Fundamentos de forense digital

Forense é a disciplina da evidência: colete-a de modo que não possa ser contestada, analise cópias em vez de originais e documente cada passo para que outro perito chegue ao mesmo resultado.

Volatility 3Autopsy / The Sleuth KitKAPEFTK Imager / dc3ddPlaso / Timesketchhash tools (sha256sum)

Princípios

Preservar: mude o mínimo possível e prove a integridade com hashes criptográficos calculados na coleta.
Trabalhar com cópias: adquira uma imagem forense e analise a imagem, nunca o original.
: colete primeiro a evidência mais frágil. Memória, depois processos em execução e conexões de rede, depois arquivos temporários, depois disco, depois logs e backups.
: um registro escrito de quem teve a evidência, quando, e o que foi feito com ela. É o que torna a evidência crível em uma disputa.
Documente tudo: comandos, horários (em UTC), ferramentas e versões, e o seu raciocínio.
Legal e privacidade: tenha autoridade para coletar e trate os dados pessoais como a lei e a política exigem. Envolva a assessoria jurídica quando um caso puder ir a juízo.

Aquisição de evidências

Use um bloqueador de escrita, de hardware ou software, para mídia física, capture a memória antes de desligar um sistema e calcule o hash do resultado. Os comandos abaixo são o padrão; casos reais costumam usar ferramentas de aquisição dedicadas.

acquire-disk.shbash

# gere a imagem de um disco somente leitura (use um bloqueador de escrita em mídia física)
sudo dd if=/dev/sdb of=case42/evidence01.img bs=4M conv=noerror,sync status=progress

# prove a integridade: registre o hash na coleta e reverifique depois
sha256sum case42/evidence01.img | tee case42/evidence01.img.sha256
sha256sum -c case42/evidence01.img.sha256

# faça uma cópia de trabalho e analise essa, nunca a imagem original
cp case42/evidence01.img case42/work01.img

chain-of-custody.txttext

Caso: INC-2026-0142    Item: evidence01.img (disco do web-prod-03)
SHA-256: <hash registrado na aquisição>

2026-10-13 15:10Z  coletado por A. Silva, com bloqueio de escrita, dc3dd v7.2
2026-10-13 16:00Z  transferido ao cofre de evidências, saco lacrado #118 (A. Silva -> M. Souza)
2026-10-14 09:05Z  retirado para análise (M. Souza), hash reverificado OK
2026-10-14 17:30Z  devolvido ao cofre, hash reverificado OK

O que examinar

Memória: processos em execução e ocultos, conexões de rede, módulos carregados e código injetado, credenciais na memória.
Disco: linha do tempo do sistema de arquivos, arquivos excluídos, programas executados recentemente, locais de persistência (itens de inicialização, tarefas agendadas, serviços).
Artefatos do Windows: logs de eventos, hives do registro, prefetch, amcache e shimcache, histórico do navegador.
Artefatos do Linux: histórico do shell, logs de autenticação e do sistema, tarefas cron, chaves SSH, binários modificados.
Nuvem e SaaS: logs de auditoria e estado de configuração; a evidência muitas vezes está nos logs do provedor, não em um disco.

memory-analysis.sh (Volatility 3)bash

vol -f mem.raw windows.pslist          # processos em execução
vol -f mem.raw windows.pstree          # relações de pai e filho
vol -f mem.raw windows.cmdline         # linhas de comando
vol -f mem.raw windows.netscan         # conexões de rede e listeners
vol -f mem.raw windows.malfind         # regiões de memória que parecem código injetado

Relatório

Um relatório forense declara o que foi examinado, como, o que foi encontrado e o que isso significa, separando a observação da interpretação. Escreva de modo que um leitor que não estava lá consiga seguir o raciocínio e reproduzi-lo. Declare os limites com honestidade: o que você não conseguiu determinar e por quê.

Ordem de volatilidadeO princípio de coletar primeiro a evidência mais frágil: memória, depois processos e conexões, depois arquivos temporários, depois disco e logs.ver no glossário →Cadeia de custódiachain of custodyRegistro de quem coletou, guardou e manipulou cada evidência digital, e quando. Sem ela, a prova perde valor para auditoria e para eventual disputa legal.ver no glossário →

conexões no mapa

Triagem, delimitação de escopo e contençãopreserva evidências paraFundamentos de forense digital
Fundamentos de forense digitalentrega amostras paraFundamentos de análise de malware

atualizado em 14/10/2026 · fontes para aprofundar · reportar erro

em outros domínios

Logging & detection - sinais e alertascloudseca evidência de nuvem mora nos logs de auditoria