Belkasoft Evidence Center 2014

Transcrição

1 Belkasoft Web: Belkasoft Evidence Center 2014 Sumário Resumo do Belkasoft Evidence Center Funcionalidade principais do Belkasoft Evidence Center... 6 Versões do produto e edições... 7 Hardware recomendado... 8 Instalando Evidence Center Gerenciamento de Casos... 9 Requerimentos... 9 Instalando Gerenciamento de Casos... 9 Criando um banco de dados SQL Server...10 Instalando Belkasoft Evidence Center Enterprise...12 Início rápido...14 Software de uso forense...15 Rodando o programa...16 Gerenciamento de Casos...18 Abrindo um caso...18 Gerenciando Casos...20 Janelas do produto...21 Process Explorer...23 Caso, origem de dados, perfil e propriedades de bookmark...27 Lista de Itens...29 Propriedades do Item...31 Gerenciador de Tarefas...32 Resultados de busca...34 Visualizador SQLite

2 Visualizador de Registry...38 Graphical Timeline...39 Grid (Textual) Timeline...41 Visualizador de Imagem e Documentos...45 Visualizador Hex...46 Navegador Web...46 Procurando por evidência...48 Extraindo evidências...54 Extraindo históricos QQ Opção Como testar a opção 1?...57 Opção Como testar a opção 2?...58 Opção Procurando por palavra-chave...59 Bookmarking...61 Criando relatórios...63 Opções avançadas de relatório...65 Exportar para Evidence Reader...73 Carving and Live RAM analysis...74 O que é Carving...74 Como iniciar o Carving...75 BelkaCarving...80 Analisando arquivos de hibernação e paginação...82 Analisando dispositivos móveis...83 Analisando documentos...86 Análise "low hanging fruits" de registro...90 Analisando arquivos de sistema...92 Analisando bancos de dados SQLite...93 Analisando a freelist do SQLite...93 Analisando arquivos de transação do SQLite...94 Resolvendo nome MSN...95 Gerenciamento de usuários (Apenas Enterprise)...95 Analisador de tráfego de rede

3 Detectando arquivos criptografados...96 Informações extraídas de navegadores web...98 Browser passwords...98 Cálculo do Hash...99 Codificação Timestamps Fusos horários Ordenação Análise de Imagens Detectando rostos Detectando texto Detectando pornografia Detectando imagens forjadas Removendo imagens detectadas incorretamente: Armazenando imagens e documentos no banco de dados Operações com imagens Trabalhando com dados de geolocalização Copiando arquivos para uma pasta Copiando arquivos embutidos e anexos para pasta Filtros Gerenciando Filtros Editando propriedades do filtro Análise de vídeo Janelas de Erro Opções Opções Gerais Opções de imagem Opções de Vídeo Mudando a pasta CaseData Montando imagens de disco ou de dispositivos móveis Verificando atualizações Recursos disponíveis Limitações do modo Demonstração Registrando o produto

4 Hardware ID Após a compra Tipos de Licença Por que escolher licença flutuante?

5 Resumo do Belkasoft Evidence Center 2014 Belkasoft Evidence Center é o carro-chefe da suíte de produtos de forense digital da Belkasoft. O produto torna mais fácil para um investigador pesquisar, analisar e compartilhar evidências digitais localizadas em desktops, laptops, imagens forenses, memória volátil, máquinas virtuais e em dispositivos móveis. A suíte permite a pesquisa textual completa entre as centenas de diferentes tipos de evidência e oferece uma linha do tempo totalmente visual, permitindo a investigadores analisar todas as atividades de usuário no sistema que ocorreram em um determinado período de tempo. Belkasoft Evidence Center destina-se a coletar o maior número de tipos de evidências possíveis de maneira forense. Os tipos de evidência suportados incluem documentos office, caixas de correio, aplicativos de dispositivos móveis, histórico de uso, arquivos de sistema e registro, arquivos de imagem e vídeo, bancos de dados SQLite, comunicação em redes sociais, históricos de mensagens instantâneas, sessões de navegação na Internet, webmail, dados de aplicativos P2P, aplicações em nuvem, chats de MMORPG, arquivos criptografados, entre outros 5

