PERÍCIA EM INFORMÁTICA

Aula 04 – Exames forenses em dispositivos de armazenamento computacional - Extração

Curso de Sistemas de Informação.

Prof. Diovani Milhorim

Exames em dispositivos de armazenamento

• Fases do exame - dispositivos de armazenamento.

• Preservação• Extração• Análise• Formalização

Exames em dispositivos de armazenamento

• Fases do exame - dispositivos de armazenamento.

• Extração

Recuperação de todas as informações contidas na cópia dos dados provenientes da fase de preservação da evidência.

Todos os procedimentos são realizados na cópia (imagem ou espelho) da evidência

Exames em dispositivos de armazenamento

• Fases do exame - dispositivos de armazenamento.

• Extração

Informações não se restrigem apenas aquelas visíveis inicialmente.

Arquivos podem ser ocultos, temporários, criptografados, fragmentos deletados, etc...

A busca de uma informação pode se tornar bastante complexa à medida que estes foram ocultos, criptografados ou mesmo apagados do sistema de arquivos.

Exames em dispositivos de armazenamento

• Fases do exame - dispositivos de armazenamento.

• Extração

Lembrando:

Arquivos de um sistema não são apagados simplesmente. Na verdade o que ocorre é a liberação do espaço em disco pertencente ao arquivo para gravação. Pode-se localizar arquivos inteiros ou fragmentos de arquivos apagados com softwares específicos.

Exames em dispositivos de armazenamento

• Fases do exame - dispositivos de armazenamento.

• Extração

Busca de assinatura

Assinatura: cabecalho de um tipo de arquivo que o indentifica.

O processo de busca de um arquivo pela sua assinatura é chamado de “data carving”.

Exames em dispositivos de armazenamento

• Fases do exame - dispositivos de armazenamento.

• Extração

Recuperação de dados: Ferramentas mais utilizadas

• Sleuth kit (TSK) – apanhado de ferramentas forenses• Autopsy – interface gráfica do TSK• Ontrack data recovery (ferramenta com custo)

Exames em dispositivos de armazenamento

• Fases do exame - dispositivos de armazenamento.

• Extração

Recuperação de dados: Prática 01

Analisar imagem de um sistema de arquivo para determinar a existência de arquivos deletados.

Exames em dispositivos de armazenamento

• Fases do exame - dispositivos de armazenamento.

Prática 01

Passo 01: Criando diretório de imagens:

#mkdir /opt/imagens

Criando imagem do disco

#dd if=/dev/sdb1 conv=notrunc,noerror,sync > /opt/imagens/pendrive01.img

Exames em dispositivos de armazenamento

• Fases do exame - dispositivos de armazenamento.

Prática 01

Passo 02:

Utilizando o autopsy :

No navegador: localhost:9999/autospy

Exames em dispositivos de armazenamento

• Fases do exame - dispositivos de armazenamento.

Prática 01

Passo 03:

• Criando um case.• Adicionando imagem• Criando MD5• Opção “file analysys”• Busca por arquivos deletados