Perícia Forense Computacional - Ferramentas Periciais ( Por Raffael Vargas )
Autor: Detetive Castro | Publicado: 2011-08-24T12:33:00-07:00

Navegando pela internet observei uma matéria muito interessante sobre Perícia Forense Computacional, no site da imaster http://imasters.com.br  . Artigo velho de 2007 mais muito interessante quem está cursando  Faculdade de TI, ou pretende ser um perito computacional e bom da uma  lida, por mais que o artigo seja um pouco ultrapassado.&nbsp;



A tecnologia dos computadores está envolvida em um número crescente  de atividades ilícitas, como por exemplo, a utilização de Internet para  enviar uma ameaça anônima ou somente na tentativa de disseminar um vírus  para captação de dados ou não, contra uma rede de computadores  vulnerável.
Os computadores podem conter evidências relacionadas a qualquer tipo  de atividade ilícita, incluindo homicídio, estupro, armazenagem de uma  operação de lavagem de dinheiro e registros financeiros falsos.
Mas para trabalhar com forense computacional é bom ter, não somente,  uma visão superficial e sim uma visão mais profunda das armas reais e  das armas hipotéticas possíveis, permitindo supor o que pode ter  acontecido, estar acontecendo ou vir a acontecer. Pode-se ter um melhor  entendimento do poder do agressor se puder comparar e entender o que ele  fez com uma determinada arma e o que ele poderia ter feito,  principalmente se for necessário saber como ele age, como pode agir,  como ele é, quem ele é, onde ele está e, mais ainda, como pegá-lo.
Os estudos de casos reais dão uma visão real do lado prático e  excitante da ação em si. É extensa a gama de aplicações das técnicas de  forense computacional na resposta a incidentes na Internet. Essas  técnicas são componentes que estão em constante mutação. Sendo assim, as  informações aqui apresentadas são baseadas em bibliografia recente  apresentada como defesa de teses, além de fontes de informações  diversas.


1 FERRAMENTASCom o advento e desenvolvimento da tecnologia nos últimos anos, as  infrações, invasões, busca, venda e roubo de informações privilegiadas,  pirataria, envio de e-mails falsos, tentativas de acessos indevidos a  organizações ou até mesmo a pessoas comuns vêm se sofisticando e com  isso há a necessidade do auxílio de ferramentas mais modernas, mais  incrementadas para a busca destes infratores, além da necessidade de se  padronizar esta busca e apresentar evidências mais consistentes.
Com este grande avanço os peritos forenses computacionais necessitam  de uma metodologia de padronização, desde a obtenção de evidências,  passando pela padronização de laudos até a apresentação das mesmas  perante a justiça, por isso serão apresentadas e exemplificadas, com  demonstrações neste capítulo, cinco tipos de ferramentas:
caller IP: monitora a entrada, saída e invasão de IPs;
recoverMyFiles: recupera dados deletados ou formatados; 	smartWhois: verifica o endereço IP e de domínio;
e-mailTracker: fornece o local de origem do e-mail, sua rota e a empresa responsável; 	enCase: padronização de laudos, recuperação de  dados, banco de dados de evidências, analisa hardwares, analisa logs,  permite a perícia das evidências sem alterá-las, dentre outras  funcionalidades. 
Por obterem interface amigável, algumas ferramentas, como estas  apresentadas, vêm auxiliando muito, não somente o perito forense, mas  também alguns profissionais da área de Informática como administradores  de redes, auditores de TI, técnicos em Segurança, dentre outros.  Hoje em dia no Brasil, as ferramentas e metodologias de padronização  propostas pela IOCE (Organização Internacional de Evidência Digital) não  estão sendo colocadas em prática por parte dos peritos forenses  computacionais, que utilizam procedimentos laboratoriais para obtenção  de evidências, no entanto somente os auditores de TI de organizações  bancárias estão utilizando muito essas metodologias principalmente a  ferramenta EnCase para auditorias em relação a fraudes bancárias, roubo  de informações, invasão de contas bancárias, quebra indevidas de sigilos  bancários, dentre outras coisas mais, por isso será apresentado algumas  outras ferramentas específicas.


