Capítulo 50 — Defesa final

Capítulo 50 — Defesa final

Mapa da aula

Aula 50 publicada. Mapa, exemplo, EX148.

flowchart TD
  N0["50.1 Apresentação"]
  N1["50.2 Perguntas técnicas"]
  N2["50.3 Perguntas periciais"]
  N3["50.4 Perguntas éticas"]
  N4["50.5 Lidando com o desconhecido"]
  N5["50.6 Resultado"]
  N6["50.7 Reflexão"]
  N7["50.8 Depois da formatura"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX148"]

Desenho lógico

flowchart LR
  N0["50.1 Apresentação"]
  N1["50.2 Perguntas técnicas"]
  N2["50.3 Perguntas periciais"]
  N3["50.4 Perguntas éticas"]
  N4["50.5 Lidando com o desconhecido"]
  N5["50.6 Resultado"]
  N6["50.7 Reflexão"]
  N7["50.8 Depois da formatura"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX148"]

[50.1 Apresentação]
    |
    v
[50.2 Perguntas técnicas]
    |
    v
[50.3 Perguntas periciais]
    |
    v
[50.4 Perguntas éticas]
    |
    v
[50.5 Lidando com o desconhecido]
    |
    v
[50.6 Resultado]
    |
    v
[50.7 Reflexão]
    |
    v
[50.8 Depois da formatura]
    |
    v
[Exemplo resolvido] --> [Exercício EX148]

Objetivos de aprendizagem

Você vai (1) apresentar a tese de engenharia à banca; (2) responder a perguntas técnicas, periciais e éticas; (3) demonstrar o sistema; (4) refletir sobre o percurso de cinco anos.

50.1 Apresentação

Vinte minutos: problema, requisitos, projeto, validação, resultados do piloto, limites, contribuição. Uma demonstração ao vivo de cinco minutos com itens sintéticos mostra a entrada, o bloqueio pela verificação, a detecção de adulteração da cadeia e a verificação da exportação. Vinte minutos só comportam o essencial, então Priya constrói a apresentação em torno da cadeia de evidências que vai do problema ao resultado, e não da história do projeto. A demonstração ao vivo é ensaiada várias vezes no notebook da apresentação, com uma gravação de reserva caso algo falhe. A detecção de adulteração é mostrada editando um registro diante da banca e rodando a verificação, o que torna concreta a ideia principal.

50.2 Perguntas técnicas

"Por que SHA-256 e não uma função mais nova?" Amplamente padronizada, suportada por ferramentas validadas e por vetores publicados; o EvidenceDesk guarda o algoritmo junto com cada digest, para que outros possam ser acrescentados. "Por que não uma blockchain?" Uma cadeia de hashes com ancoragem externa dá evidência de adulteração para um laboratório sem a complexidade do consenso distribuído. Boas respostas tratam do raciocínio, e não apenas da escolha. Sobre o SHA-256, Priya observa que registrar o algoritmo junto com cada digest significa que a mudança para outra função não invalidaria os registros antigos. Sobre a blockchain, ela explica que o consenso distribuído resolve a confiança entre muitas partes que não confiam umas nas outras, enquanto o problema de Northfield é detectar mudanças dentro de uma única organização, o que a ancoragem externa já resolve.

50.3 Perguntas periciais

"Como um perito da defesa contestaria os seus registros?" Questionando a ancoragem, a exatidão do relógio ou as exceções; Priya mostra o procedimento das âncoras, a verificação de desvio e os registros de conciliação das exceções. A pergunta convida Priya a atacar o próprio sistema, o que mostra se ela entende os seus pontos fracos. Ela nomeia as contestações realistas, em vez de afirmar que não há nenhuma, e para cada uma mostra o registro que a responde. Um membro da banca insiste nas exceções durante a queda de energia; ela mostra os formulários em papel digitalizados, as notas de conciliação e a conferência por uma segunda pessoa em cada uma delas.

