EVOLUÇÃO TECNOLÓGICA E USO DA PERITAGEM INFORMÁTICA IN LOCO

Transcrição

1 EVOLUÇÃO TECNOLÓGICA E USO DA PERITAGEM INFORMÁTICA IN LOCO Técnico Superior da Divisão de Informática Forense da PJ Che Ka Kin O trabalho de peritagem informática consiste em realizar exames e análise dos objectos submetidos à examinação, com uma postura legal, científica, profissional, objectiva e independente, e ainda redigir o relatório das análises dos resultados, que posteriormente serve de elemento probatório em tribunal. A fim de poder garantir a legalidade, integridade, veracidade e aceitabilidade das provas, no sentido de poderem ser apresentadas com validade nos julgamentos, quando se realiza a recolha de provas digitais é necessário preencher as condições exigidas nas diferentes etapas (localização, fixação, obtenção, preservação, transporte, análise, examinação, registo, etc.) da Cadeia de Conservação (Chain-of-Custody) e as respectivas técnicas de aplicação. I. A I M P O R T Â N C I A D A PERITAGEM INFORMÁTICA NO LOCAL A peritagem informática in loco (live forensic), visa realizar exames e análises das provas digitais descobertas ou apreendidas no local do crime e posteriormente pedir às pessoas envolvidas que colaborem na investigação fornecendo informações, entretanto, consoante a avaliação da situação efectiva do local de crime, deve-se tomar oportunas e indispensáveis medidas de recolha, fixação e preservação das provas digitais. Os dados dos ficheiros informáticos em si são compostos por sequências de 0 e 1, e podem através do computador, telemóvel, tablet, rede, entre outros equipamentos informáticos, ser arquivados, em forma de fotografia, imagem, ficheiro de processamento de texto etc., em diferentes dispositivos de armazenamento, como disco rígido, disco compacto, memória, equipamento em rede, etc. Enquanto que o computador se encontra em funcionamento, os dados são processados e transferidos em grande volume e há uma mudança constante dos locais onde estão a ser armazenados. Por esta razão as provas digitais podem ser facilmente ocultadas, alteradas, apagadas e podem desaparecer. Por outro lado, o local do crime, no que diz respeito à criminalidade informática, pode ser um local físico (espaço específico, como por exemplo, um equipamento informático encontrado numa determinada sala), ou ainda um local virtual (espaço não especificado, existente na rede). Assim, para além de efectuar, de acordo com a lei, interrogatórios, buscas e depoimentos, recolha de provas factuais e materiais no local físico, quando os agentes e o pessoal técnico efectuam a peritagem informática no local, como é que se realiza a recolha e a extracção de dados digitais no local de crime virtual, quando é que se fazem a recolha, a fixação e a preservação dos dados digitais, que podem ser alterados, 56

2 apagados e desaparecer com facilidade? Tudo isto depende da prontidão e da aplicação das técnicas de peritagem informática no local e se estes são adequados. II. CRITÉRIOS INTERNACIONAIS PARA PERITAGEM INFORMÁTICA NO LOCAL A Organização Internacional de Evidência Digital (IOCE, The International Organization on Computer Evidence) apresentou, em 2000, os princípios e procedimentos internacionais relativos a provas digitais, a um grupo de combate aos crimes que envolvem tecnologia avançada, pertencente ao G8, que hoje em dia têm profundo efeito no desenvolvimento a nível internacional do trabalho de peritagem informática. Essa organização determinou seis princípios para a recolha de prova: 1. Ao tratar das provas digitais, é necessário recorrer a um processo de recolha de prova padronizado; 2. Durante a obtenção das provas digitais, os métodos a utilizar não podem modificar as provas originais; 3. A pessoa que manuseia as provas originais deve ter formação específica; 4. No decurso do acesso, obtenção, armazenamento ou transferência das provas originais, é necessário fazer um registo completo e conservá-lo, para que possam ser consultados posteriormente; 5. O pessoal que efectua todo este processo é responsável pelos actos praticados; 6. As entidades responsáveis pelo acesso, recolha, armazenamento ou transferência de provas digitais têm a responsabilidade de cumprir todos os princípios acima referidos. Até ao presente, a Associação de Agentes Policiais da Inglaterra (ACPO, Association of Chief Police Officers) e o Grupo de Trabalho Científico de Evidência Digital dos EUA (SWGDE, Scientific Working Group on Digital Evidence), que participaram também na implementação dos princípios de recolha de prova da IOCE, continuam a elaborar estudos sobre o desenvolvimento do trabalho de peritagem informática. Para que este trabalho prático possa satisfazer os princípios e padrões de recolha de prova, estas duas organizações emitiram instruções para uma boa prática de recolha de provas digitais (Guidelines for Best Practice in the Forensic Examination of Digital Technology) e vão acrescentando, alterando e aperfeiçoando o conteúdo dessas instruções à medida que se verificam mudanças no trabalho prático. Para além disso, relativamente aos critérios técnicos e regras do trabalho de peritagem informática na China continental, podem-se consultar as Regras de investigação informática no local do crime e de examinação de provas digitais, Regras de peritagem de provas digitais para os órgãos de segurança pública e uma série de critérios vigentes para o sector de segurança pública (GA), a saber: métodos para testar os equipamentos de protecção de escrita dos dispositivos de armazenamento de dados digitais e métodos para localizar, extrair e fixar as provas e dados dos equipamentos de digitalização e ainda normas técnicas para recuperação e examinação de dados que se encontram nas provas materiais digitais, para examinação uniformizada dos ficheiros, para examinação das funcionalidades dos softwares, para busca e examinação das informações das provas materiais digitais etc. As referidas instruções práticas e critérios técnicos, abrangem muito trabalho de preparação e medidas a serem adoptadas antes, no decurso e depois do trabalho de peritagem 57

3 informática no local, ao realizar a recolha de provas digitais no local deve-se: 1. Preparar com antecedência o fluxo de tratamentos padronizados da peritagem informática, a lista relativa às verificações e os registos ou fichas que têm que ser preenchidos; 2. Testar e verificar o fluxo da peritagem informática no local e os respectivos instrumentos a utilizar, confirmando que não vão pôr em causa a veracidade dos registos originais; 3. Ao manusear as provas digitais no local de crime, registar detalhadamente o ambiente do local, o conteúdo visualizado no ecrã do computador e todo o fluxo de recolha de prova, por meio de fotografias, vídeos, notas escritas, desenhos e outras formas de registo, para posteriormente poderem ser consultados e servirem para reconstruir o ambiente do crime; 4. Registar pormenorizadamente a hora da realização, as descobertas, os resultados das análises, entre outros, de cada etapa da peritagem informática utilizada no local; 5. Conforme a avaliação do local do crime, pedir presencialmente ao utilizador do respectivo equipamento para dar informações sobre a configuração do sistema do computador, a forma de ligação da rede e as senhas; 6. Prestar atenção à eventual existência de algum programa e dispositivo, ainda em funcionamento no local, capazes de danificar as provas digitais, se houver deve-se interromper imediatamente a execução desse programa; 7. Face a possibilidade de perder as provas digitais voláteis, ao desligar ou reiniciar o sistema, extrair as provas digitais antes que esse, ainda em funcionamento no local, se desligue ou reinicie, se a situação da altura o permitir; 8. Acondicionar obrigatoriamente os equipamentos em contentores selados que serão assinados e registados, de seguida, garantir a integridade dos mesmos durante o seu transporte (à prova de campos magnéticos, choque, humidade, electricidade estática, fogo etc). III. TIPOS DE PERITAGEM INFORMÁTICA NO LOCAL Os tipos mais comuns de peritagem informática no local são a recolha de prova em equipamento informático encontrado no local, a recolha de prova na rede utilizada no local, a recolha de prova em equipamento móvel e recolha de prova em sistema de vídeo vigilância digital. (I) RECOLHA DE PROVA EM EQUIPAMENTO INFORMÁTICO ENCONTRADO NO LOCAL Refere-se à recolha, examinação e análise dos equipamentos informáticos encontrados e descobertos no local, como computadores de mesa, computadores portáteis, dispositivos externos de armazenamento, dispositivos de memória etc. (II) RECOLHA DE PROVAS NA REDE UTILIZADA NO LOCAL Consiste na recolha, examinação e análise dos equipamentos informáticos, dos estados dos equipamentos da rede e dos dados da rede, encontrados durante a busca efectuada no local, bem como na localização das pistas e provas relacionadas com o caso investigado. Relativamente ao crime informático, como ataques na rede e utilização de malware, deve-se recolher as seguintes informações, que servem para 58

