Evidência Digital & E-Discovery

1) Propósito e escopo

Esta página estabelece critérios técnico-forenses para identificação, coleta, preservação, análise e relato de artefatos digitais, garantindo integridade, rastreabilidade e reprodutibilidade. Abrange endpoints, servidores, redes, nuvem/SaaS, dispositivos móveis, IoT e repositórios de logs, com foco em planejamento metodológico, cadeia de custódia digital, validação de ferramentas e comunicação clara das limitações.

2) Princípios orientadores

  1. Minimização de alterações: priorizar procedimentos que evitem modificar o estado da evidência.
  2. Integridade verificável: uso sistemático de hashes (preferir SHA-256; MD5 apenas como complementar/compatibilidade).
  3. Rastreabilidade completa: registrar quem/como/quando/com o quê (ferramentas e versões).
  4. Reprodutibilidade: preservar dados brutos, parâmetros e ambientes para réplica independente.
  5. Transparência: declarar limitações (retencões, criptografia, anti-forense) e incertezas (ex.: granularidade temporal).
  6. Segregação de funções: quem coleta não avalia isoladamente sem revisão técnica.

3) Escopo e definições operacionais

  • Artefato digital: qualquer dado com metadados relevantes (arquivos, imagens forenses, logs, e-mails, bases, snapshots, dumps de memória).
  • Aquisição física (bit a bit): cópia setor-a-setor de mídia; inclui espaço não alocado.
  • Aquisição lógica: extração seletiva (partição, pasta, objeto).
  • Exportação autenticada: obtenção por API/portal com trilha de auditoria (nuvem/SaaS).
  • Hash: assinatura criptográfica para verificar integridade (registrar algoritmo, data/hora, ferramenta/versão).
  • Timeline: reconstrução temporal com NTP/offset e fuso horário declarados.

4) Planejamento técnico (matriz quesito → fonte → método)

  • Quesitos → quais hipóteses precisam de evidência?
  • Fontes: hosts, contas, buckets, aplicações, sensores, appliances, EDR/SIEM/MDM.
  • Métodos: imagem física/lógica, export API, coleta ao vivo (RAM/processos), PCAP/NetFlow, dumps de logs.
  • Critérios de qualidade: integridade (hash), versões de ferramentas, granularidade temporal, requisitos de custódia.
  • Entregáveis: imagens, listas de arquivos, timelines, relatórios de parsing, dicionário de campos, scripts/planilhas.

5) Identificação e mapeamento de fontes

  • Endpoints/servidores/VMs: discos, volumes, perfis, artefatos de SO/aplicativos.
  • Nuvem/SaaS: objetos/buckets, audit logs, versões/snapshots, trilhas de acesso, regiões e políticas de retenção.
  • E-mail/colaboração: caixas, threads, anexos, permissões, histórico de edição.
  • Redes: PCAP, NetFlow/IPFIX, DNS, proxy, firewall, IDS/IPS.
  • Móveis/IoT: storage, backups, registros de apps/sensores.
    Documente IDs técnicos (hostname, serial, tenant, região) e políticas de retenção que afetem o escopo temporal.

6) Coleta preservadora

Prioridade: aquisições que maximizem integridade e contexto.

  • Imagem física com write blocker; registrar modo, ferramenta e parâmetros.
  • Imagem lógica quando física for inviável; declarar limitações (espaço não alocado não incluído).
  • Exportações autenticadas (nuvem/SaaS) com escopo, token/permits e audit logs anexos.
  • Coleta ao vivo (memória, processos, conexões): justificar necessidade; registrar imediatamente timestamp/offset, host e hash dos dumps.

Passos mínimos

  1. estabilizar (quando possível) → 2) registrar contexto (data/hora/fuso) → 3) executar coleta com ferramenta e versão documentadas → 4) calcular hash do alvo/imagem → 5) gerar log de coleta assinado (ou com hash).

7) Cadeia de custódia digital

  • Formulário: ID único, origem, responsável, data/hora, meio, condição, hashes, lacres selados (quando mídia física).
  • Armazenamento: repositório append-only ou com auditoria/versionamento; criptografia em repouso; controle de chaves (KMS) e perfis de acesso.
  • Transferência: mídia cifrada e lacrada (físico) ou canal autenticado com assinatura e verificação de integridade no destino (lógico).
  • Verificação periódica: rehash (detecção de bit rot), testes de restauração/backups.

8) Validação e versões de ferramentas

  • Validação: usar test sets/golden images e cross-check por ferramenta alternativa quando crítico.
  • Gestão de versões: registrar versão/build, módulos/plugins, hash do executável; documentar impacto de atualizações.
  • Cobertura de parsing: indicar campos/artefatos suportados, taxas de falso-positivo/negativo quando aplicável.

9) Sincronização temporal e metadados

  • NTP nos ambientes de coleta/análise; registrar offset local e fuso.
  • Metadados: preservar MACB, ACLs, atributos estendidos; evitar operações que reescrevam timestamps.
  • Timelines: indicar precisão e lacunas; consolidar eventos de múltiplas fontes (host, app, rede).

