Cena do crime

Estávamos conversando há poucos dias na lista apcf, onde os membros são certificados forenses pela Axur, sobre imagem forense, cadeia de custódia e abordagem da cena do crime. Esse último tópico gera alguma polêmica, tanto pela falta de procedimento formal quanto pela aplicação dos conceitos que já existem, mas em uma situação onde não há crime, há apenas uma investigação. Segue o post do Fábio Ramos e o meu logo depois:

Fábio Ramos
Qualquer software que faça copia bit-a-bit gera uma imagem que tem validade legal. Os princípios que voce deve observar são:

1-) Voce não pode escrever nada no HD source (objeto que está sendo copiado)
2-) O HD que sera usado para análise (a cópia) tem que ter o HASH da sua imagem batendo com o HASH da imagem do source HD

O DD do linux, por exemplo, faz copia bit-a-bit. No mais deixo para o Tony explicar, porque ele é expert nesse assunto.

Geralmente o procedimento consiste no seguinte:

1-) Voce chega na "cena do crime" e com testemunhas, faz a aproximação para que seja gerada uma imagem das memórias que serão investigadas;
2-) Voce retira o HD e coloca em um case, ou em um aparelho que vai fazer a cópia;
3-) Neste momento pode ser importante usar um bloqueador de escrita para garantir que durante o processo de cópia, a memória que esta sendo investigada não recebera nenhum tipo de acesso que possa alterar um bit sequer;
4-) Voce lacra o HD original (que foi copiado). Esse HD deve ficar em custódia de alguém que possa garantir sua preservação. Pode ser um cartório, por exemplo. Isso vai depender também do seu papel no processo, se voce for perito contratado por uma empresa, vai ter mais liberdade, se for perito nomeado, vai ter que seguir todo o ritual, se for perito assistente, vai ter que olhar (e muitas vezes corrigir o perito nomeado :-))

5-) A partir de agora voce só analisa o HD copiado. Recomendo fazer cópias do HD copiado para garantir que caso você comprometa a cópia, nao vai precisar abrir o envelope lacrado do HD original para tirar outra cópia.

Tony Rodrigues:
Uma coisa interessante para se dizer com relação ao porquê de haver essa coisa toda, da liturgia.

A Computação Forense, ou Forense Computacional, é bastante nova, principalmente comparando-se com outras disciplinas Forenses, como a Balística e a Medicina Legal.

Os procedimentos que o Fábio narrou fazem parte da liturgia forense americana, e é aceita em praticamente todo o resto do mundo, como melhores práticas nessa área.

Faz muito sentido ... Você, como policial, mete o pé na porta, grita "Mãos para o alto - POSITIVO OPERANTE (como o casseta&planeta diz :D )" prá todo mundo (lá nos States eles mandam aquele "freeeeze !"), e apreende tudo que encontra pela frente, montando a cadeia de custódia.

No lab, a primeira coisa que o Perito Criminal faz é abrir o lacre, fazer a cópia, relacrar e juntar esse registro na cadeia de custódia. E por aí vai. No processo todo, além dos próprios policiais que irão testemunhar em como a polícia apreendeu e lacrou os computadores, temos vários logs que dão conta de responder a famosa pergunta - "COMO POSSO SABER SE NÃO ESCREVERAM ISSO QUE ME INCRIMINA DEPOIS DE TUDO TER SIDO LEVADO PELA POLÍCIA ??"

Faz sentido, né ? Ou seja, no fim das contas, a liturgia (processo) protege a ação de todos e coopera para a manutenção da integridade das provas eletrônicas.

O grande problema é que no Brasil não há um procedimento formalizado para o que está escrito acima. Além disso, os casos que não são crimes são um capítulo tenebroso, porque é sempre possível levantar suspeitas de que as evidências foram "plantadas". O mais próximo que tenho visto de resolverem isso é:

Empresa X tem uma suspeita qualquer, digamos, um vazamento de informações -> contrata o Investigador Digital John Doe-> Furtivamente, John Doe acessa a máquina e captura os dados que precisa, para analisar. Pode ser no disco ou na rede, através de logs, sniffers, etc -> Na análise, ele localiza evidências que comprovam as suspeitas -> John Doe emite relatório da investigação -> Empresa X demite o suspeito por justa causa -> No mesmo momento em que ele está sendo demitido, a máquina é desligada na presença do tabelião ou seu representante, que vai fazer a Ata Notarial -> O processo segue como descrito acima pelo Fábio, com a aquisição da imagem forense e início da cadeia de custódia.