50.4 Perguntas éticas

"Os peritos se sentiram monitorados?" A pesquisa foi voluntária e anônima; os logs registram ações sobre as evidências, o que é prática exigida, e não monitoramento pessoal. A distinção entre registrar ações sobre as evidências e monitorar pessoas importa para a confiança da equipe. Os logs de custódia existem para proteger as evidências e são prática esperada nos laboratórios periciais. O EvidenceDesk não registra teclas digitadas, tempo ocioso nem medidas de produtividade, e os seus relatórios não são usados em avaliações de desempenho, o que o laboratório confirmou por escrito antes do início do piloto. Priya apresenta essa confirmação à banca.

50.5 Lidando com o desconhecido

Perguntada sobre o desempenho em casos de 50 TB, Priya diz que não mediu e explica como mediria. Admitir que não mediu algo é mais forte do que chutar, porque um chute que se mostrasse errado lançaria dúvida sobre as suas outras respostas. Ela descreve o método: um conjunto de dados sintético de 50 TB dividido entre discos, cronometrando as filas de ingestão e de verificação e conferindo se a memória se mantém constante. A sua aritmética de capacidade dá uma estimativa grosseira do tempo de leitura, que ela oferece claramente rotulada como estimativa.

50.6 Resultado

A banca pede correções menores: esclarecer a tabela de estatísticas das exceções. Correções menores significam que a tese é aprovada assim que as mudanças forem feitas, sem outra defesa. A tabela de exceções misturava numa mesma coluna as contagens do piloto e as do ensaio de falha, o que confundiu dois membros da banca. Priya a divide em tabelas separadas, com títulos claros, e a supervisora dela confirma a revisão antes da entrega final. A banca também sugere duas mudanças de redação no capítulo de limitações, que ela faz ao mesmo tempo, registrando-as na carta de correções.

50.7 Reflexão

O cálculo estimou o tempo de geração das imagens; a matemática discreta estruturou os filtros; a arquitetura decodificou os carimbos de data e hora; a ética moldou a decisão sobre o fornecedor; a engenharia de sistemas definiu as interfaces; cada disciplina inicial reapareceu no EvidenceDesk. A lista mostra como as disciplinas anteriores se transformaram em ferramentas concretas: as estimativas do tempo de geração das imagens se apoiaram em taxas e aritmética; a lógica dos filtros usou conjuntos e predicados; decodificar os carimbos de data e hora do sistema de arquivos exigiu conhecer formatos binários; a decisão contra um produto de fornecedor não auditável se apoiou na ética profissional. Priya observa que as disciplinas que achou mais áridas na época acabaram sendo as que ela mais usou no projeto final.

50.8 Depois da formatura

Northfield mantém o EvidenceDesk funcionando, com o responsável de TI como dono, e agenda a revalidação. Um sistema que sobrevive a quem o construiu é a melhor evidência de que o trabalho de manutenibilidade valeu a pena. O responsável de TI roda as verificações diárias, lança as versões e agenda a revalidação para a próxima atualização do gerador de imagens. O dossiê e a documentação do EvidenceDesk ficam em Northfield, onde a equipe e os auditores futuros podem acompanhar como o sistema foi projetado, testado e aprovado. Ela deixa seus contatos para perguntas. A primeira revalidação é marcada para dentro do ano, e o responsável de TI a registra no log de mudanças.

Exemplo resolvido

Durante a demonstração, um membro da banca edita um arquivo de custódia num editor de texto. Priya roda a verificação: o elo quebrado é relatado na entrada editada, e a comparação com a âncora o confirma. Ela então mostra o caminho de correção adequado, que acrescenta uma entrada e mantém a cadeia intacta.

Caso sintético. A defesa é inventada.

Erros e limites

Uma demonstração mostra o comportamento com entradas escolhidas; os registros de validação sustentam a afirmação mais ampla.

Exercícios

• EX148 — Pergunta sobre blockchain. Como Priya respondeu a "por que não uma blockchain?" Rubrica: 3 = uma cadeia de hashes ancorada basta para um laboratório, sem a complexidade do consenso; 2 = parcial; 1 = desdenhosa; 0 = nada.
• EX149 — Resposta ao desconhecido. Como responder a uma pergunta sobre algo não medido? Rubrica: 3 = admitir que não mediu; explicar como medir; 2 = parcial; 1 = chutar; 0 = nada.
• EX150 — Adulteração na demonstração. O que a demonstração de adulteração ao vivo mostrou? Rubrica: 3 = elo quebrado na entrada editada, a âncora confirma, caminho de correção adequado; 2 = parcial; 1 = vago; 0 = nada.