4 analisar o modus operandi empregado e o destino dos dados, que permitem rastrear, camada a camada, a origem do alegado caso praticado na rede enquanto local virtual: operation log do sistema informático e webserver access logs; router, firewall e running state do sistema de detecção de intrusão e registos do log; vestígios de ligação feita pelo intruso que possam eventualmente ser encontrados na rede e nos respectivos equipamentos; verificar se a rede está ou não a ser invadida; registos das ligações da rede sem fio. (III) RECOLHA DE PROVA EM EQUIPAMENTO MÓVEL Equipamentos móveis (como telefone inteligente e tablet) têm muitas qualidades, entre as quais, pequenas dimensões e peso reduzido, são fáceis de serem transportados, têm funcionalidades diversificadas, inúmeros programas (apps) etc. Uma vez que são leves e pequenos a sua bateria pode ter uma duração limitada; por ter funcionalidades diversificadas as informações arquivadas poderão ser protegidas com senhas de acesso complexo ou através de técnicas de reconhecimento biológico, nos telemóveis inteligentes, para iniciar a utilização do equipamento; atendendo que esses apps têm funcionalidades muito amplas, muitas vezes envolvem a transferência de informações entre utilizadores na internet. Por isso, o campo de trabalho da recolha de prova no local, em equipamentos móveis implica os seguintes: realização de duplicação ou registo das provas antes que o equipamento fique sem bateria; procurar saber atempadamente se o equipamento em causa está protegido com um lock, se for este o caso, convém pedir ao utilizador para desactivá-lo; interromper atempadamente a ligação desnecessária dos dados e da rede de telecomunicações, ou bloquear o sinal, de maneira que se possa manter a integridade das provas. (IV) RECOLHA DE PROVAS EM SISTEMAS DE VÍDEO VIGILÂNCIA DIGITAL O sistema de vídeo vigilância digital (DVR, Digital Vídeo Recorder) tem basicamente duas formas: equipamento com computador (Computer Based) e equipamento independente (Standalone Based). Como a maioria dos DVR funciona em modo 7x24, com uma variedade de marcas e modelos, as formas de recolha e de armazenamento de prova, em vídeo, dos diferentes equipamentos podem ter grandes diferenças. Por exemplo, quando o técnico efectuar a recolha de prova num DVR, deve analisar e gerir as seguintes situações, registando o que é indispensável e procurando utilizar a melhor forma técnica de recolha: verificar se o tempo do DVR coincide com o tempo real; se a gravação do DVR se encontrava em funcionamento durante a ocorrência do crime e durante a recolha das provas; se a alegada imagem se encontra na altura em risco de ser apagada ou reescrita; se é viável no local a obtenção da imagem contida no DVR. IV. TÉCNICAS DE RECOLHA DE PROVA NO CAMPO DA PERITAGEM INFORMÁTICA NO LOCAL Conforme o fluxo do trabalho de peritagem informática, padronizado internacionalmente, as etapas para a recolha de provas são o processo inicial de protecção da prova material e prova factual, que dizem respeito à prova digital, que inclui a identificação, preservação e recolha, e o processo posterior que inclui a 59

5 extracção, exame e análise dos equipamentos e objectos relacionados com as provas digitais. Uma vez que há uma diversificação de equipamentos informáticos no local a investigar, é necessário que o responsável pela recolha de prova feita durante o processo de identificação, esteja atento às provas que têm uma relação directa ou indirecta com as provas digitais encontradas no local, como por exemplo: o ambiente físico do local, a estrutura e a direcção do apartamento, a distribuição dos equipamentos informáticos e o seu estado, a existência de impressoras ou scanner que podem ter documentos ligados ao caso investigado, notas escritas e recibos de aquisição de equipamentos informáticos, bem como se deve registar a situação geral através de fotografias, vídeos, desenhos, notas escritas, para que quando se reconstrói o local de crime possam tecnicamente realizarse testes e análise com mais exactidão. No que concerne à preservação, recolha, extracção, examinação e análise das provas digitais, sabendo que as provas podem ser facilmente