helldanger1
GForum VIP
- Entrou
- Ago 1, 2007
- Mensagens
- 29,631
- Gostos Recebidos
- 1
Neste artigo serão abordadas as técnicas e métodos usados na perícia forense no intento de levantar evidências que permitam identificar que o sistema foi invadido e de onde partiu o ataque em ambiente Unix/Linux.
Por: Matuzalém Guimarães
Ciência, perícia forense e as implicações legais
Computação forense, segundo Heiser; Kruse (2001) é a ciência da aquisição, recuperação, preservação, e apresentação dos dados que foram manipulados eletronicamente e armazenados em mídias computacionais. Ainda segundo o autor, a computação forense, ao invés de produzir conclusões que exigem interpretação do perito, a computação forense produz de forma direta as informações e dados que servirão como provas diretas em processos judiciais contra criminosos cibernéticos.
De acordo com Costa (2003), com a perícia forense computacional é possível reconstruir os fatos que aconteceram no passado em um sistema e seu uso pode estar relacionado com a coleta de evidências para ações disciplinares internas em uma empresa ou para processos conduzidos pela justiça.
Implicações legais
No modelo proposto por Geus (2001 apud Pollitt, 1995), existe uma hierarquia a ser respeitada com duas classes: a das Implicações Legais e a dos Padrões Técnicos. Para cada uma destas classes há também uma hierarquia a ser seguida. A classe dos Padrões Legais é composta inicialmente pelos Princípios Legais e posteriormente pelas Exigências Legais. Na Classe dos Padrões Técnicos primeiramente são considerados os Princípios Técnicos sucedidos pelas Políticas de Análise e posteriormente as Técnicas e Soluções.
Segundo Costa (2006), para o bom exercício das investigações a figura do perito deve seguir cautelosa e cuidadosamente as normas estabelecidas no Código de Processo Penal Brasileiro, duas destas normas podem ser referenciadas como exemplificação numa abordagem computacional, já que no Brasil não existem leis específicas para crimes digitais que estejam em vigor, são os artigos 170 e 171 do Código de Processo Penal brasileiro.
Cagnani; Santos (2008) confirmam que os artigos 170 e 171 do Código de Processo Penal brasileiro são os mais importantes para a perícia, pois trazem as diretrizes gerais da preservação dos dados e do objetivo do laudo pericial.
O artigo 170 assim descreve as ações periciais em laboratório:
Artigo 170: Nas perícias de laboratório, os peritos guardarão material suficiente para a eventualidade de nova perícia. Sempre que conveniente, os laudos serão ilustrados com provas fotográficas, ou microfotográficas, desenhos ou esquemas. Nucci, Código de Processo Penal Comentado, 2008, 386p.
E assim é descrita a forma de lidar com as evidências coletadas;
O perito deverá preservar todos os dispositivos, executar uma cópia integral do(s) disco(s) rígido a serem analisados, executar um hash para comprovação da integridade dos dados, preservar os logs de todo(s) o(s) equipamento(s) envolvidos na investigação é fundamental. De preferência, sem desligar os mesmos e não utilizá-los, visto que o simples ato de ligar e desligar um computador gera gravação, subscrição e/ou modificação de dados, causando eventualmente a perda de dados importantes ou mesmo vitais para uma perfeita, rápida e fácil investigação. Rocha (2003, p.03) apud THEIL.
O artigo 171 descreve o procedimento para reconstruir os eventos;
Artigo 171: Nos crimes cometidos com destruição ou rompimento de obstáculo a subtração da coisa, ou por meio de escalada, os peritos, além de descrever os vestígios, indicarão com que instrumentos, por que meios e em que época presume ter sido o fato praticado. Nucci, Código de Processo Penal Comentado, 2008, 386p.