A tecnologia dos computadores está envolvida em um número crescente  de atividades ilícitas, como por exemplo, a utilização de Internet para  enviar uma ameaça anônima ou somente na tentativa de disseminar um vírus  para captação de dados ou não, contra uma rede de computadores  vulnerável.
Os computadores podem conter evidências relacionadas a qualquer tipo  de atividade ilícita, incluindo homicídio, estupro, armazenagem de uma  operação de lavagem de dinheiro e registros financeiros falsos.
Mas para trabalhar com forense computacional é bom ter, não somente,  uma visão superficial e sim uma visão mais profunda das armas reais e  das armas hipotéticas possíveis, permitindo supor o que pode ter  acontecido, estar acontecendo ou vir a acontecer. Pode-se ter um melhor  entendimento do poder do agressor se puder comparar e entender o que ele  fez com uma determinada arma e o que ele poderia ter feito,  principalmente se for necessário saber como ele age, como pode agir,  como ele é, quem ele é, onde ele está e, mais ainda, como pegá-lo.
Os estudos de casos reais dão uma visão real do lado prático e  excitante da ação em si. É extensa a gama de aplicações das técnicas de  forense computacional na resposta a incidentes na Internet. Essas  técnicas são componentes que estão em constante mutação. Sendo assim, as  informações aqui apresentadas são baseadas em bibliografia recente  apresentada como defesa de teses, além de fontes de informações  diversas.
1 FERRAMENTASCom o advento e desenvolvimento da tecnologia nos últimos anos, as  infrações, invasões, busca, venda e roubo de informações privilegiadas,  pirataria, envio de e-mails falsos, tentativas de acessos indevidos a  organizações ou até mesmo a pessoas comuns vêm se sofisticando e com  isso há a necessidade do auxílio de ferramentas mais modernas, mais  incrementadas para a busca destes infratores, além da necessidade de se  padronizar esta busca e apresentar evidências mais consistentes.
Com este grande avanço os peritos forenses computacionais necessitam  de uma metodologia de padronização, desde a obtenção de evidências,  passando pela padronização de laudos até a apresentação das mesmas  perante a justiça, por isso serão apresentadas e exemplificadas, com  demonstrações neste capítulo, cinco tipos de ferramentas:
caller IP: monitora a entrada, saída e invasão de IPs;
recoverMyFiles: recupera dados deletados ou formatados; 	smartWhois: verifica o endereço IP e de domínio;
e-mailTracker: fornece o local de origem do e-mail, sua rota e a empresa responsável; 	enCase: padronização de laudos, recuperação de  dados, banco de dados de evidências, analisa hardwares, analisa logs,  permite a perícia das evidências sem alterá-las, dentre outras  funcionalidades. 
Por obterem interface amigável, algumas ferramentas, como estas  apresentadas, vêm auxiliando muito, não somente o perito forense, mas  também alguns profissionais da área de Informática como administradores  de redes, auditores de TI, técnicos em Segurança, dentre outros.  Hoje em dia no Brasil, as ferramentas e metodologias de padronização  propostas pela IOCE (Organização Internacional de Evidência Digital) não  estão sendo colocadas em prática por parte dos peritos forenses  computacionais, que utilizam procedimentos laboratoriais para obtenção  de evidências, no entanto somente os auditores de TI de organizações  bancárias estão utilizando muito essas metodologias principalmente a  ferramenta EnCase para auditorias em relação a fraudes bancárias, roubo  de informações, invasão de contas bancárias, quebra indevidas de sigilos  bancários, dentre outras coisas mais, por isso será apresentado algumas  outras ferramentas específicas.
1.1	CallerIp
A ferramenta CallerIp auxilia na indicação de entradas, saídas e  invasões de IP na máquina em questão, informando qual o IP que está  conectado ou tentando se conectar, apresentando no mapa mundi a sua  localização com endereço, telefone e responsável por aquele IP. Na  Figura 1,1, a ferramenta CallerIp foi utilizada para verificar quais IPs  estavam tentando acessar o sistema operacional e por quais programas  estavam tentando fazer as conexões, sendo apresentado do lado direito da  Figura 1.1, os IPs que estavam em maior evidência e acima quando  clicados são apresentados ao lado do mapa mundi as principais  informações do mesmo.