Síntese

Defenda com demonstrações, registros e limites honestos; todo o currículo converge no sistema final.

Continue estudando — capítulo 50 de 50

← Capítulo 49 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →

Resoluções

Respostas-modelo para EX001–EX150. Priya Nandakumar, Hugo Brandt, o Kestrel Institute of Technology, o Northfield Regional Forensic Lab, o EvidenceDesk e todos os valores são sintéticos. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.

EX001. (100 − 40) GB ÷ (15 − 5) min = 6 GB por minuto.

EX002. O disco de origem pode estar encontrando setores ilegíveis e tentando de novo, ou o computador hospedeiro ou o barramento USB pode estar disputado por outro trabalho.

EX003. A quantidade total de dados copiados ao longo daquele intervalo.

EX004. I ∩ K: arquivos que são de interesse, mas correspondem ao conjunto de conhecidos, de modo que a filtragem os retira da revisão.

EX005. Há mais entradas possíveis do que as 2^256 saídas, então, pela casa dos pombos, algumas entradas compartilham um resumo; mas ninguém consegue encontrar um par assim na prática, de modo que as verificações de integridade continuam sólidas.

EX006. 8.000 − 5.500 = 2.500 arquivos restam para revisão.

EX007. O TRIM informa à unidade que os blocos estão livres, e seu controlador pode apagá-los em segundo plano, removendo o conteúdo excluído.

EX008. Primeiro o cache da CPU, depois a RAM, depois o disco.

EX009. Registrar os dois valores de hash, os horários em que foram obtidos e a causa provável (coleta de lixo do controlador), mantendo as duas imagens.

EX010. A cópia inalterada deu MATCH e a cópia com um bit invertido deu DIFFER, porque qualquer mudança produz um resumo diferente.

EX011. O modo texto pode traduzir quebras de linha ou decodificar bytes, de modo que os bytes com hash calculado não são os bytes do disco.

EX012. Que a aquisição capturou tudo o que havia na origem; ele mostra apenas que a cópia não mudou desde o cálculo do hash.

EX013. O horário de criação é uma observação lida do sistema de arquivos; "baixou um malware" é uma inferência que exige evidências da intenção e da natureza do arquivo.

EX014. "Um hash é uma impressão digital calculada a partir dos dados, e mudar um único bit dá uma impressão digital diferente."

EX015. Ela declara com exatidão o horário, o arquivo, a pasta e a conta e evita afirmar quem agiu ou por quê, o que a evidência não mostra.

EX016. Cresce cinco casos por mês — cerca de 60 por ano —, porque as chegadas excedem as conclusões.

EX017. Três anos, já que o tamanho dobrou de 0,5 para 1 TB nesse período.

EX018. O que o modelo prevê, as premissas por trás dele e quanto ele pode errar.

EX019. LR = 0,90 ÷ 0,05 = 18.

EX020. Ela transforma P(E | não aberto) em P(não aberto | E), a falácia do promotor, ignorando as probabilidades a priori.

EX021. As probabilidades a priori diferem (0,1 contra 0,5); a mesma LR as atualiza para probabilidades a posteriori diferentes, e é por isso que os peritos relatam apenas a LR.

EX022. 2023-08-21 às 00:15:49.910732 UTC.

EX023. O script leu o FILETIME em big-endian; trocar para little-endian deu uma data plausível que coincidiu com a de uma segunda ferramenta.

EX024. O relógio do computador pode ter estado errado ou ter sido alterado deliberadamente, de modo que o valor armazenado reflete o relógio, não a realidade.

EX025. Ela capturou o erro de permissão, registrou em log o arquivo e o motivo, processou os arquivos restantes e relatou 199 com hash calculado e 1 com falha.

EX026. Registrar o hash e o horário de modificação de cada entrada antes da execução e verificar que estão idênticos depois.

EX027. Um resumo hexadecimal sozinho não diz se é MD5 ou SHA-256; rotulá-lo evita comparar valores incompatíveis.

EX028. Ao tribunal; o dever é auxiliá-lo com imparcialidade, independentemente de quem dá as instruções ou paga.