Segundo Cagnani; Santos (2008) adaptando a este artigo se pode documentar quais as ferramentas de software foram utilizadas para a realização da análise, bem como a possível identificação de uma linha de tempo usando uma análise dos MAC times. Desta forma podem-se realizar equiparações na Lei para que possa ser resguardado o devido valor judicial a uma evidência digital.
Por: Matuzalém Guimarães
Ciência, perícia forense e as implicações legais
Computação forense, segundo Heiser; Kruse (2001) é a ciência da aquisição, recuperação, preservação, e apresentação dos dados que foram manipulados eletronicamente e armazenados em mídias computacionais. Ainda segundo o autor, a computação forense, ao invés de produzir conclusões que exigem interpretação do perito, a computação forense produz de forma direta as informações e dados que servirão como provas diretas em processos judiciais contra criminosos cibernéticos.
De acordo com Costa (2003), com a perícia forense computacional é possível reconstruir os fatos que aconteceram no passado em um sistema e seu uso pode estar relacionado com a coleta de evidências para ações disciplinares internas em uma empresa ou para processos conduzidos pela justiça.
Implicações legais
No modelo proposto por Geus (2001 apud Pollitt, 1995), existe uma hierarquia a ser respeitada com duas classes: a das Implicações Legais e a dos Padrões Técnicos. Para cada uma destas classes há também uma hierarquia a ser seguida. A classe dos Padrões Legais é composta inicialmente pelos Princípios Legais e posteriormente pelas Exigências Legais. Na Classe dos Padrões Técnicos primeiramente são considerados os Princípios Técnicos sucedidos pelas Políticas de Análise e posteriormente as Técnicas e Soluções.
Segundo Costa (2006), para o bom exercício das investigações a figura do perito deve seguir cautelosa e cuidadosamente as normas estabelecidas no Código de Processo Penal Brasileiro, duas destas normas podem ser referenciadas como exemplificação numa abordagem computacional, já que no Brasil não existem leis específicas para crimes digitais que estejam em vigor, são os artigos 170 e 171 do Código de Processo Penal brasileiro.
Cagnani; Santos (2008) confirmam que os artigos 170 e 171 do Código de Processo Penal brasileiro são os mais importantes para a perícia, pois trazem as diretrizes gerais da preservação dos dados e do objetivo do laudo pericial.
O artigo 170 assim descreve as ações periciais em laboratório:
Artigo 170: Nas perícias de laboratório, os peritos guardarão material suficiente para a eventualidade de nova perícia. Sempre que conveniente, os laudos serão ilustrados com provas fotográficas, ou microfotográficas, desenhos ou esquemas. Nucci, Código de Processo Penal Comentado, 2008, 386p.
E assim é descrita a forma de lidar com as evidências coletadas;
O perito deverá preservar todos os dispositivos, executar uma cópia integral do(s) disco(s) rígido a serem analisados, executar um hash para comprovação da integridade dos dados, preservar os logs de todo(s) o(s) equipamento(s) envolvidos na investigação é fundamental. De preferência, sem desligar os mesmos e não utilizá-los, visto que o simples ato de ligar e desligar um computador gera gravação, subscrição e/ou modificação de dados, causando eventualmente a perda de dados importantes ou mesmo vitais para uma perfeita, rápida e fácil investigação. Rocha (2003, p.03) apud THEIL.
O artigo 171 descreve o procedimento para reconstruir os eventos;
Artigo 171: Nos crimes cometidos com destruição ou rompimento de obstáculo a subtração da coisa, ou por meio de escalada, os peritos, além de descrever os vestígios, indicarão com que instrumentos, por que meios e em que época presume ter sido o fato praticado. Nucci, Código de Processo Penal Comentado, 2008, 386p.
Segundo Cagnani; Santos (2008) adaptando a este artigo se pode documentar quais as ferramentas de software foram utilizadas para a realização da análise, bem como a possível identificação de uma linha de tempo usando uma análise dos MAC times. Desta forma podem-se realizar equiparações na Lei para que possa ser resguardado o devido valor judicial a uma evidência digital.