É certo que a recepção de evidência deve ser um processo formalizado, onde o instrumento que irá garantir a integridade de todo processo é a cadeia de custódia. Este instrumento garante que a evidência recebida seja transferida adequadamente de um custodiante à outro, de tal forma que a garantia de disposição e recebimento asseguram a produção de documento que garantirá a transferência adequada de evidência entre as partes.

No processo de recebimento da evidência, é importante considerar a verificação das condições do estado da evidência recebida, assim como a conferência de informações como marca, modelo, número de série e demais características qualificadoras, assim como identificações atreladas à preservação como hashes.

O processo de análise é algo de demandará a utilização de programas ou sistemas forenses, sejam os mesmos licenciados (que exigem do profissional investimento, pois usar uma versão de programas não licenciados não é uma boa opção), os programas open source, que podem ser utilizados sem a existência de aquisição do mesmo, entretanto em ambos os casos, é importante que o profissional dedique parte do seu tempo ao aprendizado ao uso de tais programas.

Há uma solução que recomendo aos principiantes denominada FTK Imager, pois é uma solução open source muito utilizada por profissionais que atuam na prática forense, trazendo entre suas funções a preservação de evidências (por meio de processo de clonagem), possibilitando a preservação de dados de mídias removíveis, discos rígidos e até mesmo memória RAM.

Outra utilização do FTK Imager é a identificação de arquivos (incluindo arquivos e pastas já eliminadas e não sobrescritos) que possibilitarão aos profissional ter o seu primeiro contato com a prática forense computacional, lembrando que estas funções mencionadas aqui nesta resenha não são exaustivas à descrição contida aqui.

Em minha carreira na área pericial informática, não podemos afirmar que uma única solução forense será suficiente nos processos de análise, onde devemos estar atentos às necessidades de adquirir soluções de mercado, se necessário, investindo-se não somente à compra de licenças ou mesmo dispositivos forenses, mas atentar-se ao investimento de tempo ao aprendizado e uso prático de tais ferramentas, identificando inclusive, suas potenciais limitações.

No início de minha carreira, evitei fazer investimentos à aquisição de soluções, pois o profissional deve estar atento aos benefícios à aquisição de ferramentas, avaliando se o benefício em tê-las se concretizará em demandas de potenciais clientes, já que a prática forense exige que alguém (seja empresas ou pessoas físicas), venham a procurá-lo para a realização das etapas de identificação, preservação, análise e documentação de evidências.

Sendo esta uma atividade remunerada pelo se contratante, deve-se estar ainda atento ao tempo investido em cada uma destas etapas e sua respectiva valoração (na ordem de homem/hora) que poderá ser concretizado em proposta comercial e técnica, onde seu potencial cliente irá avaliar antes da aprovação à realização desta atividade. A avaliação de custo x benefício é algo particular para cada potencial cliente e você deve estar atento se seus préstimos são de valia à proporcionalidade do interesse de seu potencial contratante.

O respeito que o mercado de trabalho tem ao assistente técnico e/ou perito são fundamentais à decisão de aprovação de sua proposta, pois esta é uma decisão que envolve além dos investimentos financeiros à necessidade de se confiar em alguém para o acesso de dados e informações muitas vezes de cunho restrito e/ou confidencial. Para isto, espera-se que você leitor, desenvolva a percepção de lisura tão exigida nesta área de atuação profissional.

Esta resenha é a primeira de uma série de duas resenhas, onde compartilharei um pouco destes desafios que poderão ser os mesmos que você, leitor, poderá também ter que enfrentar em uma prática pericial, pois somente a experiência e a atualização profissional nos forjam às necessidades do dia-a-dia.

Antes mesmo de mencionar situações periciais à qual enfrentei em termos de análise, é necessário mencionar os desafios atrelados aos preparativos relacionados à identificação e preservação de evidências, onde em ambiente de campo, nem sempre estamos preparados ao que iremos nos deparar, começando pela disponibilidade de conexão dos dispositivos utilizados no processo de preservação de evidências à energia elétrica.

O ambiente de campo, em um cenário de identificação de evidências é um ambiente desconhecido para qualquer profissional que venha a se dispor a acompanhar e/ou realizar ações de busca e apreensão (algo comum às atividades periciais onde sou denominado perito do Juiz), entretanto há situações que as evidências também estão dispostas à preservação em delegacias, onde o ambiente também pode ser considerado como desconhecido pelo profissional que atua na área pericial, onde torna-se necessária a disposição de adaptadores de energia elétrica à extensores de tomadas para que seja possível a conexão de diversos equipamentos eventualmente necessários à ação de preservação de evidência, caso seja necessário.

É correto afirmar que a preservação de dados de um disco é uma ação que exige disponibilidade contínua de energia elétrica, além de ambiente protegido fisicamente para que todo o processo seja realizado de forma adequada, com isto, é importante que o ambiente em questão não tenha instabilidade no fornecimento de energia elétrica ou até mesmo picos de energia que podem não só comprometer as mídias e respectivos dados relacionados ao processo de preservação, assim como os dispositivos trazidos e utilizados pelo perito ou assistente técnico.

