Forense digital.

A forense digital aplica técnicas de investigação a artefactos digitais para apoiar resposta a incidentes, litígios, investigações internas e processos judiciais. Os profissionais seguem modelos reconhecidos como NIST SP 800-86 e ISO/IEC 27037 para adquirir dados com integridade, manter a cadeia de custódia e reconstruir eventos por meio de análise de linha do tempo e artefactos. Os subdomínios cobrem disco, memória, rede, móvel e nuvem, cada um com ferramentas próprias (Autopsy, EnCase, FTK, X-Ways, Volatility, Wireshark).

Princípios que sustentam a validade das evidências

A aquisição segue a ordem de volatilidade (RFC 3227): capturam-se os registos da CPU, a RAM e o estado da rede antes de tocar nos discos não voláteis, porque a memória volátil perde-se ao desligar o equipamento e, ainda assim, costuma conter chaves de cifra, código injetado e ligações ativas. As imagens de disco são obtidas através de bloqueadores de escrita por hardware e verificadas comparando os hashes MD5/SHA-256 da origem e da cópia — uma divergência significa que a evidência está comprometida. A regra ACPO / cadeia de custódia estabelece que os dados adquiridos não podem ser alterados; quando a alteração é inevitável (aquisição em tempo real), o examinador deve ser competente e documentar cada ação.

A admissibilidade em tribunal assenta na reprodutibilidade. O padrão norte-americano Daubert e as diretrizes SWGDE, criadas pelo FBI, exigem métodos que outros examinadores possam repetir e submeter a revisão por pares, razão pela qual as ferramentas forenses são validadas (por exemplo, o projeto Computer Forensic Tool Testing do NIST) e pela qual os analistas registam as versões das ferramentas e os valores de hash nos seus relatórios. O mesmo rigor que satisfaz um tribunal sustenta também decisões sólidas de contenção durante um incidente.

flowchart LR
  A[Identificar fontes de evidência] --> B[Preservar: isolar,<br/>ordem de volatilidade]
  B --> C[Adquirir: imagem com bloqueador<br/>+ verificação de hash]
  C --> D[Analisar: linha do tempo,<br/>artefactos, carving]
  D --> E[Documentar: cadeia de custódia,<br/>versões de ferramentas, hashes]
  E --> F[Relatar: conclusões reproduzíveis<br/>e defensáveis em tribunal]
  C -.manter integridade do hash.-> E