alteradas, apagadas ou podem desaparecer, e como no local há hipótese de haver ainda mais factores susceptíveis de prejudicar a sua integridade, é necessário realizar uma avaliação do local e utilizar as técnicas de recolha para evitar a possibilidade de prejuízos e danificações nas provas digitais, fazendo o possível para proteger a sua integridade. Relativamente à utilização das técnicas de recolha, de acordo com os critérios internacionais da recolha de prova em computador, existem dois tipos: a recolha estática e a recolha dinâmica. (I) RECOLHA ESTÁTICA (DEAD ANALYSIS) A recolha estática é um tipo de recolha relativamente convencional. Em termos técnicos, para obter a prova digital, a primeira coisa a fazer é desligar da rede eléctrica a máquina e ligar o dispositivo de armazenamento com o dispositivo de protecção de escrita, a seguir é copiar o conteúdo bit-a-bit (Bit Stream Copy) para reproduzir inteiramente o conteúdo do original criando um ficheiro de prova. Em seguida, o ficheiro é submetido à revisão e examinação, para calcular os valores hash MD5/SHA-1, tal como uma impressão digital electrónica da prova original e dos ficheiros da prova, garantindo que os conteúdos das duas sejam plena e coerentemente credíveis, esta actuação facilita uma completa peritagem e análise das provas, em formato de ficheiros, no local ou posteriormente, por exemplo a análise de ficheiros de imagens e vídeos, análise da lista dos registos (Registry), análise de programas, etc. À medida que as técnicas de recolha se vão desenvolvendo, a recolha estática pode ainda ter um estado semi-dinâmico, como por exemplo, por meio de uma técnica que usa um aparelho virtual (Virtual Machine), de um modo intuitivo, cria-se o estado do sistema informático utilizado pelo autor de crime, que facilita a examinação e análise dos comportamentos e das características dos malwares. (II) INSTRUMENTOS UTILIZADOS NA RECOLHA ESTÁTICA Tableau é um conjunto de dispositivos de protecção de escrita amplamente utilizado pelos agentes da autoridade em vários países. Ligando o equipamento de armazenamento com o dispositivo de protecção de escrita, procede-se ao acto de obtenção (Acquisition), para evitar que se escrevam informações no disco rígido dos computadores a examinar. 60

6 Helix 3 Pro, um software de renome destinado à recolha de provas no local. Tecnicamente, podemos utilizar o USB ou disco compacto para activar o computador, depois de activar os equipamentos informáticos examinados no local e aceder ao estado de read-only, para que se possa copiar inteiramente as informações contidas no disco rígido do computador, criando cópias dos ficheiros, ou por meio do read-only extraem-se as provas digitais existentes no sistema informático. Esta prática, pode ajudar eficazmente à escolha de um melhor método de obtenção de dados do disco rígido do computador, consoante as características técnicas dos equipamentos hardware ou do software encontrados no local e, por exemplo num sistema de armazenamento de um computador, que é criado através de uma técnica RAID (Redundant Array of Inexpensive Disks), e com a ajuda do Helix 3 Pro pode-se fisicamente copiar o conteúdo contido no disco rígido lógico, criado por vários componentes informáticos, em modo read-only e de uma forma íntegra, criando cópias dos ficheiros das provas. Vmware, um software de aplicação muito utilizado, através deste software e de instrumentos utilizados na informática forense, criam-se máquinas virtuais (Virtual Machine) para analisar o ambiente, não pondo em causa a integridade das provas originais, e também nos permite, de uma forma intuitiva, consultar o funcionamento do sistema operacional, o que contribui para a investigação do caso e levantamento de provas para o tribunal. (III) RECOLHA DINÂMICA (LIVE ANALYSIS) A recolha dinâmica de prova visa recolher, extrair, registar e analisar as provas encontradas nos equipamentos informáticos (sistema informático, equipamentos da rede, entre outros) que se encontram em funcionamento no local, esta forma de recolha pode evitar a perda de provas importantes se for desligado o reiniciado o computador. A par disso, quando se desligar o computador no local, antes de ser transportado, podem criar-se situações desfavoráveis em que não há hipótese de preservar a integridade das provas digitais, neste caso também é adequado realizar a recolha dinâmica para efectuar a operação de obtenção. A