Em ambiente de campo, o profissional ainda deve se preparar para ter consigo, ferramentas que possibilitarão extrair discos rígidos de respectivos computadores identificados como objeto potencial de preservação, neste caso, a experiência em conhecer diversos modelos e fabricantes facilita a adoção da melhor forma para a extração do disco rígido. Há casos que nem sempre esta ação é a mais recomendada, já que poderemos ainda nos deparar com evidências onde o dispositivo estará ligado, onde deve-se avaliar a existência ou não de mecanismo que propicie o bloqueio de acesso ao computador por meio de senha.

Aos casos, onde a evidência se encontra energizada e sistema operacional funcional, deve-se buscar medidas, se possível, que visam a extração e preservação de evidências voláteis. Confesso que neste cenário, são poucos os dispositivos que encontro em ambiente de campo que os dispositivos estão ligados, e nos cenários onde o mesmo se encontra operacional, são poucos que o acesso ao mesmo não se encontra protegido por uma senha (nestes casos o fornecimento da senha dependerá do informe voluntário por parte do proprietário deste equipamento), algo que não é em sua maioria informado.

Em adição à estas necessidades, torna-se claro que o perito ou assistente técnico deve ter consigo uma mídia de destino ao processo de preservação de dados em volumetria no mínimo igual e/ou superior que possibilite a preservação de todas as evidências.

Elementos como máquinas fotográficas, blocos de anotação, réguas numeradas, invólucros destinados à preservação de evidências são itens essenciais ao profissional.

Apesar deste breve relato, nesta resenha, e importante que você, profissional na área pericial poderá e deverá se deparar com muitos outros desafios, se questionando muitas vezes a melhor forma de atuar em um cenário de preservação de evidências desconhecido.

Em diversas investigações, um disco rígido é o elemento principal (e único) que será submetido à uma preservação, resultando em uma análise que produzirá um laudo compreensível por leigos em tecnologia e informática.

O cenário que envolve uma perícia deve considerar componentes em tecnologia adjacentes que poderão vir a subsidiar informações complementares, de tal forma que irá preencher lacunas à ausência de elementos restritos e contidos em um disco rígido. Exemplos destes componentes são registros produzidos por roteadores, firewall, switches, filtros de conteúdo (incluindo os filtros de navegação internet e filtros de AntiSpam), serviços como DHCP, antivírus entre outros, sendo esta uma relação não exaustiva. Estes registros, em geral são mantidos em repositórios destinados ao armazenamento destas informações e podem estar dispostos de forma proporcional à área disponível de guarda destes registros e inversamente proporcional à velocidade de geração e manutenção dos denominados logs.

Entender a arquitetura de rede e compreender o funcionamento de aplicações e sistemas, auxiliará certamente a correta determinação à delimitação dos componentes que deverão ser escolhidos como meios complementares que irão apoiar a atividade de análise pericial em um determinado cenário.

Isto não é fator único deste processo, já que o profissional que atua em perícia forense computacional deve ser capaz de identificar em cada um destes dispositivos o local de armazenamento destas informações determinando a melhor forma de obtê-lo com objetivo de garantir a preservação dos após a ação de coleta de evidências.

A preservação deve ser realizada de forma física, através de restrição de acesso à evidência preservada e deve ser realizado através de forma lógica por meio de clonagem (cópia bit-a-bit) e controle de acesso lógico ao conteúdo preservado, caso o sistema venha a ser armazenado em sistemas informatizados.

A materialidade ainda é um processo resultante de uma análise, que irá selecionar os dados relevantes de tal maneira que os mesmos sejam relevantes ao escopo pericial. Oferecer contexto ao dado identificado em pericia é fundamental para que isto se transforme em informação útil à produção de um laudo pericial.

Saber ainda descrever a evidência de forma clara em laudo, possibilitará compreensão à materialidade desejada, possibilitando a devida compreensão da escolha dos componentes à delimitação do escopo e justificando a volumetria de esforços em todo o processo que resultará no apontamento em laudo da existência ou ausência de elementos relacionados à justificativa da realização da perícia informática.

Nada disto será considerado válido, se por algum momento, forem incluídos no conjunto de evidências componentes não lícitos (ou seja, obtidos à margem da legalidade), onde denominados para este cenário a existência de evidência nula, que pode vir a comprometer toda a atividade e processo pericial.

Portanto, saiba das implicações e a importância desta que é uma das etapas iniciais da atividade pericial, pois isto pode vir a comprometer (para sempre) uma atividade pericial, caso o mesmo não seja realizado com a devida diligência.

