Capítulo 15 — Evidência e medição
Mapa da aula
Aula 15 publicada. Mapa, exemplo, EX043.
flowchart TD
N0["15.1 Confiabilidade"]
N1["15.2 Aquisição"]
N2["15.3 Verificação"]
N3["15.4 Cadeia de custódia"]
N4["15.5 Incerteza de medição"]
N5["15.6 Repetibilidade e reprodutibilidade"]
N6["15.7 Documentação"]
N7["Lacres e fotografias"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX043"]
Desenho lógico
flowchart LR
N0["15.1 Confiabilidade"]
N1["15.2 Aquisição"]
N2["15.3 Verificação"]
N3["15.4 Cadeia de custódia"]
N4["15.5 Incerteza de medição"]
N5["15.6 Repetibilidade e reprodutibilidade"]
N6["15.7 Documentação"]
N7["Lacres e fotografias"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX043"]
[15.1 Confiabilidade]
|
v
[15.2 Aquisição]
|
v
[15.3 Verificação]
|
v
[15.4 Cadeia de custódia]
|
v
[15.5 Incerteza de medição]
|
v
[15.6 Repetibilidade e reprodutibilidade]
|
v
[15.7 Documentação]
|
v
[Lacres e fotografias]
|
v
[Exemplo resolvido] --> [Exercício EX043]
Objetivos de aprendizagem
Você vai (1) explicar o que torna confiável uma evidência digital; (2) aplicar hashes e documentação para preservá-la; (3) medir e registrar corretamente a aquisição; (4) descrever a cadeia de custódia.
15.1 Confiabilidade
A evidência deve ser relevante, adquirida e preservada de modo confiável, e seu manuseio deve ser documentado. A ISO/IEC 27037 estabelece princípios para identificação, coleta, aquisição e preservação, incluindo a auditabilidade e a repetibilidade. Na prática, isso significa que cada etapa, da apreensão ao laudo, pode ser rastreada: quem fez o quê, com qual ferramenta e com que resultado. A auditabilidade permite que um revisor siga a trilha; a repetibilidade permite que alguém refaça uma etapa e obtenha o mesmo resultado. O registro de aquisição da ws-114 é o primeiro exercício de Leah para verificar se um registro real atende a esses princípios.
15.2 Aquisição
A imagem do disco da ws-114 é gerada através de um bloqueador de escrita. O SHA-256 da imagem é calculado durante a aquisição e registrado com o nome e a versão da ferramenta, o perito, o horário e o número de série do disco. Cada campo tem um motivo: a versão da ferramenta remete a comportamentos e defeitos conhecidos, o perito e o horário estabelecem quem agiu e quando, e o número de série liga a imagem a um único disco físico. Um hash calculado durante a aquisição, e não depois, fecha o intervalo em que a imagem poderia ter mudado sem que ninguém notasse.
15.3 Verificação
Antes da análise, o hash da cópia de trabalho é recalculado e comparado com o valor da aquisição. A coincidência mostra que a cópia não mudou. Se os hashes diferirem, a análise para até que a causa seja encontrada, seja uma cópia corrompida, seja um disco danificado. Leah também verifica depois de copiar a imagem para um novo dispositivo de armazenamento e antes de entregá-la a outro perito. Cada verificação é registrada com o horário e o valor do hash, para que o registro mostre uma sequência ininterrupta de coincidências desde a aquisição.
15.4 Cadeia de custódia
Um registro de custódia lista cada pessoa que teve o disco consigo, quando e por quê. Os lacres e seus números são registrados a cada transferência. Uma lacuna no registro, como uma noite em que ninguém sabe dizer onde estava o disco, dá à parte contrária argumentos para sustentar que ele pode ter sido alterado. O hash pode mostrar que a imagem não mudou, mas são os registros de custódia que mostram que o disco físico esteve sob controle. A equipe de Grace usa um lacre numerado e assina a cada entrega.
