Aquisição de dados

 Cena do incidente: Dados em risco antes da coleta

Quando ocorre um incidente, o primeiro instinto geralmente envolve “dar uma olhada” no sistema ativo.
Cliques não planejados, logins de root ou cópias de arquivos podem alterar registros de data e hora, logs e espaço não alocado antes que alguém registre um estado limpo.

A aquisição de dados resolve esse problema.
Ele se concentra na coleta de dados de forma controlada para preservar a integridade das evidências desde a primeira ação.

Fundamentos da aquisição forense sólida

A aquisição de dados em um contexto forense significa mais do que apenas copiar arquivos.
Ele define um processo documentado que coleta dados, protege-os contra alterações e mostra ao tribunal ou à revisão interna como você lidou com cada etapa.

Principais objetivos:

• Minimizar as alterações no dispositivo de origem

• Capturar o máximo de dados relevantes que o escopo permitir

• Provar que os dados coletados permanecem idênticos à fonte

• Fornecer etapas repetíveis que possam ser verificadas por outro examinador

Escopo e níveis de aquisição

Os investigadores escolhem um nível de aquisição com base no caso, no tempo e no risco.

Níveis comuns:

• Imagens físicas (em nível de bit): setor por setor cópia de um disco ou partição inteira

• Aquisição lógicacópia de arquivos, pastas e partições no nível do sistema de arquivos

• Coleta direcionadacópia focada de artefatos específicos, como registros, armazenamentos de e-mail ou dados do navegador

Você usa a geração de imagens físicas para análise e recuperação.
Você escolhe métodos lógicos ou direcionados quando as restrições de tempo ou acesso limitam a geração de imagens completas.

Hashes e validação

Os hashes criptográficos comprovam que uma cópia corresponde à sua origem.
Durante a aquisição, você calcula hashes como SHA-256 para:

• O dispositivo ou a imagem original

• A imagem adquirida ou os conjuntos de evidências exportados

Em seguida, você compara os valores.
Quando eles coincidem, você pode mostrar que os dados coletados permaneceram inalterados desde a aquisição até a análise e a geração de relatórios.

Cadeia de custódia e documentação

A integridade técnica por si só não é suficiente.
É necessário documentar quem acessou um dispositivo, quando coletou dados, quais ferramentas utilizou e por onde as evidências trafegaram.

Um registro básico da cadeia de custódia inclui:

• Identificador de caso e descrição do dispositivo

• Datas e horários de aquisição e transferências

• Nomes e assinaturas dos manipuladores

• Valores de hash dos principais arquivos de evidência

Esses registros são mantidos junto com as imagens e as exportações para apoiar a revisão posterior.

Técnicas de aquisição em vários dispositivos

Dispositivos diferentes exigem métodos de aquisição diferentes.
Laptops, servidores, serviços em nuvem e hardware móvel apresentam restrições exclusivas.

Criação de imagens de discos e volumes

Para desktops e servidores, geração de imagens de disco continua sendo um método primário.
Você frequentemente:

1. Desligue o sistema se a situação permitir.

2. Remova a unidade e conecte-a a uma estação de trabalho forense.

3. Use um bloqueador de gravação de hardware para impedir qualquer gravação no disco de origem.

4. Crie uma imagem em nível de bit e calcule hashes durante ou após a aquisição.

Em seguida, você realiza a análise na imagem, não no disco original.
Essa abordagem protege as evidências mesmo que as ferramentas falhem ou os analistas cometam erros.

Aquisição em tempo real de sistemas em execução

Às vezes, não é possível desligar um sistema, como um servidor de produção ou um dispositivo que contém evidências voláteis.
Em seguida, você realiza a aquisição ao vivo.

As ações típicas incluem:

• Capturando RAM com uma ferramenta de aquisição de memória

• Coleta de listas de processos em execução, conexões ativas e registros voláteis

• Criação de imagens de volumes lógicos enquanto o sistema operacional ainda está em execução, com o mínimo de perturbação possível

A aquisição ao vivo inevitavelmente altera o sistema até certo ponto.
Você documenta essas alterações e explica por que a coleta ao vivo ofereceu o melhor equilíbrio entre valor probatório e risco.

Coleções de rede e nuvem

As investigações modernas vão além dos discos locais.
Os dados podem estar no armazenamento em nuvem, em plataformas SaaS ou em coletores de registros centrais.

Nesses casos, você:

• Use as APIs da plataforma para exportar registros, conteúdo de caixas de correio ou históricos de arquivos

• Capturar o tráfego de rede de taps ou portas span quando autorizado legalmente

• Preservar os metadados do provedor, como registros de data e hora, identificadores de conta e endereços IP

Você trata os arquivos exportados como objetos de evidência e faz hash com eles como imagens locais.

Fluxo de trabalho de software para aquisição repetível

As ações manuais aumentam o risco de erros.
Uma ferramenta de aquisição bem projetada ajuda você a seguir um processo consistente todas as vezes.

Um fluxo de trabalho típico com uma ferramenta como Aquisição de dados EOS SECURE pode ter a seguinte aparência:

1. Início Aquisição de dados EOS SECURE em uma estação de trabalho reforçada.

2. Identifique discos, volumes ou fontes remotas conectados por meio de uma lista clara de dispositivos.

3. Selecione o alvo e escolha um tipo de aquisição (imagem física, conjunto lógico ou perfil direcionado).

4. Configure as opções de hashing e evidencie os caminhos de destino.

5. Execute a aquisição enquanto a ferramenta registra logs, hashes e carimbos de data/hora.

A ferramenta gera um relatório que pode ser anexado à documentação do seu caso.
Você evita comandos ad hoc que se tornam difíceis de repetir ou explicar posteriormente.

Procedimento recomendado para aquisição de disco do Windows