Crise de Identidade

Já parou para pensar que temos um problema de identidade ?

É um problema simples, mas acaba incomodando. Veja se você também já passou por isso.

Você encontra um amigo em uma festa. Conversa vai, conversa vem, e você pergunta:
- Rapaz, mas e o trabalho, como está indo ? Tudo bem por lá ?
- Sim, tudo certinho. Continuo trabalhando com vendas. Negocio peças de automóveis. E você, tá fazendo o quê ?
- Trabalho com algo muito interessante, além de muito novo, principalmente no contexto brasileiro. Trabalho com ......

Nesse momento você para e se pergunta qual mesmo é o nome do que você faz. São tantas opções que você já nem sabe mais o nome que usa. Para não deixar aquele espaço vago no ar e o seu amigo achar que você está trabalhando em uma dessas empresas de marketing de rede, você apela e diz "Trabalho com perícia. Perícia de computador".

Mil Nomes

No fim das contas, quem pode com toda propriedade dizer que trabalha com perícia de computadores são os peritos criminais. Esses são os únicos que são peritos. Quem trabalha na iniciativa privada pode ser nomeado perito em um processo, e nesse caso, a pessoa "está" perita.

Além disso, há uma verdadeira salada de nomes. Vejamos alguns:
- Perícia Forense Aplicada a Informática
- Perícia Computacional
- Forense Computacional
- Informática Forense
- Investigação Digital
- eDiscovery
- Forense Digital

Comentando um pouco sobre cada um:

- Perícia Forense Aplicada a Informática
É o nome usado por uma lista de discussão sobre o assunto. Acho o termo um tanto vago, pois, fazendo uma analogia, nunca li sobre expressões similares em relação a outras ciências forenses. Por exemplo, nunca vi Perícia Forense Aplicada à Medicina, ou Perícia Forense Aplicada à Química.

- Perícia Computacional
Segue a lógica dos termos Perícia Contábil, Perícia Médica, Perícia Criminal, etc. Acredito que esteja mais ligado à uma atividade/ação, denotando um exame para averiguar algo, do que ao nome de uma ciência.

- Forense Computacional
É o nome do meu blog, mas nem por isso acho o mais adequado. De qualquer forma, é a tradução literal de Computer Forensics, termo em inglês usado mundialmente. É muito usado, principalmente pelos pioneiros dessa atividade no Brasil, como a Axur, por exemplo.

- Informática Forense
É o que me parece mais lógico. Pelo menos, segue o paralelo com outras ciências forenses mais antigas, como Biologia Forense, Balística Forense, Documentoscopia Forense, etc.

- Investigação Digital
Termo aplicado às mesmas técnicas da Informática Forense, mas cujo objetivo principal não é (pelo menos inicialmente) a prova jurídica, mas sim a descoberta de informações. Acredito que este termo seja o mais aplicado quando estamos trabalhando no mercado corporativo e precisamos verificar/investigar algo.

- eDiscovery
Termo em inglês que se refere a uma etapa do processo civil no direito americano onde as evidências são apresentadas. eDiscovery seria a apresentação das evidências eletrônicas, e para isso muitas técnicas similares as técnicas de Forense Computacional são usadas. Não pode ser usado como sinônimo para Forense Computacional, ainda que use técnicas parecidas. (Agradecimento ao colega Guilherme Damásio pelos esclarecimentos e ajuda).

- Forense Digital
Aproximação do nome Forense Computacional. Alguns autores usam este termo.

Gostaria de ver comentários sobre isso. Qual nome você prefere, ou imagina que exprime da melhor maneira o nome dessa nova ciência ? Na sua opinião, essa ausência de um nome "oficial" atrapalha ?

Comentem !

Até o próximo post !