15.5 Incerteza de medição
Algumas medições têm incerteza: estimativas de defasagem do relógio, arredondamento de tamanhos de arquivo, resolução temporal. Os laudos as declaram. Na ws-114, a defasagem de 47 segundos veio de uma única fotografia do relógio do BIOS ao lado de uma referência, então sua precisão é de cerca de um segundo, e ela pressupõe que a deriva foi constante durante o período do incidente. Declarar os dois pontos permite que os leitores julguem quanto se pode confiar numa linha do tempo construída com horários corrigidos, sobretudo onde dois eventos estão próximos. Uma segunda medição em outro momento mostraria se a deriva foi estável.
15.6 Repetibilidade e reprodutibilidade
Repetibilidade: o mesmo perito obtém o mesmo resultado com o mesmo método. Reprodutibilidade: outro perito, com outra ferramenta validada, obtém resultados coerentes. Ambas aumentam a confiança. Na ws-114, Leah repete a extração da run key e obtém o mesmo valor; uma colega que usa outra ferramenta validada relata a mesma chave, os mesmos dados e o mesmo carimbo de tempo. A concordância entre ferramentas torna improvável que um defeito de ferramenta tenha produzido o achado. Quando as ferramentas discordam, a diferença é investigada e explicada antes de o achado ser relatado.
15.7 Documentação
As anotações são contemporâneas, datadas e assinadas ou atribuíveis de outro modo. Contemporâneas significa escritas no momento, e não reconstruídas de memória dias depois. O caderno de Leah registra cada ação com um horário, como "10:40 cópia de trabalho verificada, hash coincide". Se uma entrada é corrigida, o original continua legível, com a correção ao lado. Essas anotações são a base de qualquer declaração posterior que lhe peçam sobre o trabalho, talvez muito depois de os detalhes terem se apagado da memória. Anotações em papéis avulsos ou em mensagens pessoais de conversa não atendem a esse padrão.
Lacres e fotografias
Os sacos de evidência física são fechados com lacres numerados que evidenciam violação. Fotografias do dispositivo, de suas etiquetas e do lacre em cada etapa acrescentam prova visual do estado e da continuidade. Leah confere se os números dos lacres nas fotografias coincidem com o registro de custódia.
Exemplo resolvido
Leah revisa o registro de aquisição da ws-114: ferramenta e versão, SHA-256, perito, horários de início e fim, modelo do bloqueador de escrita, número de série do disco. Falta um campo: a defasagem do relógio da estação. Ela pergunta à equipe de Grace; eles tinham fotografado o relógio do BIOS ao lado de um relógio de referência, o que mostra que a ws-114 estava 47 segundos atrasada. A defasagem é acrescentada ao registro.
Caso sintético. O registro é inventado.
Erros e limites
Os hashes provam que as cópias coincidem; não dizem nada sobre se o dispositivo certo foi apreendido ou se a aquisição foi completa.
Exercícios
- EX043 — Campos da aquisição. Liste cinco campos de um bom registro de aquisição. Rubrica: 3 = ferramenta/versão, hash, perito, horários, bloqueador/número de série; 2 = três; 1 = um; 0 = nada.
- EX044 — Defasagem do relógio. O que faltava, e como foi obtido? Rubrica: 3 = a defasagem do relógio; foto do BIOS ao lado da referência, 47 s de atraso; 2 = parcial; 1 = vago; 0 = nada.
- EX045 — Repetir vs reproduzir. Distinga repetibilidade de reprodutibilidade. Rubrica: 3 = mesmo perito/método vs outro perito/ferramenta; 2 = parcial; 1 = são iguais; 0 = nada.
Síntese
A evidência confiável nasce de aquisição documentada, cópias verificadas, registros de custódia e incerteza declarada.
Continue estudando — capítulo 15 de 40
← Capítulo 14 (rascunho) · Índice de capítulos do curso · Capítulo 16 (rascunho) →