6 O produto é parte da família de produtos Belkasoft Acquisition & Analysis Suite. Ele pode ser comprado separadamente ou como parte da suíte. Funcionalidade principais do Belkasoft Evidence Center O produto oferece, entre outros, os seguintes recursos forenses de grande importância: Documentos Office, incluindo arquivos Microsoft Office, OpenOffice, PDF e RTF: Texto em claro, metadados e objetos embutidos são extraídos e analisados. Backups de dispositivos móveis, imagens UFED para Android, iphone, ipad e Blackberry são analisados e chamadas, SMS/iMessages e dados de aplicações são coletados. Todos os principais clientes de são suportados incluindo Outlook, Outlook Express, Mozilla Thunderbird, Windows Live Mail, The Bat etc. Arquivos de imagem e vídeo são varridos e analisados para dados EXIF, pornografia, rostos, texto "scaneado" e sinais de adulteração/modificação de imagem. Mais de 90 formatos de imagem são suportados incluindo muitos formatos RAW de câmeras. Todos os principais navegadores web são suportados incluindo Internet Explorer, Mozilla Firefox, Chrome, Opera, Safari, etc. Todos os principais clientes de mensagem instantânea são suportados incluindo Skype, MSN, Yahoo Messenger, ICQ, e muitos mais. Mais de 150 tipos de arquivos criptografados podem ser identificados. Arquivos de sistema tais como logs de eventos do Windows, thumbnails, thumb cache, arquivos de registry e jumplists são suportados. Pesquisa textual completa em todos os tipos de evidências coletadas. Suporte nativo a bases de dados SQLite, permitindo recuperação de bases danificadas ou parcialmente sobrescritas. Visualizador SQLite proprietário, logo não há necessidade de uso aplicações de terceiros. Análise de SQLite freelist, WAL e arquivo de jornal extraem evidências parcialmente destruídas e mostram informações como SMS de iphone e conversas Skype apagadas. Suporte nativo a arquivos de registro do Windows permitindo recuperação de entradas danificadas ou parcialmente sobrescritas. Visualizador de registry proprietário permite visualização automática dentro da própria aplicação. 6

7 Recuperação( Carving ) de histórico suportado em espaço alocado, não alocado ou disco inteiro. Capacidade de processar arquivos com formato de codificação YEnc, tanto em espaço alocado como arquivos apagados e também reconhecê-los em anexos de s. Análise de memória volátil (RAM) permite a extração de informações de mídias sociais (Facebook, Twitter, ), Webmails (Gmail, Hotmail, ), dados de aplicações em nuvem (Dropbox, Flickr, ) entre outros. Análise BelkaCarving desfragmenta dumps de memória RAM para resultados mais assertivos. Versão de linha do tempo baseada em texto ou completamente visual provê habilidade de filtrar e mostrar todas atividades de usuário e eventos de sistema de forma unificada. Relatórios em formato texto, HTML, XML, CSV, PDF, RTF, EML, Excel e Word, com opção de uso de poderosos componentes de edição. Leitor de evidências gratuito permite compartilhar descobertas com colegas de trabalho com ou sem o Belkasoft Evidence Center instalado. Suporta montagem e interpretação de imagens Encase (E01, Ex01, L01 e Lx01), FTK (AFF, AD1 e AF1), X-Ways, SMART, UFED, Android, DD (RAW) e DMG, incluindo drives de sistemas operacionais (VHD e XVA) virtualizados ou não. Suporta também arquivos de máquinas virtuais (.vmdk e.vdi ). A empresa Guidance Software aprovou a integração com EnCase v.7 por meio de script gratuito disponibilizado via download. Capacidade de processar casos grandes (Contendo muitas caixas de de 10Gb). Versões do produto e edições O produto existe nas seguintes versões: Standalone. Versão de usuário único, deve ser instalada num computador ou laptop. Portable. Esta versão também é para um único usuário, mas pode ser rodada de um pendrive. Enterprise. Esta versão é multiusuário, suportando trabalho colaborativo de múltiplos 7

8 investigadores. Deve ser instalada num servidor e máquinas para cada usuário. As seguintes edições estão disponíveis para versão Standalone: Chat Analyzer Chat & Social Analyzer Professional Ultimate Hardware recomendado Se você planeja trabalhar com casos pequenos, médios ou lidar somente com chats ou navegadores da web e se a quantidade de dados extraídos é relativamente pequena, você pode usar sua estação de trabalho para utilizar o produto. Não existem requisitos especiais de hardware. O software foi testado em computadores normais e ele pode lidar com casos de até 10G de evidência. Se você planeja trabalhar com casos grandes ou está utilizando a versão Enterprise é recomendado seguinte especificação de hardware: Quanto mais RAM melhor (Recomendado pelo menos 4 GB de RAM). CPU rápida (Um processador multi-core ou múltiplos processadores é recomendado). Um drive SSD dedicado é recomendado para o SQL Server (ou um Hard Drive dedicado). Instalando Evidence Center 2014 Para instalar Belkasoft Evidence Center, descompacte o arquivo que você baixou do site da Belkasoft e execute o arquivo executável. O assistente de instalação irá guiá-lo através das etapas de instalação. 8