recolha dinâmica é bastante importante para o trabalho posterior de peritagem e análise, nomeadamente para o apoio à investigação na busca de pistas importantes, ajudando a localizar outros eventuais suspeitos, factos e objectos que possam estar envolvidos nos casos a investigar. Geralmente, a unidade de memória do computador divide-se em dois tipos, a memória volátil (por exemplo a memória RAM) e a memória não volátil (como disco rígido e dispositivos de memória USB). Os dados arquivados na primeira são os dados informáticos voláteis. Quando um computador se encontra em funcionamento, diversas informações provenientes dos registos dos cálculos, dos ficheiros abertos temporariamente, das ordens operativas introduzidas pelos utilizadores, entre outros resultados, vão ser escritos, em função da natureza dos programas, dentro desses dois tipos de memória. A memória volátil é mais utilizada para arquivo provisório de resultados dos cálculos e temporário dos ficheiros e dados. Contudo, em termos físicos, a maior diferença reside no facto que quando se desliga ou reinicia o computador, os dados existentes na memória volátil vão consequentemente desaparecer e é impossível recuperá-los. 61

7 Embora a recolha dinâmica seja muito importante para o trabalho de peritagem informática no local, este método deve ser utilizado adequadamente, visto que recolher provas directamente dum sistema informático em funcionamento vai deixar vestígios (Footprint), por isso deve-se seguir o princípio minimizar os prejuízos ao sistema e maximizar a preservação das provas relevantes. Os técnicos devem, de acordo com o que se sabem das circunstâncias do caso a investigar, proceder à avaliação do ambiente do local, e num tempo limitado, atendendo à volatilidade das provas digitais, fazer a recolha segundo a ordem e preservar os dados num equipamento de armazenamento que seja credível. Em Fevereiro de 2002, o grupo The Internet Engineering Task Force (IETF) lançou as instruções RFC3227, onde se sugere aos técnicos desta área que obedeçam à ordem de volatilidade (Order of Volatility), que determina quais dados informáticos devem ser obtidos com prioridade, e os dados voláteis mais comuns são a memória RAM, estado de ligação da rede, situação do uso do port para serviços da rede, registos de remote login, registos do log dos equipamentos da rede, packet de dados emitidos pelo network interface card, programas e serviços activos no sistema, ficheiros abertos temporariamente pelos programas, informações do clipboard e página web presente de internet que estaria a ser consultada. (IV) INSTRUMENTOS PARA A RECOLHA DINÂMICA As referidas instruções para uma boa prática de recolha de provas digitais e os critérios relativos para a utilização das técnicas, indicam que o fluxo de trabalho adoptado e os instrumentos utilizados na peritagem informática, devem ser submetidos primeiro a teste e examinados para confirmação. Os seguintes são alguns instrumentos para recolha de provas em computador, encontrado no local, amplamente reconhecidos e utilizados pelas autoridades de vários países. DD e Winen.exe, instrumentos para recolher os dados da memória RAM que se encontra nos sistemas operacionais Linux e Windows, para arquivar todo o conteúdo da memória física num ficheiro lógico (Logical File) e para analisar as provas digitais obtidas nos softwares por meio de diferentes dispositivos de memória. The Volatility Framework, um conjunto de instrumentos que faz análise da memória com funcionalidades muito completas, é empregado para estudar e analisar as pistas, deixadas pela prática de um crime informático, escondidas nos ficheiros de memória do computador (Memory Dump), nos ficheiros de hibernação do sistema operacional Windows (Hibernation file) e nas cópias do registo de falhas do sistema (Crash Dump), entre outros ficheiros, ou noutras pistas como processos DLL, conversão do endereço das memórias reais e virtuais, informação de PE, Kernel Analysis, estado dos serviços do sistema em funcionamento, registos de ligação etc. F-Response, pode fornecer todas as informações do disco rígido examinado, lidas em modo read-only, através do método de criação de uma ligação de rede, que serve para poder utilizar o Encase, o FTK Imager entre outros instrumentos profissionais para efectuar, através da rede, a operação de obtenção online (Online Acquisition), criando cópias dos ficheiros das provas a partir das informações dos ficheiros do disco rígido 62