A carreira acadêmica é um dos primeiros pontos a serem considerados, sendo que um profissional somente será capaz de se tornar um especialista na identificação, coleta, preservação e análise de evidências informáticas se o mesmo for especialista em pelos menos uma área de atuação nos meios informáticos.

Em geral é importante que o profissional conheça (seja academicamente, seja na prática) aspectos atrelados à arquitetura de computadores e redes. Isto não significa que preciso decorar o conteúdo do livro “Rede de Computadores” do Tanenbaum, entretanto, é importante que o profissional tenha bons fundamentos em rede, pois certamente este conhecimento será útil à reconstituição de eventos mantidos em sistemas como firewall, switches, DHCP, roteadores e demais outros elementos de comunicação.

Além do conhecimento em redes, espera-se que o profissional saiba como executar a extração de registros em sistemas operacionais. Em geral, os sistemas serão Windows, Linux e/ou Unix, iOS e Android, sendo que estes últimos sistemas advém do Linux e portanto tratamos basicamente de conhecer sistemas advindos do Windows ou Linux.

Será ainda muito importante ao profissional que venha a atuar em ações investigativas conhecer as diversas aplicações que envolvem os meios informáticos, como correio eletrônico, bancos de dados, sistemas de hospedagem web, aplicações PHP, ASP .NET, Java, entre outros.

Uma formação técnica (tecnólogo) pode ser um dos caminhos para esta longa jornada, entretanto uma graduação na área de sistemas pode ser uma melhor escolha, já que o candidato à perito pode vir a encontrar na graduação a diversidade de conteúdo que formará as bases do profissional que em algum dia se encontrará apto a atuar em investigações nos meios eletrônicos.

Atualmente é importante ainda que o profissional goze dos conhecimentos em segurança da informação, possibilitando um melhor amadurecimento profissional, pois com conhecimentos nesta área, certamente o julgamento profissional se baseará nas melhores práticas à realização de práticas forenses.

Uma pós-graduação com foco na área, assim como uma formação de curta duração possibilitará ainda complementar esta capacitação. Hoje há excelentes formações que preparam o profissional à atuação no mercado investigativo.

Não devemos ainda nos esquecer que é imprescindível ao profissional desta área a habilidade em escrita. Portanto escrever e expressar-se bem em uma redação, são essenciais ao profissional que atue nesta área.

Atualizar-se sempre é uma condição essencial para o profissional que atue nesta área que está em franca expansão. E em dias de crise, conhecer algo a mais, sempre será um diferencial para aumento de chances à sua empregabilidade.

Se este é o caminho a ser trilhado por você, comece a se planejar ainda hoje!

A verdade, é que uma investigação forense na prática nem sempre conta com a materialidade suficiente em meios informáticos para que sejamos capazes de reconstituir todos os eventos e tão pouco o cenário que está relacionado com a atividade pericial.

Indícios importantes ao aspecto investigativo, estão atrelados à elementos e rastros gerados e mantidos ao ambiente de rede, além do conhecimento mínimo da topologia de comunicação. Somado a isto, ainda temos a necessidade de coletar registros em sistemas operacionais e aplicações, sem contar com potenciais evidências do ambiente físico, onde se incluem sistemas de controle de acesso à ambientes como catracas e sistemas de monitoramento por câmeras.

Portanto, uma perícia se baseia em se possuir uma infraestrutura já adequada à geração e manutenção de tais registros, onde há requisitos essenciais de estampa de tempo que possibilitarão o estabelecimento de relações entre os diversos rastros possibilitando a construção de um parecer ou laudo que explicará a contento o que foi identificado em todo o processo investigativo.

Todas estas ações ainda devem ser realizadas de tal forma a resultarem em insumos aceitos do ponto de vista legal e realizados por meio de ferramentas (hardware, software e metodologia) reconhecidos pelo mercado investigativo. Há muitas opções de soluções Open Source que auxiliam os profissionais que atuam na perícia em meios informáticos.

Normalmente uma atividade como esta consome tanto recursos à identificação, coleta e preservação de evidências, quanto às ações de análise e documentação, este último em geral conhecido como laudo pericial.

Os esforços ainda poderão se estender à complementação investigativa, se o mesmo vier a resultar em ações legais que indiquem demais evidências em demais meios informáticos. Portanto, muito distante do que se identifica em uma série televisiva a investigação forense requer empenho, atenção, diligência, tenacidade e demais outros atributos que visam a produção de um documento legível e compreensível por leigos em tecnologia.

Nos lembremos ainda que toda a ação investigativa, requer reserva por parte de quem atua em ações periciais e, portanto, diferente do que se identifica na série CSI Cyber, estas atividades ocorrem muitas vezes em bastidores, em dias, noites e até mesmo madrugadas de forte e intenso trabalho.

Se você leitor, se interessa por esta área, certamente se interessará no conteúdo da próxima resenha, intitulada “Carreira Investigativa na investigação forense”. Quem sabe se seu futuro está nesta carreira, que está muito além do que mostra a ficção.