9 Certifique-se de que o nome do fornecedor é Belkasoft OOO e responda Sim à pergunta de controle de acesso do usuário: Gerenciamento de Casos A subseção seguinte só se aplica se seu Belkasoft Evidence Center vem com o componente Gerenciamento de Casos. Caso contrário, sua configuração está completa e você pode continuar a usar o produto. Requerimentos Embora o pacote de instalação vá tentar fazer tudo automaticamente, alguns passos podem não ser permitidos em algumas circunstâncias, dependendo de configuração de computador e sistema operacional. Neste caso, você terá que certificar-se de que os seguintes pré-requisitos sejam atendidos: Instalando Gerenciamento de Casos Se a sua versão do Belkasoft Evidence Center vem com suporte Case Management, pode-se optar por instalar o SQLite ou banco de dados Microsoft SQL Server. Enquanto o Microsoft SQL Server pode 9

10 conter mais dados e é geralmente mais poderoso, ele é uma base de dados muito mais complicada para instalar e manter. Depois de aceitar o contrato de licença e selecionar a pasta de instalação adequada, você será solicitado a instalar um banco de dados. Há duas opções disponíveis atualmente: Banco de dados SQLite - Mais simples (recomendado, não é requerido tuning) Banco de dados MS SQL Server - Recomendado para casos grandes e se a versão a ser instalada é Enterprise. Por favor selecione a sua configuração para descobrir como instalar o banco de dados SQL Server: Com conexão a Internet, sem SQL Server instalado Com conexão a Internet, Windows em linguagem diferente do inglês Sem conexão à internet e sem SQL Server instalado SQL Server já instalado Planejamento para casos grandes (maiores que 10Gb) Tendo qualquer problema com a instalação automática do banco de dados SQL Server, verifique o arquivo de instalação colocado na pasta C:\Users\YOUR NAME HERE\AppData\Local\Temp \SqlSetup.log (para a seguinte C:\Users\YOUR NAME\AppData\Local\Temp\SqlSetup_1.log). Se precisar de ajuda para instalar e utilizar o produto, por favor, envie para contact@belkasoft.com, e teremos o maior prazer em ajudá-lo. Criando um banco de dados SQL Server Nesta página, você será solicitado a selecionar uma instância de banco de dados para trabalhar. 10

11 Clique em Next. Se você selecionou o MS SQL Server, a seguinte tela será exibida. Selecione uma instância disponível daqueles mostrados na lista e clique em Install. 11

12 O produto irá criar um banco de dados chamado "Case" na instância selecionada. O produto será configurado para trabalhar com essa instância e esse banco de dados. Instalando Belkasoft Evidence Center Enterprise A instalação da versão Enterprise é similar à versão standalone, com apenas algumas pequenas diferenças. No início da instalação, você será solicitado a escolher se quer instalar o servidor ou a parte do cliente do produto: 12

13 A parte do cliente não irá instalar um banco de dados local MS SQL Server, mas irá instalar algumas bibliotecas do SQL Server para o produto para se conectar ao servidor. Portanto, se você estiver instalando em um computador sem acesso à Internet, você terá que colocar os mesmos arquivos de instalação da Microsoft para a pasta de instalação, conforme descrito no Evidence_Center_Installation.asp, exceto para o arquivo de instalação do SQL Server. Na tela de configuração de banco de dados, você será solicitado a selecionar uma instância do SQL Server disponível na sua rede local. Escolha a instância que você instalou durante a instalação do Server (por esta razão, recomendamos a instalação do Servidor de antemão). Se você estiver instalando o cliente primeiro, você terá que escrever manualmente o nome do computador e da instância na caixa de texto como mostrado na imagem a seguir: 13

14 Você pode instalar o cliente e o servidor na mesma máquina; note, no entanto, que você vai precisar de uma licença separada para este cliente (A licença de servidor não vai funcionar para a instalação do cliente, mesmo se o cliente estiver na mesma máquina). Início rápido Após a instalação, comece a trabalhar com o produto com três passos simples: Crie um novo caso. Procure dados dentro da pasta sample histories em C:\Program Files (x86)\belkasoft Evidence Center\samples. Veja o que o produto extrai. 14