8 do computador ou de apenas uma parte das informações do disco rígido. EnCase Portable, um instrumento de peritagem informática no local que pode instalar-se numa unidade de memória USB e é, de uma forma credível, capaz de ajudar os técnicos a efectuar de imediato a recolha no local de determinados ficheiros e registos que se encontram nos equipamentos examinados (como: ficheiros de imagens, ficheiros de processamento de texto do Microsoft Word, registos de utilização da internet etc.) e ainda serve para copiar as respectivas provas digitais criando cópias dos ficheiros. Windows Sysinternals, um conjunto de instrumentos criado pela "Microsoft", onde se encontram diversos softwares muito úteis e muito credíveis como: Autor u n (que analisa os serviços e programas de execução automática do sistema operacional Windows, as informações relacionadas com os acessos feitos pelos utilizadores, entre outros), Process Explorer (que fiscaliza as mudanças nos serviços e programas do sistema operacional em funcionamento), Process Monitor (que inclui o FileMon e o RegMon, entre outros instrumentos, e serve para analisar as operações de escrever e apagar ficheiros, in loco, do computador examinado, as mudanças apresentadas in loco do Registry do Windows, entre outros), TCPView (estado da ligação in loco da rede TCP e UDP do computador examinado). Belkasoft Evidence Center, u ma ferramenta de peritagem informática no local que pode ser instalada numa unidade de memória USB, é capaz de extrair os registos de comunicações contidos nos softwares, dispõem de comunicação online em tempo real (Instant Messenger), do computador examinado e ficheiros de cópias dos telefones inteligentes, bem como pode extrair mensagens das pessoas da lista de contactos e registos dos acessos à internet, etc. No trabalho de peritagem informática, no local é possível que os equipamentos informáticos estejam desligados ou ainda em funcionamento, ou é possível que em alguns deles haja dados em fase de apagamento. Conforme atrás explicado, a recolha estática incide sobretudo na interrupção dos eventuais actos de escrever e apagar dados dos dispositivos de armazenamento, fazendo o possível para manter a integridade das provas digitais, por isso se deve, o mais rápido possível, interromper a corrente eléctrica do equipamento informático em funcionamento. Ao passo que na recolha dinâmica é mais vantajoso para a realização da recolha, fixação e preservação dos dados voláteis (Volatile Data) e dados da rede encontrados no local, visto que é possível evitar a perda parcial de provas digitais causada pela interrupção da corrente eléctrica. As duas técnicas de recolha são empregadas em situações diferentes, mas na prática, a recolha estática e a recolha dinâmica, a nível técnico, podem perfeitamente complementar-se, no sistema informático uma vez que ao mesmo tempo possui unidade de memória volátil (RAM) e unidade de memória não volátil (disco rígido), mas como é que podemos manter a integridade das provas digitais, esta questão implica a necessidade de uma ponderação baseada na relatividade e de haver um equilíbrio entre as duas, para que se possa dar uma maior e eficaz protecção às provas digitais relevantes encontradas no local. O que podemos notar é que, o trabalho de peritagem informática no local não se agarra às convencionais práticas, o importante é a 63

9 capacidade de pronta resposta às diferentes situações aproveitando as técnicas profissionais ao nosso dispor. V. A EVOLUÇÃO DA PERITAGEM INFORMÁTICA IN LOCO (I) A RECOLHA DE PROVAS NO LOCAL IMPLICA UMA GRANDE CAPACIDADE DE RESPOSTA PARA TODAS A SITUAÇÕES Tendo em conta que a nossa vida é hoje baseada na tecnologia, inventam-se cada vez mais produtos electrónicos, a recolha de provas já não se limita só a localizar, apreender, analisar e examinar os equipamentos informáticos convencionais (como computadores, dispositivos de armazenamento USB, etc.), os novos modelos de equipamentos informáticos e dispositivos de armazenamento não podem ser identificados a olho nu, razão pela qual tem aumentado a dificuldade de busca no local. Por outro lado, no actual trabalho de peritagem informática se destaca ainda mais a importância das provas digitais voláteis, quanto maior o número de equipamentos informáticos em funcionamento no local, maior será a probabilidade de perder as provas digitais