse a conta do Gmail e abra a mensagem a qual deseja visualizar o cabeçalho. Na janela que mostra o conteúdo da mensagem clique no menu situado na porção superior direita da janela da mensagem, que exibe por padrão a opção Responder e selecione a opção Mostrar original. Selecione todo o conteúdo e salve-o em um arquivo com a extensão TXT ou EML. O formato EML (acrônimo de Eletronic Mail) é um formato comum a vários clientes de correio e seu conteúdo mostra o cabeçalho completo e o corpo da mensagem e como o TXT, pode ser aberto com qualquer editor de texto ASCII.

Hotmail

No Windows Live Hotmail são oferecidas duas alternativas. Na primeira vá para a mensagem desejada, clique com o botão direito do mouse sobre a mesma e selecione no menu de contexto que se abre, a opção Exibir o código-fonte da mensagem. Na segunda opção abra a mensagem e clique na seta do menu situado na porção superior direita da janela da mensagem, que exibe por padrão a opção Responder (como no Gmail) e selecione a opção Exibir o código-fonte da mensagem. Selecione todo o conteúdo e salve-o em um arquivo com a extensão TXT ou EML.

Yahoo Mail e YMail (Novo Yahoo)

Como o Hotmail, o Yahoo também oferece três maneiras de se chegar ao conteúdo do cabeçalho completo da mensagem. Conecte-se à conta de e-mail do Yahoo e clique com o botão direito sobre a mensagem desejada, selecione no menu de contexto que se abre, a opção Exibir cabeçalho completo. Na segunda, clique sobre o botão Ações e selecione Exibir cabeçalho completo. Por fim abra a mensagem e no botão Ações, selecionado em seguida a opção Exibir cabeçalho completo. Selecione todo o conteúdo e salve-o em um arquivo com a extensão TXT ou EML.

BOL e UOL

Conecte-se na conta de e-mail do BOL ou UOL e clique sobre a mensagem desejada. No painel de visualização da mensagem situado abaixo da lista de mensagens, clique sobre o botão Mais ações… selecionando neste menu a opção Ver o código ou Exportar (eml). Ao exibir o código selecione o conteúdo e salve-o como arquivo com a extensão TXT ou EML. Se optar por Exportar (eml) o arquivos será salvo em formato EML.

AOL

Conecte-se na conta de e-mail da AOL e clique com botão direito do mouse sobre a mensagem desejada e selecione no menu de contexto a opção View Message Source. Selecione todo o conteúdo e salve-o em um arquivo com a extensão TXT ou EML.

Clientes de correio

Outlook 2007 e 2010

Para acessar os cabeçalhos completos das mensagens no Microsoft Outlook 2007, cliente de correio que integra a suíte do Microsoft Office, clique com o botão direito do mouse sobre a mensagem desejada, selecione no menu de contexto que se abre a opção Opções da mensagem… Na porção inferior da janela que se abre, em Cabeçalhos da Internet: é possível visualizar o conteúdo do cabeçalho completo da mensagem. Selecione todo o conteúdo e salve-o em um arquivo texto.

No Microsoft Outlook 2010 abra a mensagem desejada e clique na guia Arquivo situada na aba mais à direita. Em Informações clique sobre a opção Propriedades. Na porção inferior da janela que se abre, em Cabeçalhos da Internet:, é possível visualizar o conteúdo do cabeçalho completo da mensagem. Selecione todo o conteúdo e salve-o em um arquivo texto.

Em ambos pode-se salvar a mensagem com a extensão msg e depois convertê-la para o formato texto para análise.

Outlook Express e Windows Live Mail 2011

Estes dois clientes de correio eletrônico da Microsoft possuem procedimentos de visualização dos cabeçalhos da mensagem idênticos, com acesso ao conteúdo em dois estágios diferentes. Clicando com o botão direito do mouse sobre a mensagem desejada, selecione no menu a opção Propriedades. Na janela que se abre selecione a guia Detalhes e poderá visualizar o conteúdo do cabeçalho completo da mensagem. Caso queira ter acesso ao código-fonte da mensagem clique sobre o botão Código-fonte da mensagem… nesta janela. Outra opção é selecionar a mensagem desejada e no menu Arquivo selecione a opção Salvar Como. Em seguida escolha o formato EML e salve o arquivo.

Incredimail 2.0

Para acessar o conteúdo do cabeçalho no Incredimail, abra a mensagem desejada e vá ao menu Arquivo, selecionado a opção Propriedades e na janela que se abre escolha a aba Detalhes. Selecione todo o conteúdo e salve-o em um arquivo texto. Outra forma é selecionar a mensagem desejada e no menu Arquivo selecione a opção Salvar Como. Em seguida escolha o formato EML e salve o arquivo.

Thunderbird 3.1.6

Para acessar o conteúdo do cabeçalho no cliente de correio eletrônico da Mozilla Foudation, selecione a mensagem desejada e na janela de visualização situada abaixo da lista de mensagens, abra o menu situado no botão outras ações situado à esquerda desta e selecione a opção exibir código-fonte. Outra opção é selecionar a mensagem desejada e no menu Arquivo selecione a opção Salvar como arquivo… Em seguida escolha o formato EML e salve o arquivo.

Eudora 7.0 e OSE 1.0

No Eudora 7.1 abra a mensagem desejada e clique na barra de ferramentas no ícone Blah Blah, copie o conteúdo e salve em um arquivo TXT ou EML. No Eudora OSE 1.0 selecione a mensagem desejada e na barra central role para baixo e clique no botão Other actions, selecione então a opção view source e salve o conteúdo da janela para um arquivo de formato TXT ou EML. Se selecionar a opção save as… e salve o arquivo no formato TXT ou EML.

Lotus Notes 8.5

No caso do cliente de correio da IBM, o Lotus Notes, os cabeçalhos completos de mensagens da internet podem ser visualizados abrindo a mensagem desejada e clicando no menu View, selecionando a opção Origem da página. Para mensagens internas vá para a lista e clique com o botão direito do mouse sobre a mensagem desejada e selecione no menu de contexto que se abre a opção Propriedades do documento.

Mail 2.0.1 (MacOS X 10)

Clique sobre a mensagem desejada, abra o menu View, expanda o item Message e selecione o item View Source.

Opera 11.01

O browser Opera possui um cliente de e-mail com suporte POP e IMAP embutido no navegador. Para ter acesso aos cabeçalhos das mensagens clique no menu do Opera e selecione a opção Mail para acessar o cliente de e-mail. Uma vez com o cliente aberto, clique com o botão direito do mouse sobre a mensagem desejada e selecione no menu de contexto que se abre a opção Exibir todos os cabeçalhos e mensagem. O código-fonte da mensagem será mostrado no painel de leitura. Selecione todo o texto, copie e cole em um arquivo TXT ou EML.

Pegasus 4.5

Clique com o botão direito do mouse sobre a mensagem desejada e selecione no menu de contexto que se abre a opção Message headers. O cabeçalho completo poderá ser visto na guia Raw view, copiado e salvo em um arquivo TXT ou EML.