Já era bom, agora está melhor ainda

A Agile Risk Management, empresa criadora do F-Response, recentemente anunciou em seu website a liberação da versão 2.03 Beta, que traz a capacidade de fazer a aquisição da memória remotamente. Essa evolução nasce de uma parceria interessante da Agile com a Volatile Systems, empresa do mestre da parte de forense de memória Aaron Walters.

Em breve estarei baixando a minha versão e compartilhando aqui minhas impressões a respeito dessa maravilha. Sem dúvidas, esse é mais um grande passo para a Forense Computacional.

Alguém já baixou e gostaria de comentar ?

Até o próximo post !

Helix 2.0 - Feedback

Precisei usar o Helix recentemente em um trabalho e aproveitei para colocar a nova versão no front de batalha.

Estas são as minhas primeiras impressões e feedbacks sobre o produto. No resumo, ficou bacana.

1- É muito mais pesado do que o anterior. Nota-se isso logo de cara, o boot demora para terminar e deixar livre para operar

2- Arrancaram a melhor ferramenta de análise de todos. O PyFlag foi retirado para abrir espaço. Interessante que o PyFlag, a partir do Helix, era mesmo muito limitado. Como não contava com persistência do banco (tínhamos que fazer isso na "mão") e nem de arquivo de swap, ele acabava dando vários problemas. Ainda assim, eu esperava que se achasse uma solução para isso, e não que ele fosse removido completamente ...

Para quem não conhece, o PyFlag é uma suite de ferramentas para análise, desenvolvido por uma turma australiana, e que foi usado no último DFRWS por quase todos os primeiros colocados. O primeiro colocado, por exemplo, foi o trio do criador do PyFlag (Cohen) junto com a turma do Volatility (que foi recentemente integrado ao PyFlag).

3- O Aimage roda perfeitamente, mas o Adepto usando formato AFF não roda nem apanhando. Há um problema aqui, pelo menos aconteceu comigo em todas as tentativas. Ainda preciso ver se há um bug aberto para esse problema.


Bom, espero acrescentar mais itens a essa lista. Comentários ? Feedbacks ? Posso mandar o que postarem aqui para o mantenedor do Helix, Drew Farrey.

Até o próximo post !

IC CYBER 2008

Na semana passada o Rio de Janeiro foi palco de uma Conferência Internacional sobre Crimes Cybernéticos, Perícias e Investigações na área de Informática Forense. Estava lotado de Peritos Criminais da nossa PF e também de outras Polícias. Além disso, muitos do setor privado estavam lá, principalmente da área Financeira.

Eu não podia perder essa, e vou tentar fazer um breve resumo dos três dias de conferência:

Primeiro Dia

O evento abriu com uma solenidade (Best Paper Award) e falou também do evento em 2009, que será em Natal.

Em seguida tivemos uma palestra com o Presidente da Microsoft no Brasil e outra sobre a investigação policial em crimes virtuais na Espanha.

A parte da tarde dividia as turmas, e lá estava eu no auditório D com as palestras sobre:

• WMM: Palestra do Perito Galileu Souza (vencedor do Best Paper), falando sobre a ferramenta de extração de vestígios (artefatos) do Windows Live Messenger.
• O Perito Breno Rangel exibiu uma metodologia bastante interessante para tratar modificações em arquivos e sua aplicação no combate a pedofilia e a outras formas de crime virtual. A sacada de transformar uma figura em ascii para comparar o conteúdo e não os bits e bytes (que são muito diferentes devido a compactação de jpg, por exemplo) foi genial. Mandei um e-mail para ele, comentando sobre um artigo que escrevi aqui a respeito do ssdeep, ferramenta de fuzzy hash criada pelo Jesse Kornblum, para comparar arquivos desiguais, mas com certo grau de semelhança. Pode ser útil.
• Daniel Miranda e Leandro Pozzebon mostraram técnicas de OCR e sua utilização na busca de vestígios.
• Fuga para o auditório C, Palestra do David Petty sobre Ferramentas para Forense e seus desafios. Falou do EnCase quando pode, mas foi boa palestra.

