Verificacao forense de hash
O que é Verificacao forense de hash?
Verificacao forense de hashPratica de calcular e comparar hashes criptograficos (geralmente MD5 e SHA-256) das imagens forenses e dos suportes originais para provar a integridade da evidencia.
A verificacao forense de hash e a pratica fundamental de calcular hashes criptograficos como MD5, SHA-1 e SHA-256 sobre a evidencia digital e compara-los em cada etapa para demonstrar que a evidencia nao foi alterada. Durante a aquisicao, bloqueadores de escrita por hardware ou software e ferramentas como FTK Imager, Guymager ou 'dd' calculam um hash do suporte original e da imagem resultante; os hashes devem coincidir. A re-hashing na estacao de trabalho e em cada transferencia ou restauracao e documentada na cadeia de custodia. Normas como NIST SP 800-86, as boas praticas da SWGDE e a ISO/IEC 27037 exigem hashing duplo (MD5 + SHA-256), pois o MD5 ja nao e resistente a colisoes. Conjuntos como o NIST NSRL ajudam ainda a filtrar ficheiros conhecidos como confiaveis.
● Exemplos
- 01
Registar 'Aquisicao MD5 = ...; SHA-256 = ...' no formulario de cadeia de custodia e verificar coincidencia apos cada restauracao.
- 02
Recalcular o hash de uma imagem E01 com 'ewfverify' antes de iniciar a analise para provar a sua integridade.
● Perguntas frequentes
O que é Verificacao forense de hash?
Pratica de calcular e comparar hashes criptograficos (geralmente MD5 e SHA-256) das imagens forenses e dos suportes originais para provar a integridade da evidencia. Pertence à categoria Forense e resposta da cibersegurança.
O que significa Verificacao forense de hash?
Pratica de calcular e comparar hashes criptograficos (geralmente MD5 e SHA-256) das imagens forenses e dos suportes originais para provar a integridade da evidencia.
Como funciona Verificacao forense de hash?
A verificacao forense de hash e a pratica fundamental de calcular hashes criptograficos como MD5, SHA-1 e SHA-256 sobre a evidencia digital e compara-los em cada etapa para demonstrar que a evidencia nao foi alterada. Durante a aquisicao, bloqueadores de escrita por hardware ou software e ferramentas como FTK Imager, Guymager ou 'dd' calculam um hash do suporte original e da imagem resultante; os hashes devem coincidir. A re-hashing na estacao de trabalho e em cada transferencia ou restauracao e documentada na cadeia de custodia. Normas como NIST SP 800-86, as boas praticas da SWGDE e a ISO/IEC 27037 exigem hashing duplo (MD5 + SHA-256), pois o MD5 ja nao e resistente a colisoes. Conjuntos como o NIST NSRL ajudam ainda a filtrar ficheiros conhecidos como confiaveis.
Como se defender contra Verificacao forense de hash?
As defesas contra Verificacao forense de hash costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.
Quais são outros nomes para Verificacao forense de hash?
Nomes alternativos comuns: Hash de evidencia, Verificacao de hash de imagem, Hashing forense.
● Termos relacionados
- forensics-ir№ 162
Cadeia de custódia
Registo cronológico e documentado de cada pessoa, local e ação que afetam uma evidência desde a apreensão até à sua disposição final.
- forensics-ir№ 426
Imagem forense
Cópia bit a bit de um suporte de armazenamento, verificada por hashes criptográficos, usada para análise forense e como evidência admissível.
- forensics-ir№ 1142
The Sleuth Kit
Biblioteca e conjunto de ferramentas de linha de comando open source para analise de baixo nivel de imagens de disco e sistemas de ficheiros, mantida por Brian Carrier.
- forensics-ir№ 378
EnCase
EnCase e uma familia de produtos comerciais de forense digital da OpenText (originalmente Guidance Software), amplamente usada por forcas de seguranca e investigadores corporativos desde o final dos anos 90.
- forensics-ir№ 436
FTK
Forensic Toolkit (FTK) e uma suite comercial de forense digital desenvolvida pela AccessData e atualmente propriedade da Exterro, usada para adquirir, indexar e analisar evidencia computacional.
- forensics-ir№ 427
Prontidão forense
Capacidade preparada da organização para recolher, preservar e analisar provas digitais com impacto mínimo quando surge um incidente ou questão jurídica.