FACULDADE DE TECNOLOGIA DA ZONA LESTEAuditoria de Sistemas PERÍCIA FORENSE COMPUTACIONAL Daniel Dias - 142049-6 Nelson Romano Neto - 122071-3 Tatiane Oliveira - 122078-0 SET/2015 .............................. APLICAÇÃO .................................... PRINCIPAIS CARACTERÍSTICAS ........ 6 4.. REFERÊNCIAS ......................... 2 3................................................ BASE CONCEITUAL ..........ÍNDICE 1................... EXEMPLIFICAÇÃO .............................. 8 6. 9 7....................................................................................................................... INTRODUÇÃO ...................................................................................................................................... 1 2........................ 7 5............ CONSIDERAÇÕES FINAIS . 10 .......................... 3. surgiu como uma forma de as agências legais de vários países combaterem essas ocorrências ilegais. 1. como e por que utilizá-la). Metodologia adotada Pesquisar. A Perícia Forense Computacional. Trazer exemplificações de sua utilização. O surgimento e a disseminação da Internet têm intensificado ainda mais a ação de criminosos em todo o mundo. Buscar exemplos que ilustrem melhor sua utilização. definições e conceitos a respeito do tema abordado. Apontar sua aplicação (onde. em fontes confiáveis da literatura. explorando seus conceitos básicos. 1. Tema com delimitações O tema do seminário é a Perícia Forense aplicada ao meio computacional.2. 1. Pesquisar aspectos sobre a aplicação da Perícia Forense Computacional.1. uma ciência relativamente nova.4. 1 . Desenvolver um material visual (slides) que apresente de maneira objetiva e sintética o tema abordado. investigando esses casos a fim de punir os responsáveis e minimizar assim o impacto de suas atividades. Cenário Sabemos que os crimes e a realização de práticas fraudulentas e maliciosas ocorrem também no meio digital. INTRODUÇÃO 1.1. bem como as principais ferramentas utilizadas. características e principais elementos. Descrever suas principais características. mencionando também aspectos sobre a sua aplicação e trazendo exemplos baseados em ferramentas existentes. Objetivos Apresentar definições sobre a Perícia Forense Computacional e seus conceitos fundamentais. Definições Definições das palavras que compõem o termo “Perícia Forense” segundo o Novo Dicionário Aurélio da Língua Portuguesa 2004: Perícia (do latim peritia) 1. Mais de 90% dos dados armazenados em um computador – ou até mesmo servidores de Internet – não são utilizados durante o período de até 1 ano. interpretar e documentar evidências de um crime ou de violações realizadas por esse meio. Forense (do latim forense) 1. identificar. utilizando-se ou não de uma conexão com a Internet. Habilidade. na maior parte das vezes.1. 2. validar. 2.2. é acessar sempre os mesmos arquivos que são.2. tanto das aplicações quanto dos usuários do sistema. O destaque das atividades incomuns Pesquisas demonstram que. Perícia Forense Computacional A Perícia Forense Computacional é uma ciência que engloba todos os aspectos relacionados a crimes praticados por meio digital (ciber-crimes). Referente ao foro judicial. BASE CONCEITUAL 2. de maneira geral. 2 . analisar. Vistoria ou exame de caráter técnico e especializado. Seu principal objetivo é coletar. destreza. 2. a minoria. o comportamento comum. Judicial. 4) Dessa forma. impedindo assim que alguma aplicação utilize os arquivos ou outros recursos. programas e outros recursos repetidamente. 2. com a ordem crescente de acesso aos arquivos neles armazenados em relação ao tempo. Custódia Os dados originais utilizados para avaliação na análise forense de um sistema devem ser mantidos em seu estado puro.. Sejam eles programas ou arquivos de configuração não utilizados. já que são acessados os mesmos dados.. Padrões semelhantes emergem de PCs Windows e de outros sistemas desktop..).” (FARMER e VENEMA. as atividades menos comuns tendem.A tabela acima (FARMER e VENEMA. ou repositórios de arquivos de e-mail. Pensando nisso os especialistas consideram indispensável isolar o computador da rede e da utilização de usuários a fim de evitar que alguma atividade interfira no estado dos dados. Para eles o ideal é realizar uma cópia de todo o sistema para que a extração dos dados ocorra em um ambiente que não esteja em execução. sendo que qualquer análise 3 . “A grande maioria dos arquivos em servidores Web relativamente típicos não foi absolutamente utilizada. p. a manter vestígios das operações realizadas por um período de tempo mais longo. de notícias e dados etc. 4) apresenta o tráfego de rede de alguns dos mais populares servidores UNIX. p. as informações sobre operações mais recentes realizadas em atividades comuns substituem os registros das operações anteriores. fazendo com que os seus vestígios desapareçam. há uma grande quantidade de arquivos ‘juntando pó’. (.3. Por sua vez. p. preservando-se assim a evidência.” (FARMER e VENEMA. A tabela a seguir (FARMER e VENEMA. 