EX029. Recusar a condição, registrar a oferta no seu registro de conflitos e informar o supervisor, e então avaliar com critérios fixados previamente.

EX030. Baterias de lítio danificadas podem superaquecer ou pegar fogo, por isso precisam de manuseio e armazenamento seguros.

EX031. Os registros de fluxo guardam apenas pontos de extremidade, horários e volumes e são compactos; as capturas completas também registram o conteúdo da carga útil, mas são grandes e mais intrusivas.

EX032. Que o host pediu a resolução de um nome num dado horário; não que depois se conectou ou trocou dados.

EX033. A tradução de endereços e as redes compartilhadas põem muitos usuários atrás de um só endereço, e um endereço marca um ponto de extremidade de dispositivo, não quem o usou.

EX034. As categorias sistema de arquivos, conteúdo, metadados, nome de arquivo e aplicação.

EX035. Executar qualquer comando altera o conteúdo da memória, os horários de acesso e os logs daquele sistema, de modo que a evidência deixa de estar exatamente como foi encontrada.

EX036. Se e como o prefetch registra execuções depende da versão e da configuração do sistema operacional, por isso o achado só é interpretável com esse contexto.

EX037. A exclusão costuma marcar o espaço como livre; o conteúdo fica nas páginas livres ou no log de escrita antecipada até ser sobrescrito ou até o banco de dados passar por vacuum.

EX038. Uma correção é uma nova linha que referencia a original; a original nunca é sobrescrita.

EX039. Listadas à parte das mensagens ativas, rotuladas como recuperadas do WAL, com a ressalva de que podem não refletir a conversa final.

EX040. "A ferramenta deve calcular o hash de uma imagem sintética de 100 GB em menos de 20 minutos na estação de trabalho de referência."

EX041. Descartar eventos em silêncio poderia remover evidências de uma linha do tempo e mudar as conclusões.

EX042. Toda mudança que possa afetar os resultados, as versões afetadas pelos defeitos corrigidos e as limitações conhecidas.

EX043. Integridade: depois de gravadas, as imagens não podem ser alteradas, de modo que seu conteúdo permanece como foi adquirido.

EX044. Para cada técnica de adversário, ela consulta as fontes de dados e os artefatos que a revelariam, o que orienta o que coletar.

EX045. Para que não possam ser abertas nem executadas por acidente na máquina de um analista.

EX046. ID do item, caminho da imagem, resumo SHA-256, versão da ferramenta de geração de imagem, nome do perito e horário da aquisição.

EX047. Cada requisito ao elemento de projeto que o satisfaz e ao teste que o demonstra.

EX048. Tornar a verificação de hash uma etapa automática que precisa ser aprovada antes que o exame possa começar, em vez de um botão opcional.

EX049. Os peritos analisam amostras com respostas conhecidas; sua exatidão é comparada com os resultados esperados e as lacunas disparam treinamento ou mudanças de procedimento.

EX050. O tempo de atendimento melhorou 20%, enquanto os achados da revisão por pares dobraram, o que sugere que verificações estavam sendo cortadas.

EX051. Quando um sinal atrasado chega, as condições já mudaram, de modo que uma correção grande passa do ponto e o sistema oscila para lá e para cá.

EX052. Uma zona de escritório para e-mail e web, uma zona de exame offline para as estações de trabalho e o depósito de evidências, e uma zona de análise isolada para arquivos suspeitos.

EX053. Preparar-se antecipadamente — logging, retenção, sincronização de tempo e procedimentos de coleta — para que haja evidências sólidas disponíveis se ocorrer um incidente.

EX054. Os custos de armazenamento crescem e guardar dados pessoais sem finalidade viola deveres de privacidade, por isso a retenção deve corresponder a uma necessidade e a um período declarados.

EX055. Existem colisões práticas de MD5, por isso é preciso um hash mais forte, como o SHA-256, para uma integridade confiável; o MD5 pode ser mantido por compatibilidade.

EX056. O manifesto original assinado foi restaurado, e a correção do erro de digitação foi emitida como um adendo separado, assinado de novo.

EX057. Que credenciais válidas foram usadas para fazer logon — não qual pessoa as usou.

EX058. A ISO/IEC 27042; a 27037 cobre da identificação à preservação, a 27041 a garantia dos métodos e a 27043 os processos gerais.