O mais provável: O ex-funcionário demitido entra na justiça pedindo reversão da justa causa -> O relatório do Investigador passa por uma revisão e vira um Parecer Técnico, que é juntado aos autos do processo trabalhista. O Investigador Digital John Doe passa a atuar como Assistente Técnico.

Durante o julgamento, se houver contraditório (o ex-funcionário reclamar das provas apresentadas), o Juiz vai nomear um Perito para o caso -> Perito vai analisar o lacre, a Ata Notarial, e também vai fazer uma imagem forense -> Tempos depois, o Perito nomeado pelo Juiz emite o Laudo. O Juiz lê o Laudo e decide.

Com o processo acima fica difícil obter base para alegar que mexeram no HD e plantaram as evidências e artefatos. O processo sempre vai apontar testemunhas que garantirão a integridade das evidências. Além disso, dificilmente o Perito e o Investigador Digital acharam apenas um único artefato que comprova o ilícito. Tudo que foi localizado é avaliado e deve corroborar em conjunto para indicar a culpa do ex-funcionário.

O ruim disso é que, como o procedimento é praticamente feito duas vezes, tudo fica mais caro, e nem todo mundo quer fazer assim. Muitas empresas X, Y e Z tentam fazer mais rápido e vão para o risco, caso alguém alegue que a prova não é verdadeira ou não é íntegra.

Comentários ? Compartilhe suas experiências de como conduziu uma situação parecida.

Até o próximo post !

Processo Litúrgico - Preservação de evidências, Ata Notarial e a Cadeia de Custódia

Imagine uma situação nada incomum: Você foi chamado para investigar um caso em uma empresa. Após as averiguações iniciais, você percebe que é importante realizar um processo litúrgico, pois tudo indica que haverá ações na justiça relativas ao caso.

Com isso em mente, você realiza a aquisição da imagem forense. Está sendo acompanhado por um ou dois membros da empresa, normalmente um executivo e um técnico, prestando as informações que você precisa.

Fim do processo de aquisição. Você, como bom investigador que é, e sabe da importância de se manter a integridade das mídias, requer que os HDs que foram capturados sejam lacrados, e que a cadeia de custódia seja mantida fielmente. Explica, então, para os dois membros que o acompanham, a importância desse procedimento, e que certamente a primeira coisa que a outra parte faria em um processo judicial seria tentar desacreditar as evidências. Ao lacrar os HDs, você consegue comparar futuramente os hashes da imagem com o HD respectivo e comprovar a integridade.

Sua indicação do lacre é aceita, você prepara o material, assina o lacre em conjunto com as testemunhas e deixa-o lá com a indicação de que ninguém rompa o lacre até que seja enviado um Perito pelo Juiz. Em seguida, você vai para casa satisfeito com a sensação de trabalho bem cumprido. Infelizmente, essa sensação só vai durar até a primeira audiência. Faltou alguém nessa estória ...

Liturgia

O procedimento litúrgico é, na verdade, um procedimento formal.

Digamos que você seja contratado por uma empresa para investigar se um de seus colaboradores está gastando seu tempo no computador corporativo com sites pornográficos. A empresa tem uma leve suspeita, mas não quer ser injusta. Porém, ela deixa claro que, se for comprovada a suspeita, demitirá o funcionário, sem justa causa. Para casos como esse, você pode realizar investigações diversas e mandar seu relatório para a empresa. Ela vai acatar o que você relatar. Entretanto, a situação muda completamente se o caso for parar na justiça. As evidências precisarão estar preservadas para que todos os seus procedimentos investigativos possam ser reproduzidos e suas conclusões verificadas por quem quer que seja.

É isso que faz o processo ser litúrgico. À sua investigação ficam agregados inúmeros processos formais com objetivo de garantir as evidências, e com isso, as conclusões.

Ata Notarial

A Ata Notarial é um instrumento realizado pelo tabelião (ou seus indicados) de cartórios de notas. Em resumo, é uma narração do que o tabelião vê, percebe, ou ouve, e materializa no documento. Como o tabelião tem fé pública, esse documento é amplamente aceito no judiciário. Uma pessoa pode, por exemplo, chamar um tabelião para realizar a Ata Notarial do conteúdo de um cofre. Antes do mesmo ser aberto, o tabelião estará a postos e vai registrar na Ata tudo que viu .

No caso de investigações computacionais, há um certo receio; alguns cartórios não se sentem à vontade nesse procedimento. Muitos sabem que e-mails podem ser forjados, páginas falsas podem ser exibidas, e o tabelião não quer afirmar algo que não tem certeza.