Segundo Dia

Iniciamos o dia com a boa palestra de Jeffrey Hill, do Secret Service Americano, seguido por uma palestra expondo o trabalho da Guarda Civil da Espanha na luta contra os crimes virtuais e uma dupla do FBI (J Burns e Troy Kelly) fechou a manhã com uma palestra sobre análise de malwares.

Após o almoço, eu estive:

• Análise de Fluxos para coleta de evidências, de um trio de universitários. Paralelamente, peguei um pedaço da palestra sobre vestígios em iPhone e iTouch, do Perito Ivo Peixinho.
• Guilherme Braz falou sobre um projeto chamado Saint Nicholas, muito interessante, que ajuda no combate a Pedofilia fazendo uma base de hashes, no mesmo estilo que existe na NSRL.
• Thiago Cavalcante mostrou um estudo de caso de como chegou nos vestígios de um caso. Essa palestra foi uma das melhores, pois ilustrou muito bem o dia a dia de um Perito, buscando pistas e informações, garimpando literalmente o HD.
• A turma da PF estava com tudo no segundo dia, e fechei com a palestra sobre celulares como prova de crime, da Perita Andréia Stanger.

Terceiro dia

Perdi a primeira palestra - graças ao trânsito ruim que peguei na ida - mas peguei a excelente palestra do Oscar Bermudez, do CSIRT da Colômbia. Depois, tivemos uma também excelente palestra do Marcos Vinícius, Perito da PF que comentou a rotina dos trabalhos e como é a estrutura da nossa PF para o trabalho com Forense.

Uma colocação do Vinícius me chamou a atenção para um ponto. Ainda não temos um nome "oficial". Alguns chamam de Computação Forense, outros de Forense Computacional (como o meu blog), outros de Informática Forense, eDiscovery, Investigação Digital e Perícia Forense Aplicada a Informática. Precisamos resolver isso ...

Na parte da tarde:

• Curta (para o tema), mas excelente palestra do Cris Ard, da Microsoft, sobre Forense no Vista
• Gabriel Menezes mostrou a ferramenta MSN Shadow
• Stephanas e Gilson Silva finalizaram no auditório D o evento com a palestra sobre maneiras de se rastrear acessos a Internet.

O evento foi bom, mas senti falta de maior participação do setor privado. Gostaria de ter visto alguma palestra sobre como o Judiciário tem visto as questões que envolvem prova digital, mas não são crimes. Gostaria de ter visto um estudo de caso de uma investigação no setor privado, algo que mostrasse como foi conduzido e não apenas detalhes técnicos.

Também lamentei a parte das exposições. Não que estivesse ruim, mas é uma triste constatação vermos que só temos um fornecedor de produtos em Forense Computacional exibindo produtos lá. A TechBiz é competentíssima, mas um evento desses nos EUA atrairia muitos expositores ...

Terminei o evento sugerindo que no próximo tragam o Harlan Carvey ou o Jesse Kornblum. AAron Walters também não seria ruim ... Michael Cohen, Brian Carrier, ou outro do Olimpo da Computer Forensics mundial. Temos muito a aprender com esses caras ...

Gostaria de ver comentários de outros participantes, sugestões, etc. Comentem !

Até o próximo post !

Até que enfim !!!! Helix 2.0

Isso é que dá estar muito ocupado. Coisas interessantes acontecem e acabamos sabendo só depois de quase 15 dias. Mas a notícia é muito boa !

A tão esperada super atualização do Helix, nomeada como Helix 2.0, enfim está disponível. Está desde 15 de setembro, na verdade.

Junto com o live CD, deram uma repaginada completa no site. Outra grande mudança é que o Helix não é mais baseado no Knoppix. A nova versão está baseada no Ubuntu. Além disso, fizeram a retirada do PyFlag, que cá entre nós não funcionava direito no Helix mesmo.