EX059. A análise estática examina uma amostra sem executá-la; a análise dinâmica a executa num ambiente controlado e isolado para observar seu comportamento.

EX060. Verificação que bloqueia o exame até ser aprovada e registro obrigatório das versões da ferramenta de geração de imagem e do firmware.

EX061. Dê ao EvidenceDesk uma cópia de trabalho cujo digest difere do registro da aquisição; ele precisa se recusar a marcá-la como pronta para exame e gravar uma entrada de log dizendo isso.

EX062. Priya perguntou o que os auditores precisam ver — quem mudou o quê e quando — e expressou isso como registros apenas acrescentáveis e um log de custódia à prova de adulteração, cada um com testes.

EX063. A análise está fora do escopo do EvidenceDesk, e acrescentá-la tornaria a validação muito mais difícil dentro do projeto.

EX064. Ela passa a um estado rejeitado e nunca pode transitar para o exame.

EX065. Para que qualquer arquivo exportado ou recuperado por carving possa ser rastreado, por meio de sua cópia de trabalho, até a aquisição original.

EX066. Não havia estado para enviar um item a um laboratório externo; Priya acrescentou um estado de transferência externa que exige a organização receptora e os números dos lacres.

EX067. A imagem fica truncada; uma comparação de tamanho e uma divergência de hash em relação à origem a revelariam.

EX068. Ela pode causar dano sério e tende a passar despercebida, então ameaça as constatações mais do que uma falha evidente.

EX069. Ele seleciona a cópia pelo ID do item e por seu caminho armazenado, e não por um nome que o usuário digita.

EX070. Download às 19:05:00, zip criado às 19:05:40, processo iniciado às 19:06:10, zip apagado às 19:20:00 (tudo em UTC).

EX071. Horários de fusos diferentes se misturam, então o download fica horas cedo demais na ordenação e o início do processo fica depois da exclusão — uma sequência que nunca aconteceu.

EX072. Ausência real de atividade, logs rotacionados e descartados, ou dispositivo desligado.

EX073. O formulário longo de A levava a campos pulados e era lento; a entrada mínima de C arriscava deixar registros incompletos.

EX074. Os dois usuários de teste deixaram passar o campo do número do lacre; movê-lo para a primeira tela, ao lado da leitura da etiqueta, resolveu o problema no novo teste.

EX075. A decisão tomada, seu motivo, as opções rejeitadas com os motivos, e a data e os participantes.

EX076. Uma única estação offline não consegue atender seis peritos trabalhando ao mesmo tempo.

EX077. O NFR2, código auditável: o fornecedor não compartilharia o código-fonte nem as evidências de teste.

EX078. Eles podem ser lidos e convertidos por qualquer sistema futuro sem software proprietário, então o histórico sobrevive a uma migração.

EX079. A verificação diária da cadeia é detectiva; a restauração a partir do backup offline é corretiva.

EX080. Ele vincula a aquisição a um dispositivo específico cujo comportamento pode ser conferido contra testes publicados, respondendo a perguntas posteriores sobre a proteção contra gravação.

EX081. Um motivo registrado, um aprovador nomeado e uma entrada de reconciliação assim que a operação normal for retomada.

EX082. O primeiro elo quebrado é o índice 1, a entrada editada do escrevente, e 2 elos são afetados porque todos os elos posteriores dependem dele.

EX083. Alguém com acesso de gravação poderia recalcular a cadeia inteira; um valor do último elo guardado externamente expõe qualquer reconstrução.

EX084. Para que um conteúdo idêntico sempre seja serializado nos mesmos bytes, mantendo estáveis os valores dos elos, qualquer que seja a ordem das chaves.

EX085. Duzentas cópias sintéticas — 100 intactas e 100 com um byte alterado numa posição aleatória —, em que a verificação deve aprovar exatamente as 100 intactas e reprovar as 100 alteradas.

EX086. Mediana de 32 minutos por TB, amplitude de 31–35 minutos em cinco execuções.

EX087. Ele fornece uma comparação; a entrada em papel teve 9 de 50 registros incompletos contra 0 de 50 com o EvidenceDesk, o que demonstra a melhoria.

EX088. A verificação confere um componente contra sua especificação; a validação confere que o método completo é adequado à finalidade forense a que serve.