8) 4 . p. 5) 2. o ciclo de vida de alguns tipos de dados.OOV). “Os dados originais permanecem protegidos em um estado puro. Isso é algo análogo a filmar o local do crime de um assassinato a fim de impedir que um vestígio seja destruído (. qualquer análise deve ser realizada em uma cópia dos dados do computador.deve ser realizada em uma cópia dos mesmos a fim de se evitar a adulteração. “Seguindo essa ordem de volatilidade há uma maior probabilidade de se preservar os detalhes mais efêmeros que uma coleta de dados pode destruir. Por isso é necessário capturar as informações de acordo com o ciclo de vida esperado para cada tipo de dado.. em vez de simplesmente capturar os efeitos colaterais da sua sessão de coleta de dados!” (FARMER e VENEMA.). e a partir de dela deve se realizar um cuidadoso planejamento para a coleta de dados em um sistema a ser analisado por uma perícia forense. e ela permite que você capture dados sobre o incidente em questão.4. 6) apresenta. Essa relação de tipo de dados X ciclo de vida é chamada ordem de volatilidade (order of volatility . em ordem crescente.. p. Ordem de volatilidade (OOV) Alguns tipos de dados possuem menor tendência do que outros a se corromperem quando é realizada uma coleta de dados em um sistema em execução. Ela é gerada por camadas sobre camadas de hardware e software. Confiabilidade das informações O principal objetivo da Perícia Forense Computacional é tirar conclusões baseadas em informações examinadas a partir de um sistema de computador. examinando cuidadosamente cada fragmento dela. Podendo-se evidenciar a 5 . 9) é buscarmos diversas fontes independentes sobre a mesma informação. Se um computador for invadido por um hacker. segundo os especialistas (FARMER e VENEMA. Mas como podemos saber se essas informações são mesmo confiáveis? Não seriam elas apenas aquilo em que um invasor quer que acreditemos? O ideal. p. p. 2. “Softwares podem mentir. Veja na figura a seguir um esquema de camadas (FARMER e VENEMA. 8). kernels de sistemas operacionais podem mentir e até firmwares dentro das unidades de disco podem mentir. por exemplo.” (FARMER e VENEMA. 8).5.2. gerando ilusões para o usuário do sistema que interage com a tela.6. p. qualquer uma dessas camadas pode ser adulterada. Ilusões em Camadas A imagem da tela de um computador não é um arquivo físico. 1. 3.4. Identificação Dentre os vários fatores envolvidos no caso. Preservação Um perito forense computacional experiente tem que ter certeza de que uma evidência extraída deverá ser adequadamente manuseada e protegida para se assegurar de que nenhuma evidência seja danificada. Mais uma vez frisando que deve-se sempre ser um profissional atento e cuidadoso na obtenção das evidências. 3.2.3. é extremamente necessário saber separar os fatos que possam vir a influenciar ou não um crime. 3. Análise É a pesquisa onde o investigador dá foco aos elementos relevantes ao caso em questão. pois todas as camadas de informação anteriores já foram realizadas.consistência das informações entre múltiplas fontes distintas podemos considerar a informação mais confiável. como um check list. 3. PRINCIPAIS CARACTERÍSTICAS 3. de acordo com as normas internacionais de padronização. seguindo toda uma metodologia e padrões de como se obter provas para apresentação judicial. para estabelecer uma relação na qual se faz um levantamento das ligações relevantes como datas.. dentre as quais foi estabelecida a comunicação eletrônica. Obtenção e Coleta de Dados Os procedimentos adotados na coleta de dados devem ser formais. nomes de pessoas etc. destruída ou comprometida pelos maus procedimentos usados na investigação e que nenhum vírus ou código malicioso seja introduzido em um computador durante a análise forense. as quais consiste em uma demonstração inquestionável dos vestígios e elementos da comunicação entre 6 . 7 . pelo juiz ou pelos advogados. sendo a inobservância das técnicas envolvidas um fator que pode tornar os vestígios digitais irrecuperáveis. muitas vezes. imprescindível que as agências criminais de nações distintas trocassem materiais de evidência entre si. O surgimento da Internet expandiu as possibilidades de crimes em meio computacional. APLICAÇÃO A aplicação dessa ciência exige os cuidados de um profissional especializado e experiente.5. sendo inseridas. Essas evidências podem servir como materiais probatórios em tribunais de justiça. Entende-se por evidência. 3. Desta forma. para poder minimizar o tempo e a quantidade de dados que deve desde obter até apresentar. pois nela consiste o enquadramento das evidências dentro do formato jurídico. No Brasil conta-se ainda com poucos pesquisadores na área e existem poucas normas estabelecidas. além das datas e trilhas dos segmentos de disco utilizados. A eliminação de fronteiras oferecida pela Internet facilita ainda a ocorrência de crimes eletrônicos onde a vítima e o criminoso encontram-se. em países diferentes. neste contexto. 