&nbsp; 















Figura 1.1: Tela Principal da Ferramenta CallerIp
Exemplo: há informações de que certos funcionários estão utilizando  aplicações que facilitam o acesso à rede interna de computadores,  tornandoa vulnerável. No caso utilizase a ferramenta para monitorar a  entrada e saídas dos IPs do sistema operacional, informando qual a  aplicação está sendo utilizada para tal ação.
1.2	 RecoverMyFilesA ferramenta RecoverMyFiles é um programa que permite recuperar  facilmente arquivos apagados acidentalmente, ou não, do Windows. Para  evitar que o arquivo apagado seja sobrescrito, essa ferramenta não  requer a instalação funcionando diretamente de um disco flexível.
A Figura 1.2 está apresentando a tela da aplicação RecoverMyFiles  recuperando os dados apagados de uma determinada partição de um HD, que  foram deletados acidentalmente ou não de suas supostas pastas, sendo  acionado anteriormente a opção de demonstrar somente as pastas deletadas  à esquerda e à direita os arquivos destas pastas.
Além de disponibilizar uma seleção de quais extensões serão buscadas,  pois o mesmo disponibiliza uma busca filtrando os arquivos por tipos de  extensão e em qual partição será feito este tipo de busca, como  qualquer outra ferramenta de recuperação, então com a informação de  todos estes requisitos a ferramenta recupera todos os dados  anteriormente perdidos.
Exemplo: um suposto infrator está sendo indiciado por pedofilia, o  suspeito é julgado e espera a decisão judicial em liberdade, mas antes  de ser detido e sua máquina seja examinada por um perito forense  computacional da justiça, o mesmo formata todos os dados de todas as  partições de seu HD, mas com esta ferramenta o perito consegue reaver  todas as informações, imagens, documentos, logs que estavam contidos na  máquina do suposto infrator.

&nbsp; 














Figura 1.2: Visualização de Pastas Deletadas na Ferramenta RecoverMyFiles


1.3	Smartwhois
A ferramenta SmartWhois auxilia na verificação de IPs e de domínios na  Internet, sendo apenas necessária a indicação do IP ou domínio,  apresentando na tela a localização destes, gerando endereço, telefone,  responsável pelo IP ou pelo domínio em questão, em resumo, todos os  dados referentes a uma determinada organização buscada.  Na Figura 1.3, foi adicionado um domínio, para verificação dos  possíveis responsáveis. O domínio indicado foi o do Instituto Granbery.  Ao indicar este IP ou um domínio a ferramenta retorna todos os dados da  empresa responsável por este serviço como telefone, endereço,  responsáveis pelo setor, data de criação, dentre outras.

&nbsp; 














Figura 1.3: Tela Principal da Ferramenta SmartWhois  Exemplo: foi recebido por uma vítima um e-mail chantageando-a, mas  este e-mail não contém dados suficientes para informar o remetente,  contém somente o IP de domínio do servidor de onde foi enviado este  e-mail. 
O perito pode então, com o auxílio desta ferramenta, verificar o IP de  domínio em questão e entrar em contato com o responsável, para poder  reaver, mediante pedido judicial a quebra de sigilo de e-mail do mesmo,  para poder verificar quem foi que enviou esse e-mail, podendo dar um  direcionamento à investigação.


1.4	 EmailTracker A ferramenta e-mailTracker fornece através de um entrada de um e-mail  ou uma lista de e-mails o local de origem, onde fora criado, a rota  entre empresas filiadas, ou não, a organização em questão e a mesma  responsável pelo e-mail, sendo identificada com a apresentação de seu  endereço, telefone, dentre outros dados.
Na Figura 1.4 está sendo apresentado à esquerda a rota do meu próprio  e-mail por IPs e  a rota do mesmo no mapa mundi, enquanto que à direita  está sendo indicado a empresa responsável pelos serviços de e-mail.



















Figura 1.4: Tela Principal da ferramenta E-mailTracker com rota de IPs
Exemplo: houve a informação de que o e-mail e informações  confidenciais de uma suposta organização foram vendidos antes do mesmo  chegar as mãos da empresa responsável por este serviço. Neste caso é  utilizada esta ferramenta para fazer uma busca na rota por onde este  e-mail passou, informando quando houve o desvio da informação  confidencial.