A lista completa dos updates está aqui.

Não perca tempo, clique aqui e baixe o ISO do Live CD.

Alguém gostaria de comentar algo sobre a nova versão ?

Até o próximo post !

Yes, nós temos F-Response !

Acabei de ler uma excelente nota (e um grande avanço para nós) no site da F-Response.

Para quem não conhece ainda, F-Response é a badalação do momento no que se refere a software para Forense Computacional. Esqueça a idéia de uma mega ferramenta que faz tudo, porque o F-Response não é por aí. O executável do produto não deve passar de 200 Kb, para você ter uma idéia.

A grande sacada desse produto foi agregar, via rede, os discos de uma outra máquina. Com meia dúzia de clicks você consegue acessar, em modo somente-escrita, os discos remotos como se fossem discos locais. E não é só isso (isso parece aqueles anúncios de produtos que vendem na TV) ! Ele não depende de nenhuma aplicação forense em especial, pois monta os discos remotos fisicamente. Com isso, podemos usar desde EnCase, FTK, ProDiscover, até os utilitários e ferramentas disponíveis em opensource, como se os discos estivessem locais.

Pode esperar que vem uma revolução muito boa aí na forma de fazer Forense Computacional. Já não era hora. Aqui no Brasil ainda não parecemos sentir isso, porque estamos a bem da verdade engatinhando nesse terreno, mas lá fora tenho lido sobre algumas preocupações com o rumo da tecnologia versus metodologia e isso está tirando o sono de alguns. Nesse caso, o F-Response veio para ajudar, e muito ...

A boa notícia ?

Eu conheci o produto, entrei em contato com o criador dele e conversamos sobre a disponibilização desse produto no Brasil. Coloquei em contato com o Matthew um dos meus amigos aqui do Brasil, da competentíssima TI Safe, e a conversa deu Samba ! Agora temos um representante no Brasil desse produto, o que facilita muita coisa na compra e no suporte.

Dê uma olhada no site, e veja na área de representantes a bandeira verde e amarela ;)

Alguém já conhecia o produto ? Comentários ?

Até o próximo post !

Chororô

Nunca fui de ficar choramingando em épocas difíceis. Mas a coisa está realmente feia para mim, em relação a tempo. Como já disse aqui, estou preparando um curso sobre Forense Computacional, e o material está consumindo 100% da minha CPU.

Bom, como não adianta ficar se lamentando, que isso não cria tempo extra, decidi colocar pelo menos um mini-post.

O assunto é dos bons: Anti-Forense. Eu o acho intrigante, pois enquanto há pessoas trabalhando para melhorar as técnicas, alguns estão procurando os nossos erros ... No problem, já dizem os mais velhos que não crescemos sem um antagonismo para nos forçar a melhorar. Então que venham esses meliantes !

O artigo que vou falar é muito interessante. Ele não tem o interesse de simplesmente divulgar falhas nos métodos ou mostrar como os Investigadores Digitais podem ser "facilmente" enganados. Foi um estudo sério, realizado por um investigador da equipe do CERT, que busca dentre várias ferramentas tidas como "ferramentas para manter a privacidade", as suas características e como elas são usadas para eliminar evidências.

A parte boa é ver que muitas dessas ferramentas, de acordo com o artigo, apresentam falhas naquilo que prometem. Algumas são bugs mesmo, e outras são falhas de conceito, pois removem dados em um local e esquecem de remover outros.

O artigo vale a pena, principalmente para se buscar por ferramentas desse tipo nas imagens e, se encontrando alguma, intensificar buscas de artefatos. Ele vai ajudar, servindo de referência, nesses casos. Outro ponto importante é que, na medida em que se acha um software desse tipo na máquina, cai o véu de inocência do nosso suspeito ... Pelo menos no sentido de nós, peritos, ficarmos mais atentos aos artefatos.

Baixe o artigo aqui.

Comentários ?

Até o próximo post !