EX089. A entrada do teste foi lida de um arquivo de texto com uma quebra de linha final, então foi calculado o hash de "abc" seguido de uma quebra de linha em vez de apenas "abc".

EX090. O código ao redor que lê os arquivos, e o comportamento com entradas muito grandes.

EX091. Texto 3,82, zeros 0,00, aleatório 7,96 — só o bloco aleatório é sinalizado como HIGH.

EX092. Os bytes são quase imprevisíveis, o que se encaixa em criptografia ou compressão, mas é um convite ao exame, não uma constatação.

EX093. Confirmaram um cabeçalho de criptografia de disco completo, registraram o estado de criptografia e solicitaram a chave de recuperação pela via lícita.

EX094. O disco do servidor (espelhá-lo), o servidor (procedimento de reconstrução documentado) e o único administrador (treinar um segundo).

EX095. O conjunto de backup deixou de fora o arquivo de âncoras mantido numa pasta separada, então a cadeia restaurada não podia ser conferida.

EX096. Até ser restaurado e verificado, não há evidência de que ele contenha de fato dados utilizáveis e completos.

EX097. Tratá-la como não verificada: bloquear o exame e registrar por que a verificação não pôde ser executada.

EX098. A equipe lê os registros na exportação offline assinada, registra as novas ações em formulários em papel de contingência e as lança com notas de reconciliação quando o servidor volta.

EX099. Foi acrescentado aos formulários em papel um campo para o hash das cópias de trabalho feitas durante a interrupção.

EX100. A aquisição é sinalizada, e o perito precisa investigar a diferença antes de qualquer outra etapa.

EX101. Uma nova versão pode gravar seu log de outro modo, e, até existir um teste do interpretador, o EvidenceDesk poderia lê-lo errado.

EX102. A comparação de digests diferenciava maiúsculas de minúsculas, então o hexadecimal em maiúsculas do novo gerador de imagens divergia; normalizar a caixa, acrescentar um teste e anotar a mudança no lançamento resolveu o problema.

EX103. O PDF é fácil de ler para os tribunais, e o JSON assinado permite que os peritos verifiquem os registros de forma independente.

EX104. Os horários passaram a ser impressos em UTC e rotulados como tal, em vez de no horário local sem rótulo.

EX105. Ela inclui instruções para recalcular a cadeia de hashes com qualquer ferramenta padrão de SHA-256 e comparar com o manifesto.

EX106. 38,0 horas para ler tudo uma vez, 75,9 horas incluindo a passada de verificação.

EX107. O armazenamento de destino suporta cerca de 400 MB/s — o suficiente para dois geradores de imagens a 150 MB/s, mas não para três —, então ele se torna o gargalo.

EX108. Elimina uma leitura separada só para calcular o digest da aquisição, mas verificar a imagem armazenada ainda exige lê-la de volta.

EX109. Finalidade, papel responsável, passos numerados, registros produzidos e a ação a tomar em caso de falha.

EX110. Verificar os hashes das cópias de trabalho antes de continuar qualquer exame.

EX111. Um administrador restaurou o backup de sexta-feira durante uma manutenção e perdeu as entradas do fim de semana; elas foram relançadas e um passo de conciliar após restaurar foi acrescentado ao procedimento.

EX112. Escopo, requisitos, casos de teste com resultados esperados, critérios de aceitação, e o ambiente, o executor e a forma de registro.

EX113. Imagens truncadas em um único setor; o EvidenceDesk sinalizou todas por divergência de hash e de tamanho.

EX114. Uma nova versão da ferramenta de geração de imagens e qualquer mudança de código que afete a forma como os registros são gravados (também uma nova plataforma de armazenamento).

EX115. Ela registra invariantes — como nunca gravar em caminhos de evidência — que toda mudança futura precisa respeitar e que os revisores podem conferir.

EX116. O responsável de TI fez sozinho uma pequena mudança (o campo opcional do mensageiro), rodou os testes e a lançou sob revisão, seguindo apenas a documentação.

EX117. Cada atalho tomado, o risco que ele traz e a correção planejada.

EX118. A exclusão da última entrada de custódia só seria detectada na âncora diária seguinte, e a exportação de um caso sem itens travava.