4. O investigador precisa estar perfeitamente alinhado com os objetivos de cada etapa da metodologia da perícia. pois essas evidências podem ser extremamente frágeis e voláteis. Tornouse. portanto. qualquer tipo de informação armazenada ou enviada digitalmente que venha a comprovar uma prática ilegal em meio eletrônico. Apresentação É a fase que é chamada tecnicamente de “substanciação da evidência”. A Perícia Forense Computacional é um campo de pesquisa relativamente novo. o que vem obrigando as agências legais a se prepararem para investigar esses casos.as partes envolvidas e seu conteúdo. onde as leis criminais podem variar. é realizada a apresentação das mesmas. A seguir listamos as ferramentas inclusas: Grave-robber: utilizado para coleta de informações forenses. tornando possível o exame de dados pelo tipo de conteúdo. com o nome Sleuth Kit. Trata-se de um conjunto de utilitários que coletam e analisam dados. 5. muitos casos onde ela é empregada vem sendo divulgados. Mactime: produz um relatório cronológico de todos os métodos de acesso de arquivos por nome. reduzindo a fragmentação dos mesmos. A grande maioria dos casos se tratam de fraudes bancárias onde hackers invadem sistemas financeiros para desviar dinheiro e roubar senhas de clientes que realizam transações pela Internet. Contudo. Cria um mapa de disco. Entre outras. Existem ainda muitos outros que envolvem materiais de pornografia infantil (pedofilia). principalmente no Brasil onde existem poucos profissionais a exercendo.1. Ferramentas utilizadas por especialistas O mais amplamente utilizado kit de ferramentas forenses é o The Coroner’s Toolkit (TCT). no qual existem estatísticas de operações que envolvem ocorrências ilegais no meio cibernético.5.2. a Perícia Forense Computacional ainda é uma ciência relativamente recente. As ferramentas foram expandidas em 2004 por Brian Carrier. Casos onde a Perícia Forense Computacional foi empregada Como já foi mencionado anteriormente. que são compartilhados pelo meio digital por criminosos que atuam em vários países. no site da Polícia Federal. reconstroem arquivos e verificam arquivos e dados da memória em baixo nível. 8 . respeitando a ordem de volatilidade (OOV). Lazarus: reconstrói arquivos. EXEMPLIFICAÇÃO 5. desenvolvido por Dan Farmer e Wietse Venema em 1999. desde 2013. Caso CTRL ALT DEL Ocorrido em dezembro de 2006. principalmente a Caixa Econômica Federal. que iniciou em dezembro de 2004. muito semelhante às técnicas de perícias investigativas utilizadas em crimes convencionais. Estes programas eram disseminados através de e-mails (spam) com mensagens falsas. em uma operação que envolveu 215 policiais federais. Caso Galácticos: Operação que prendeu no dia 23 de agosto de 2006 integrantes de uma quadrilha que desviava dinheiro de contas bancárias através da Internet em Imperatriz-MA. onde uma quadrilha especializada em roubo de senha bancária pela Internet foi detida. sem dúvida. 39 pessoas foram presas no Estado do Pará. e também em sites de relacionamento como o Orkut. No total foram 65 prisões. Um homem de 33 anos foi preso em Volta Redonda-RJ por ter produzido. fitas e CDs contendo pornografia infantil. 6.A seguir. descobriu que eram utilizados programas do tipo Spyware para capturar senhas bancárias de correntistas de vários bancos. A investigação. É possível conhecer as características do ambiente de trabalho e entender o ambiente forense computacional como o local de um 9 . divulgado e compartilhado esses materiais no exterior via Internet. CONSIDERAÇÕES FINAIS A aplicação minuciosa de técnicas investigativas na computação forense é. 18 mandados de busca e apreensão em oito estados foram cumpridos com o objetivo recolher material de informática. separamos alguns podem ser citados: Caso Anjo da Guarda Ocorrido em junho de 2005. REFERÊNCIAS FARMER. adicionado ou excluído. IV Workshop de Segurança da Informação. Rio de Janeiro: Unirio. pp. pois os procedimentos têm que ser tecnologicamente adequados para garantir que toda a informação útil como prova seja obtida e também de uma forma a ser legalmente aceita de maneira a garantir que nada na evidência original seja alterado. Dan. TOLENTINO. 2006. C.dpf. Wietse.crime. Perícia Forense Computacional. GALVÃO. Ricardo K.. 2. M.gov. A grande abrangência da atividade forense computacional em diversas áreas que envolvem Segurança da Informação traz complexidade aos trabalhos a serem realizados na investigação de cada caso. Polícia Federal – Agência de Notícias: Estatísticas de Operações http://www. 2009. n. 7. 2. W. DA SILVA. Perícia Forense Computacional: teoria e prática aplicada.. L. dezembro de 2011). 10 . VENEMA. São Paulo: Pearson. Revista Tecnologias em Projeção (v. por isso há a necessidade de segui-la como forma de aperfeiçoar o trabalho pericial. P. MELLO.br/agencia/estatisticas/operacoes (Acessado em 05 de novembro de 2011). A validade técnica e jurídica das metodologias para recuperar dados de computadores envolvidos em incidentes de segurança tem se tornado fundamental. A. 32-37. Perícia Forense Computacional.