Eu recomendo mudar o foco do processo para evitar isso. Por exemplo, ao invés do investigador exibir um e-mail, imprimi-lo e o tabelião registrar na ata algo sobre ele (declarando, por exemplo, que o e-mail é de fulado ...), é mais indicado que o investigador possua um procedimento detalhado de como extrair o cabelhado do e-mail, e então, frente ao tabelião, siga rigorosamente cada passo de seu procedimento. No final, o tabelião irá registrar na ata que o investigador seguiu todos os passos indicados no procedimento, reproduzindo-o, e vai registrar também cada resultado obtido. Dessa maneira, fica mais fácil para nós e para eles.

A Ata Notarial é especialmente importante em casos de "live acquisitions", Forense de Rede e "live analysis".

Live Acquisition é quando fazemos a aquisição de uma imagem forense com o computador ligado. Por mais que pareça estranho, já que a análise post-mortem é a mais comum e estudada, em alguns casos precisamos investigar incidentes em servidores que não podem ser desligados (imagine uma empresa com 90% do faturamento vindo pelo seu web site). Outro motivo comum para o live acquisition é quando o servidor é um RAID e não temos condições de fazer a aquisição de cada um dos HDs para montagem posterior (casos quando o array não é reconhecido pela ferramenta de aquisição). Nesses casos, simplesmente a técnica de usar hash para validar a integridade não vai funcionar, já que o disco estará em uso. Será necessário validar a operação através de um procedimento e da Ata Notarial.

Na Forense de Rede, as técnicas não disponibilizam possibilidade de retirar a origem de uso. Veja o caso que já citei, sobre e-mails. Outra situação envolvendo Forense de Rede seria a investigação de um código malicioso através de monitoramento de pacotes em um determinado ponto. O arquivo resultante (um pcap, por exemplo), pode ser guardado segundo o processo de cadeia de custódia, mas isso é menos comum de encontrar. Validar essa captura com uma Ata Notarial é muito importante, já que ela não poderá ser reproduzida.

Live Analysis (ou Live Response) é quando evita-se desligar o computador (em geral, servidores) por redução do prejuízo ou ainda por reconhecer que, ao desligá-lo, importantes evidências voláteis desaparecerão. Nesse caso, faz se a captura da memória e de outras informações voláteis. A validação por hash, nesse caso, novamente não funciona, e será necessário uma Ata Notarial para validar o procedimento como um todo.

Cadeia de Custódia

A Cadeia de Custódia é um procedimento que surgiu nas investigações não-digitais, e tem por objetivo preservar a fonte de evidências (as mídias, no nosso caso) através do registro de todos que tiveram contato com o material. O processo pode ser exemplificado assim:

- O investigador realiza a aquisição da imagem forense, lacra o HD, inicia a lista da cadeia de custódia indicando a data/hora em que o HD foi lacrado, e o hash/algoritmo (md5/sha-1, etc) da mídia. O tabelião registra tudo na Ata Notarial.

- Qualquer pessoa que precisar, obviamente por motivo justificado, acessar novamente o HD, o lacre deverá ser rompido, e antes da mídia ser usada, sua integridade deve ser conferida, analisando seu hash atual com o registrado na cadeia de custódia. Após o uso, o HD volta a ser lacrado, a data/hora de retirada e devolução do HD são registrados na cadeia de custódia, e tacitamente essa pessoa está aceitando que o hash confirmou a integridade. Esse procedimento deve ser acompanhado também para a Ata Notarial.

- Se, em algum momento, a mídia for acessada e a integridade tiver sido violada, o responsável é o ultimo registro na cadeia de custódia.

Algo importante a se dizer é que nem a Ata Notarial nem a Cadeia de Custódia ou qualquer outro item que compõe o processo litúrgico consegue, sozinho, garantir a evidência ou a ausência de fraude. Em última análise, o que vai garantir mesmo isso é a realização de uma investigação bem fundamentada, apontando as hipóteses e, através da correlação de TODAS as evidências e artefatos (e não apenas a primeira encontrada), chegar a uma conclusão sólida. Tanto a Ata Notarial quanto os demais itens são pilares que sustentam o todo.

Comentários ?

Até o próximo post !

Referências:

O Ciberespaço e a Ata Notarial

ATA NOTARIAL

Ata notarial como meio de prova - uma revolução no processo civil

Ata notarial possibilita a produção de provas com fé pública do tabelião no ambiente eletrônico