15 Software de uso forense Belkasoft está fazendo seu melhor para criar um produto que segue as regras de uma investigação forense. O software nunca tenta escrever em uma mídia que está sendo investigada. É totalmente compatível com dispositivos de bloqueio de gravação e arquivos de imagem. Para se certificar de que os dados sendo investigados não são alterados, hashes são calculados para cada perfil adicionado a um caso. Você pode comparar o valor de hash do perfil original com o atual a qualquer momento. O software não pede senhas ou outras informações a respeito do usuário dono dos dados. Toda extração e decodificação é realizada sem saber credenciais originais do usuário. O software funciona utilizando a conta do investigador na máquina do investigador e não requer quaisquer aplicações usadas pelo suspeito que está sendo investigado. Por exemplo, ele não é obrigado a ter o Microsoft Outlook instalado para recuperar a história Outlook. O software nunca se conecta à Internet e permanece totalmente operacional offline. Existem apenas algumas exceções documentadas a esta regra, a saber: o Quando o software é iniciado, o Windows verifica automaticamente o seu certificado de código de assinatura e tenta fazer uma chamada OCSP padrão para detectar se o certificado X.509 está revogado. Isto é feito pelo Windows e não pelo software e é causado pelo fato de que o software é assinado com certificado de autoridade conhecida. Se você bloquear essa conexão, não vai haver problemas. o Extração de conversas QQ o Mostrar fotos no Google Maps. o Verificação de atualizações são realizadas somente por requisição explícita. Os resultados de extração são 100% repetíveis. Você sempre tem a opção de re-extrair dados para garantir que os resultados são absolutamente os mesmos. 15

16 Rodando o programa Selecione o programa a partir da pasta menu Iniciar onde você escolheu para instalá-lo. Quando solicitada permissão de execução do programa pelo Controle de Acesso do Usuário do Windows, aceitar para continuar. A primeira tela para a versão Standalone do produto será a tela Open Case. A primeira tela para a versão Enterprise será a tela de login. Para acessar o servidor pela primeira vez, use o usuário caseadmin com a mesma senha ( caseadmin ). Na janela gerenciamento de usuários que se abre quando você está conectado a um servidor, você deve criar os usuários que, em seguida, 16

17 serão capazes de entrar a partir de computadores clientes. Se você não é a pessoa que instalou o servidor, você será registrado como cliente. Se este for o caso, use o login e senha fornecidos pela pessoa que administrou a instalação do servidor. Registrando-se (somente para versão Enterprise) Quando você executa o produto, ele irá pedir suas credenciais a fim de proteger os dados. Você deve possuir um nome de usuário e senha relevantes a fim de acessar os dados de casos. Você poderá ver apenas os casos aos quais seu usuário foi concedido acesso. Digite seu nome de usuário e senha e clique em OK. As credenciais padrão são: usuário caseadmin, senha caseadmin. 17

18 Gerenciamento de Casos Gerenciamento de casos é um módulo opcional, que permite a você: Armazenar de forma confiável, todas as informações em banco de dados (SQLite ou MS SQL Server). Agrupar evidências por casos. Trabalhar com múltiplos casos ao mesmo tempo. Trabalhar com conjutos de dados totais maiores que 2Gb. Apagar casos antigos quando não forem mais necessários. Se você não tem o módulo de Gerenciamento de Casos, todos os dados extraídos durante a sessão atual serão perdidos quando você fechar o produto e não estarão disponíveis na próxima execução do programa. Antes de sair da ferramenta, você tem que gerar um relatório para evitar a extração dos mesmos dados ou selecionar Export to Evidence Reader no menu principal. Com o gerenciador de casos, esse não é mais um problema. É extremamente recomendado ter gerenciamento de casos para os usuários que têm que rever a evidência várias vezes, armazenar provas por períodos longos e para trabalhar em casos com mais de 2 GB de dados. Abrindo um caso Se você tiver módulo de gerenciamento de casos você deve selecionar um caso para trabalhar logo após o produto ser iniciado. Versão Standalone: Na janela Open Case, você verá todos os casos existentes na base de dados. Versão Enterprise: Na janela Open Case, você verá apenas os casos que você tem acesso. Você pode abrir um caso existente ou criar um novo. Se você clicar em Cancel, o produto irá sair. 18

19 Se você prefere que o produto abra o último caso você trabalhou, você pode selecionar Always Open last case and do not show this dialog na tela Open Case. Para criar um caso, clique no botão New. A seguinte janela será exibida: 19