10) Gestão e integridade de dados (ALCOA+)

  • Atribuível, Legível, Contemporâneo, Original, Acurado + Completo, Consistente, Duradouro, Disponível.
  • Trilha de auditoria: quem alterou o quê/quando/por quê; logs imutáveis; controle de versões de scripts/planilhas.
  • Backups: redundância, testes de restauração, air gap/snapshots contra ransomware.
  • Formatos: preferir abertos; se proprietários, incluir documentação do leitor/verificador.

11) Documentação de limitações e incertezas

  • Lacunas: retenção curta, criptografia ponta-a-ponta, BYOD sem MDM, políticas de privacidade que restringem export.
  • Impacto: explicar como limita a hipótese/quesito (ex.: janela temporal irrecuperável).
  • Incerteza temporal: granularidade/offsets; declarar faixas e efeito na ordem relativa de eventos.

12) ETL e reprodutibilidade

  • Registrar passo a passo de extração, transformação e carga: filtros, normalizações, deduplicações, mapeamentos e parâmetros.
  • Anexar scripts/planilhas com hash, versões de bibliotecas e dicionário de campos (nome, tipo, origem, semântica).

13) Comunicação no laudo (estrutura sugerida)

  1. Objetivo e escopo (quesitos, hipóteses, janelas temporais).
  2. Ambiente e fontes (inventário de hosts/contas/regiões; políticas de retenção).
  3. Materiais e métodos (coletas, ferramentas/versões, validação, parâmetros).
  4. Cadeia de custódia (formulários, lacres, hashes, trilhas de auditoria).
  5. Resultados (artefatos, correlações, timelines, prints controlados).
  6. Incerteza e limitações (temporal, cobertura de parsing, lacunas).
  7. Respostas por quesito (remissões diretas a dados/métodos/anexos).
  8. Anexos (dados brutos/derivados, logs, scripts, dicionário, tabela de versões).

14) Checklists operacionais

Antes da coleta

  • Autorização interna; plano de coleta e matriz quesito→fonte→método.
  • Ferramentas validadas; mídia de destino preparada (hash inicial).
  • Ambiente com NTP; formulários de custódia e etiquetas prontos.

Durante a coleta

  • Registrar data/hora/fuso, host/conta, operador, ferramenta/versão, parâmetros.
  • Calcular hash do alvo (quando aplicável) e da imagem/export resultante.
  • Gerar log detalhado (comandos, erros, exceções).

Após a coleta

  • Rehash de verificação; armazenamento cifrado; atualização da custódia.
  • Sumário técnico (inventário de itens, tamanhos, hashes).
  • Abertura de QA/QC para revisão técnica independente.

Nuvem/SaaS (especial)

  • Export por API com escopo mínimo necessário; registrar tokens/escopos/expiração.
  • Capturar audit logs; atestar região e carimbo temporal.
  • Evidenciar versões do provedor (schema/fields).

Móveis/IoT (especial)

  • Escolher método (físico/lógico) compatível com o estado do dispositivo.
  • Preservar backups em nuvem quando congruentes aos quesitos.
  • Documentar limitações (cripto, bootloader, root/jailbreak).

15) Exemplos curtos

Imagem de disco
Aquisição bit a bit com write blocker; ferramenta; SHA-256 do alvo e da imagem; log de coleta; mídia cifrada e lacrada; rehash trimestral.

Export de e-mail corporativo (SaaS)
Export API com escopo limitado; audit logs anexos; MBOX com SHA-256; dicionário de campos (From/To/Date/Message-ID) e timezone. Limitação: retenção do provedor em 90 dias (janela anterior irrecuperável).

Timeline híbrida host-rede
Logs de SO (Security/Event), EDR, DNS e proxy; todos com offset NTP documentado; incerteza temporal ±Δ; ordem relativa de eventos críticos preservada.

16) Indicadores de qualidade

  • % coletas com hash verificado (alvo e imagem/export).
  • % relatórios com tabela de versões (ferramentas/scripts) e dicionário de campos.
  • % casos com audit logs anexados (nuvem/SaaS).
  • Tempo médio entre identificação e aquisição (redução de volatilidade).
  • Taxa de não conformidades (hash divergente, lacre violado) e eficácia de correções.

17) Materiais de apoio

  • Formulário de custódia digital (IDs, hashes, lacres, responsáveis).
  • Matriz de coleta (quesito → fonte → método → parâmetros → hash).
  • Tabela de versões (ferramentas/firmware/plugins; hash).
  • Modelo de timeline (com fuso/offset/precisão).
  • Roteiro de validação de parser (test sets, cross-check, cobertura de campos).
  • Dicionário de campos (nome, tipo, origem, semântica, limitações).

18) Relações com outros eixos

  • CoC: integra formulários, lacres, hashes, transferências e auditorias.
  • Validação: estabelece desempenho/limites de ferramentas de coleta/parsing.
  • Rastreabilidade: conecta proveniência, versões e ETL aos resultados.
  • Comunicação: orienta relato de timelines, limitações e anexos reprodutíveis.
  • Quantificação: quando houver métricas (ex.: duração/dano), vincula dados digitais a modelos com sensibilidade.

Aviso final de escopo
Esta página descreve critérios técnico-metodológicos para tratar evidência digital com integridade e reprodutibilidade. Não interpreta normas para casos concretos e não constitui consultoria jurídica.

Declaração editorial
Conteúdo técnico-científico no âmbito das ciências forenses e das normas técnicas; não constitui consultoria jurídica, parecer legal ou recomendação profissional.