&nbsp;1.5	 EnCase 
A ferramenta EnCase é uma das ferramentas mais completas no que se  refere a perícia forense, pois além de auxiliar recuperação de arquivos  deletados, padroniza laudos periciais, organiza um Banco de Dados com as  evidências, faz o encryption (fornece senhas) e o decryption (quebra as  senhas) dos arquivos, analisa hardwares, analisa logs, analisa formatos  e tipos de e-mails e fornece uma opção de se manusear a evidência sem  danificá-la, além de outras características mais avançadas.
Na Figura 1.5, foi feita uma verificação na caixa de entrada de  e-mail de um suposto infrator, utilizando métodos de busca e  investigação da ferramenta EnCase em e-mails e Internet.
















Figura 1.5: Interface do EnCase E-mail e Internet (Tutorial)
Exemplo: foi recebido por uma suposta vítima um e-mail chantageandoa.  Após ter sido verificada através de outras ferramentas a localização do  infrator, houve uma apreensão do maquinário, mas o infrator formatou  sua máquina e instalou um novo sistema operacional e novas aplicações.  Nesta situação, a ferramenta pode auxiliar o perito na busca de dados  nos setores não utilizados (apagados) do HD e logo após fazer uma busca  em todos os e-mails enviados a esta suposta vítima, mesmo o HD tendo  sido formatado, podendo com esta ferramenta recuperar os e-mails, que  também foram formatados.
Outras aplicações que a ferramenta EnCase disponibiliza serão  apresentadas nos próximos artigos, com um estudo de caso com o tema  sobre crime de pedofilia na internet, detalhadamente explicado e  exemplificado.


1.6	Conclusão
Hoje em dia, com o auxílio da tecnologia, existem softwares e hardwares  que auxiliam na obtenção, na coleta, na apresentação, na armazenagem de  dados. Em resumo, há uma gama de aplicações para todas as áreas  necessárias. O próprio software EnCase é uma das aplicações mais  utilizadas e completas na área de padronização de laudos, armazenamento  de evidências, recuperação de dados e uma infinidade de outras  utilidades para o auxílio no manuseio da evidência.  As ferramentas citadas na seção 1 poderão ser obtidas nos sites listados a seguir:

SmartWhoIs

Encase CallepIP

RecoverMyFiles

EmailTracker  
&nbsp;2	CONSIDERAÇÕES FINAIS
Foi apresentado algumas ferramentas de interface amigável e  compatível ao sistema operacional windows, para facilitar o manuseio e o  aprendizado. As qualidades e experiência do investigador são de extrema  importância, mas as suas características devem estar acrescidas de boas  ferramentas e com uma metodologia excelente. Para isso, todo o trabalho  em forense computacional começa muito antes de se precisar dele, com  muito estudo, planejamento e preparação efetiva.
A validade técnica e jurídica das metodologias para recuperar dados  de computadores envolvidos em incidentes de segurança tem se tornado  fundamental, pois os procedimentos têm que ser tecnologicamente robustos  para garantir que toda a informação útil como prova seja obtida e  também de uma forma a ser legalmente aceita de forma a garantir que nada  na evidência original seja alterado, adicionado ou excluído.
Devido à globalização dos crimes digitais é de fundamental que sejam  feitos, em cada país, esforços constantes a respeito de legislação  local, nacional e internacional em conjunto com a padronização de  procedimentos, criação e uso de manuais de boas práticas aceitas  internacionalmente para a forense computacional.
A forense computacional lida com dados físicos, reais, mas numa  realidade metafísica digital, onde os dados físicos são informações  elétricas, eletrônicas, magnéticas, eletromagnética e em outras formas  mais ou menos voláteis. Os dados mudam, as tecnologias mudam, os  equipamentos mudam, os conhecimentos mudam, sempre.
Ao investigador que trabalha com forense computacional cabe a tarefa  de se preparar cada dia mais. Afinal, sempre haverá trabalho duro a  fazer, pois, não existe um ambiente totalmente seguro e não existe um  crime que não deixe rastros, mas os criminosos e as vítimas continuam  existindo, por isso a forense computacional e seus resultados positivos  se fazem a cada dia mais necessário.

Fonte : IMasters&nbsp; 
Autor : Raffael Vargas


Por mais que este artigo tenha um tempo, e sempre bom da uma lida para rever certos conceitos .