Este tipo de material é muito útil para treinamentos de grupos de investigação (de forças da lei ou corporativos) e para adequação dos processos já existentes internamente na empresa.
Há poucas horas atrás, quando fazia minha varredura diária de informações ligadas à forense computacional e resposta a incidentes, encontrei no ótimo blog do Lance Mueller uma árvore de decisão para o processo de aquisição (ou coleta/imagem) de HD (clique para ampliar):
Como pode ser visto, o fluxo trata desde o primeiro momento quando o perito encontra a máquina até a validação (checagem do hash criptográfico SHA256/SHA1/MD5) da imagem (.dd/.e01) feita.
Alguns pontos merecem destaque:
1 - Não são tratadas as informações de coleta de dados voláteis (ex: memória), mas o autor prevê um outro flowchart para isto (Update 13/12/2010: o autor já publicou um fluxo incluindo a aquisição de dados voláteis)
2 - A decisão "Can you turn off" envolve uma série de possibilidades, que incluem - mas não se limitam - a:
- Preocupação com a disponibilidade da máquina (serviço financeiro/crítico/etc);
- Presença de criptografia de disco;
- Presença e atividade de malware;
- Análise de conexões estabelecidas;
3 - O autor sugere a utilização do FTK Imager ou do Encase WinAcq para aquisição de disco no caso da máquina não poder ser desligada, mas outras alternativas mais rápidas, stealth e modernas (remotas) podem ser utilizadas, como o a aquisição através da instalação automática de agentes via rede com o FTK (versão 3.0+) ou com o Encase Enterprise (ou FIM).
Com o objetivo de diferenciar a coleta presencial da remota, um exemplo de um processo simplificado de coleta remota pode ser visto na imagem abaixo (clique para ampliar)
E já que o assunto veio à tona, seguem alguns outros pontos a se considerar durante o processo de aquisição/coleta de evidências:
- Autorização para análise preliminar e para agir: Da mesma forma como é preciso autorização para coleta e análise remota das máquinas (análise preliminar), é necessária a autorização para coleta física de um disco.
- Testemunhas: não é um requisito obrigatório para condução da coleta física de evidências digitais. Dessa forma caso o analista que realiza a aquisição estiver acompanhado de outro colaborador da empresa/órgão como por exemplo, segurança patrimonial este pode ser uma testemunha.
- Identificação dos itens coletados: deve ser feito um relatório onde constem os dados dos itens coletados (principalmente discos rígidos), com suas características técnicas exclusivas, como modelo, número de série, capacidade, etc.
- Geração das Imagens (evidência digital duplicada): na geração das imagens não deve ser feita a correção de erros, já que estes blocos podem ser utilizados para ocultação de informações.
- Validação da aquisição: Deve ser feita ao final da aquisição os cálculos dos valores de hashes (MD5 e SHA1) do disco original coletado e da cópia obtida. Essas informações devem constar do relatório final.
- Armazenamento da Evidência: Após a aquisição e validação da evidência, as informações coletadas devem ser tratadas como confidenciais e armazenadas de forma condizente. Áreas restritas em servidores para armazenagem dos arquivos, estações de trabalho restritas para análise dos mesmos e armários/salas protegidas para armazenagem de discos com essas informações devem ser criados para que isso seja possível.
Além disto, durante todo o processo, os princípios da evidência digital (*) devem ser respeitadas:
- As ações tomadas durante o exame pericial não devem alterar as evidências;
- A cadeia de custódia das evidências deve ser montada, relatando o nome da pessoa que está de posse da evidência, data, hora e atividades executadas;
- Todas as atividades relacionadas com a coleta, acesso, armazenamento ou transferência da evidência digital devem ser documentadas (trilhas de auditoria);
- As cópias devem ser autenticadas por meio de assinaturas criptográficas ;
- Jamais se deve confiar no sistema analisado; e
- Para geração das cópias, as mídias deverão estar devidamente saneadas (wipe).
* - SWGDE - Scientific Working Group on Digital Evidence
