Perícia Forense Digital

Apresenta aos alunos os conceitos básicos sobre perícia forense digital, e trata da evolução da Perícia Forense como um todo no mundo.

• Introdução: Descreve a necessidade e os objetivos da perícia forense digital
• Histórico da Disciplina: Mostra a evolução da perícia forense desde Tzu Sung até a identificação de criminosos através de exames de DNA.
• Conceitos Fundamentais: Aborda os conceitos sobre tipos de incidentes, crime de meio, prova de autoria, objeto da prova, teoria geral das provas, sistema acusatório, conjunto probatório, provas lícitas e ilícitas, frutos da árvore envenenada, proporcionalidade, dolo, culpa. O Capítulo diferencia também os tipos de peritos e os vestígios, evidências e provas

Apresenta aos alunos a forma correta de coleta forense e o papel do First Responder, ou seja, a primeira pessoa a interagir com as provas após um incidente.

• O papel do First Responder: Explica o preparo necessário para lidar com incidentes de segurança mantendo a cadeia de custódia das provas. Aborda os tipos de evidência e sua volatilidade, a decisão de desligar ou não o equipamento e como fazê-lo, a duplicação bit-a-bit e a custódia das evidências.
• A Convenção de Budapeste: Aborda algumas das definições da Convenção de Budapeste para definir de forma harmônica os crimes praticados por meio da Internet e as formas de persecução.
• IOCE e SWGDE: Apresentas os princípios definidos por estes dois organismos para a padronização de coleta de evidências de forma que possam ser aceitas em cortes de todo o mundo.
• Legislação no Brasil: Apresenta as leis brasileiras relacionadas a crimes digitais, tais como o Peculato Eletrônico e a Pornografia Infantil.

Apresenta aos alunos o processo de Análise das evidências coletadas.

• Análise Digital: Apresenta o processo de análise digital das evidências e cuidados necessários para garantir a qualidade do relatório gerado. Destacamos os cuidados com Time-stamp, análise de sistemas de arquivos, análise de arquivos apagados, análise de swap files, as ferramentas de análise e a análise de telefones celulares.

Apresenta aos alunos a etapa de encerramento e geração do relatório forense.

• Encerramento do caso: Apresenta o fluxograma de encerramento do caso, os cuidados de sanitização, o processo de bookmarking, a geração de relatórios não litigiosos e de laudos, os cuidados na linguagem de criação dos relatórios, o Heptâmetro de Quintiliano e os cuidados de armazenamento e documentação do caso.

Apresenta aos alunos a forma correta de coleta forense, agindo de forma organizada, evitando ao máximo a perda ou contaminação de provas na hora da coleta.

• O papel do First Responder: Explica o preparo necessário para lidar com incidentes de segurança mantendo a cadeia de custódia das provas, a forma de documentação do ambiente e os procedimentos de aquisição de evidências.
• Tipos de evidência: Aborda os tipos de evidência e sua ordem de volatilidade. Apresenta cenários onde se deve desligar ou não um equipamento ou sua conexão com a rede, ponderando os ganhos e perdas de cada abordagem
• O Kit de coleta: apresenta as ferramentas necessárias para uma coleta forense bem-sucedida. Neste módulo o aluno prepara seu Kit para as coletas realizadas no próximo módulo.

• Preservação de dados voláteis: Ensina através de laboratórios como preservar uma evidencia para posterior análise forense da memória (memory forensics) e como realizar um procedimento de live analisys.
• Imagens Forenses: Apresenta as formas de duplicação bit-a-bit de dados armazenados em diversos tipos de mídias, as ferramentas utilizadas para tal, e os cuidados para a correta custódia das evidências.

Este módulo apresenta algumas das principais ferramentas utilizadas em análises forenses, dando ao aluno uma noção geral sobre as funcionalidades de cada uma.

• Análise de dados puros: Apresenta as ferramentas utilizados para se analisar os dados de um arquivo ou sistema de arquivos byte a byte, apresentando os como string ou em formato decimal e hexadecimal.
• Análise de tipos conhecidos de arquivos: Apresenta as ferramentas capazes de extrair informações de tipos conhecidos de arquivos como os arquivos do office, PDF e arquivos de imagem.
• Quebra de criptografia: Apresenta as ferramentas que possibilitam aos investigadores decifrar arquivos criptografados para recuperar peças de informações importantes para o caso em estudo.
• Suites: Apresenta aos alunos as ferramentas que realizam diversos tipos de análise.

Neste módulo, o aluno investiga diferentes sistemas de arquivos à procura para entender as particularidades de cada um e onde cada sistema pode fornecer ou ocultar importantes informações.

• FAT: Apresenta o funcionamento dos sistemas FAT de 8, 16, 32 e da vFAT. Estes sistemas são muito utilizados em dispositivos USB para transferir informações entre sistemas diferentes.
• NTFS: Apresenta as particularidades do sistemas de arquivos que acompanha o Windows desde as primeiras versões do Windows NT e persiste até o Windows 10.
• Sistemas Linux: Apresenta os sistemas de arquivos mais utilizados nas principais distribuições Linux e explora as particularidades de cada um.
• Slack Spaces: Apresenta os espaços onde informações podem ser ocultadas e informações residuais podem ser encontradas.
• Recuperação de arquivos apagados e Data Carving: Apresenta as técnicas para recuperação de arquivos deletados e a reconstrução de arquivos que já não aparecem nem como deletados nas tabelas de arquivos.
• Dispositivos USB: Apresenta as particularidades dos dispositivos USB, assim como os rastros deixados pelos mesmos nos sistemas onde são utilizados.

Neste módulo, o aluno investiga dados e metadados de diferentes tipos de arquivos para encontrar informações que não são facilmente identificadas e aprende as técnicas para localizar arquivos dentro de evidências.

• Magic Numbers: Apresenta aos alunos os identificadores de tipos de arquivos, utilizados detectar tentativas de ofuscar uma investigação e para a recuperação de arquivos (Data Carving)
• Hash e FUZZY Hash: Apresenta o funcionamento dos algoritmos de Hash e o funcionamento de algoritmos de pesquisa de arquivos semelhantes através de Fuzzy Hash.
• Bancos de dados de arquivos conhecidos: Descreve o funcionamento das tabelas de arquivos conhecidos para auxiliar ao pesquisador a limitar o escopo da pesquisa ou localizar arquivos já reconhecidos como importantes para a investigação.
• Mensagens instantâneas: Apresenta as formas de análise de mensagens dos principais comunicadores no mercado (Skype, gtalk, etc.).
• Arquivos do Browser: Apresenta as técnicas para reconstrução de navegação dos usuários e análise de sua navegação.
• Emails: Apresenta as técnicas para análise de arquivos de e-mails encontrados nas evidências
• Documentos do usuário: apresenta as técnicas para análise de diversos tipos de documentos de usuários como textos, planilhas, etc.
• Imagens: apresenta as técnicas para análise de imagens, identificando a origem das imagens, local (GPS), data e outros dados importantes para uma investigação