EX119. Cada entrada atualiza a âncora, então, depois de uma exclusão, a âncora nomeia um elo que não existe mais e a verificação falha de imediato.

EX120. Todos os requisitos Must passam, nenhum defeito de severidade alta fica em aberto e os registros de validação estão completos.

EX121. Cerca de 80% do tempo de exportação ia para recalcular toda a cadeia de custódia a cada página do PDF.

EX122. Vinte exportações de casos sintéticos, de antes e de depois, foram comparadas byte a byte; só o carimbo de data e hora da geração diferiu.

EX123. As datas de modificação podem ser alteradas, e a verificação existe justamente para ler e conferir os próprios dados.

EX124. Rede: 6 ÷ 1.200 = 0,5%. Local: 1 ÷ 1.100 ≈ 0,09%.

EX125. Imagens maiores podem ser copiadas pela rede com mais frequência, e cópias maiores têm mais chance de interrupção.

EX126. Ela declara as contagens, o laboratório e o período, e que a verificação apanhou todas as falhas, em vez de um julgamento genérico.

EX127. Recusar com educação: ela não está autorizada nem treinada para examinar evidências de casos.

EX128. Que o hash da aquisição, o registro de verificação e o log de custódia, juntos, responderam quase na hora à pergunta sobre adulteração.

EX129. Quaisquer nomes ou detalhes de casos com que ela teve contato no laboratório.

EX130. Todo item novo registrado no EvidenceDesk, e nenhum exame iniciado sobre uma cópia de trabalho não verificada.

EX131. Ela é anônima e voluntária, aprovada pelo processo da universidade, e não coleta nenhum conteúdo de caso.

EX132. Um perito continuou usando o papel primeiro e lançando os registros depois, o que mina o registro contemporâneo.

EX133. As âncoras ficavam no mesmo servidor que a cadeia de custódia, então quem comprometesse esse servidor poderia reconstruir as duas e escapar da detecção.

EX134. Aceitar e corrigir, aceitar e adiar com uma justificativa declarada, ou contestar com evidências de apoio.

EX135. Uma configuração de ancoragem local temporária, feita na instalação do piloto, nunca foi movida; agora toda configuração temporária entra no registro de dívidas com um prazo.

EX136. Papel: 17 de 198 itens tinham entradas de custódia incompletas; piloto do EvidenceDesk: 0 de 212.

EX137. A equipe que sabe que está sendo observada pode seguir os procedimentos com mais cuidado que o normal, inflando os resultados.

EX138. A interação de confirmação é simplificada, mas o número do lacre continua sendo um campo obrigatório.

EX139. Ele exercita as pessoas e os procedimentos, além dos backups, de ponta a ponta, em condições realistas.

EX140. O relógio da máquina reserva estava nove minutos atrasado, então as novas entradas de custódia teriam carregado horários errados.

EX141. Uma verificação na inicialização que se recusa a gravar registros quando o desvio do relógio passa de um minuto.

EX142. Para que os avaliadores possam verificar que cada documento é exatamente a versão entregue, sem alterações desde então.

EX143. A afirmação sobre as horas de treinamento não tinha registro que a sustentasse; Priya acrescentou a lista de presença do treinamento.

EX144. Detalhes de segurança do laboratório, como endereços de rede, porque publicá-los enfraqueceria a segurança de Northfield.

EX145. 27037: identificação, coleta, aquisição e preservação; 27041: garantia de que os métodos são adequados; 27042: análise e interpretação; 27043: princípios e processos de investigação.

EX146. Ela afirma demais; o sistema detecta alterações e bloqueia o exame não verificado, mas não consegue apanhar erros cometidos antes da aquisição.

EX147. A integração dos registros de aquisição de dispositivos móveis segundo as práticas do SP 800-101r1, e um estudo com vários laboratórios.

EX148. Para um único laboratório, uma cadeia de hashes ancorada externamente já torna a adulteração evidente, sem a complexidade do consenso distribuído.

EX149. Dizer com clareza que isso não foi medido e descrever o teste que responderia à pergunta.

EX150. A verificação relatou um elo quebrado na entrada editada, a comparação com a âncora o confirmou, e a correção adequada, apenas por acréscimo, manteve a cadeia intacta.