com o decorrer do tempo, o que explica o aumento do tempo necessário e a dificuldade de tratamento das provas digitais no local. O número crescente de crimes informáticos que recorrem à internet, traz ainda mais desafios à recolha de provas no local virtual. Por isso, a questão de como poder, num espaço de tempo limitado, realizar prontamente a recolha, preservação e fixação das provas digitais, representa sempre para o responsável pela recolha uma prova que demonstra a capacidade de resposta rápida a situações variadas e imprevistas. (II) MUDANÇAS NOS SERVIÇOS DE APLICAÇÃO DA INTERNET DECORRENTES DA RENOVAÇÃO DA TECNOLOGIA A mistura da internet com a nossa vida tem trazido cada vez mais vantagens, os serviços de aplicação da internet antigamente eram comparativamente simples (como por exemplo os serviços de correio electrónico e serviços de redes sociais etc.), futuramente a internet irá proporcionar ainda mais serviços de aplicação completos para os utilizadores (como por exemplo, cálculo de dados, softwares online e capacidade de armazenamento entre outros), todas essas mudanças vão trazer para a recolha de prova no local virtual um novo desenvolvimento. Por isso o pessoal responsável pela informática forense precisa de seguir constantemente de perto o desenvolvimento da oferta na internet e de dominar as novas formas técnicas e profissionais de recolha de provas. (III) O AVANÇO E A GRANDE GENERALIZAÇÃO DOS EQUIPAMENTOS MÓVEIS Nos últimos anos, enquanto que as funcionalidades e as aplicações dos telefones inteligentes e dos tablets proliferam a grande ritmo no mercado, ao mesmo tempo, com a generalização da rede dos telemóveis 3G e desenvolvimento rápido da rede 4G em vários países, e com o impulso das técnicas de fusão de diversas redes (internet, rede televisiva, rede de comunicação, rede smart grid, entre outras), motivou a adopção de técnicas diversificadas e inovadoras em equipamentos móveis de comunicação e nos softwares, o que também levou com que o trabalho de recolha de provas em equipamentos móveis se tenha tornado cada vez mais complexo e diversificado. 64

10 VI. CONCLUSÃO O decorrer do tempo e o grande desenvolvimento tecnológico, modificaram completamente o nosso modo de vida. A dependência do desenvolvimento da tecnologia informática e da utilização da internet é hoje profundamente radicada. Para além disso, as grandes vantagens económicas têm feito com que as formas e as técnicas para a prática criminal, sejam com recurso directo sejam indirecto a equipamentos informáticos e à rede, sejam cada vez mais bem executadas. Quanto ao modo de actuação, os criminosos actuavam antes sozinhos e hoje em dia deparamo-nos com diversos casos organizados, e de certeza, a futura conjuntura e evolução do crime tecnológico tenderá para uma maior complexidade. Para fazer face a este aspecto, o trabalho de informática forense necessita de constantes balanços das experiências obtidas ao longo do tempo, de acompanhamento do desenvolvimento das técnicas de recolha de provas, de um espírito que permita prosseguir a recolha de provas de uma forma legal, profissional e de acordo com os critérios estandardizados, de seguir o fluxo de trabalho estabelecido para a recolha de provas, bem como de dar continuidade ao melhoramento da capacidade de resposta a situações de vário género, para poder enfrentar as dificuldades que possam surgir no trabalho de recolha de prova tanto no espaço físico como no virtual. Referência: Liu Pinxin - On the Legal Regulation of E-discovery, China Legal System Publishing House, International Organization on Computer Evidence (IOCE), 2002, Guidelines for Best Pratice in the Forensic Examination of Digital Technology, from digit_tech.html. Scientific Working Group on Digital Evidence (SWDGE), 2013, SWGDE Best Practices for Computer Forensics Version 3.0, from 0SWGDE%20Best%20Practices%20for%20Computer%20Forensics%20V3-0. Association of Chief Police Officers (ACPO), 2012, Good Practice Guide for Computer-Based Electronic Evidence, from Doc. n.º 161 (2005) do Ministério de Segurança Pública da RPC, Regras para Investigação no Local de Crime Informático e Verificação de Provas Digitais. Doc. n.º 281 (2005) do Ministério de Segurança Pública da RPC, Regras para Peritagem de Dados Digitais dos Serviços Públicos. Cui Ying e Chen Yu, Criminalidade Informática e Análise de Casos, Chinese People s Public Security University Press,