20 Nesta janela, você pode atribuir um nome ao caso, digite seu nome no campo Investigator e atribua uma descrição. Importante: Certifique-se de especificar o fuso horário padrão correto para o caso. Alguns aplicativos armazenam data/hora em hora local, enquanto outras aplicações armazenam esses dados em UTC. É vital saber o fuso horário local para alinhar todos os eventos. Você pode fixar essa configuração para uma fonte de dados específica ou perfil. Você também pode modificar caso fuso horário mais tarde. Se você quiser alterar o caso que está trabalhando, clique em Open Case na barra de ferramentas do produto: Você pode também clicar em New Case para criar um novo caso em branco. Gerenciando Casos Se você tiver o módulo de gerenciamento de casos, você pode gerenciar casos utilizando a janela Open Case. Nesta janela, você pode: Criar um novo caso clicando no botão New Renomear um caso selecionado clicando no botão Rename, pressionando F2 ou clicando no item selecionado pela segunda vez. Apagando um ou mais casos. 20

21 Note que você não pode excluir um caso que você está trabalhando no momento. É possível excluir todos os casos, no momento em que o produto é iniciado e antes de abrir qualquer caso. Enterprise: Você não pode excluir um caso se um usuário diferente está trabalhando com ele (Ex.: Se uma extração de dados é realizada dentro desse caso). O botão Delete será desabilitado para casos que não podem ser excluídos naquele momento. Janelas do produto Quando você abre um caso a janela principal é mostrada. A janela principal consiste de várias partes. Todas as janelas filho da janela principal são altamente personalizáveis. Você pode movê-las, mostralas ou escondê-las, encaixá-las em qualquer parte da tela, organizar em qualquer ordem, agrupar com outras janelas ou torná-las auto ocultas ou flutuantes. Belkasoft Evidence Center suporta várias configurações de exibição. Se você tem um computador com vários monitores é possível criar uma ou mais janelas do produto em outros monitores, tornando assim mais fácil para trabalhar com grandes quantidades de dados. 21

22 Dicas de Encaixe: Você pode encaixar uma janela em qualquer lugar dentro da interface do produto. 22

23 Janelas Flutuantes: Você pode fazer qualquer parte da interface do usuário flutuante; particularmente, é possível colocar a lista de itens para outro monitor. Process Explorer O Process Explorer exibe o conteúdo do caso. Ele organiza informações sobre o caso em forma de uma árvore. O nó de nível superior representa o caso em si. Sob o nó caso, há subnós para fontes de dados. Uma fonte de dados corresponde a uma única unidade, imagem de unidade, dump de memória, telefone ou outro dump de dispositivo móvel, arquivo de máquina virtual, ou uma pasta. Cada fonte de dados contém tipos de evidência subnós, por exemplo, todas as informações relacionadas com o Instant Messenger serão agrupadas, por exemplo, no subnó chamado Instant 23

24 Messengers. Os tipos de evidência atualmente suportados são: Navegadores Dados Recuperados ( Carved data ) Arquivos criptografados Mensageiros instantâneos ( Instant messengers ) Caixas de Backups de dispositivos móveis Tráfego de rede Documentos Office Imagens Arquivos de registro do Windows Bancos de dados SQLite Arquivos de sistema Vídeos Um subnó especial é chamado Bookmarks (Marcadores) e contém todos os itens que você achar interessante. Outro subnó especial é Timeline (Linha do tempo), contendo todos os eventos dentro de seu caso. 24

25 Sob nós tipo evidência há nós de perfil. Um "perfil" é uma peça de informação específica para um determinado usuário e um determinado programa. Por exemplo, um perfil do Outlook é um arquivo.pst que contém uma das caixas de correio do usuário. Um perfil Skype é uma pasta com alguns arquivos Skype dentro e assim por diante. Existem filtros disponíveis para exibir fotos, vídeos, documentos, aplicações para backups móveis entre outros. Nós do tipo perfil podem conter subnós filho que são específicos para um determinado tipo de histórico. Por exemplo, perfis de mensagens instantâneas contêm contatos ( amigos" do dono desse perfil); perfis de contêm pastas de pertencentes à caixa de correio do perfil; perfis com fotos, vídeos e documentos contêm filtros, e assim por diante. 25

26 Você pode executar todas as operações com o caso, selecionando um nó e selecionando itens do menu principal, menu de contexto ou a barra de ferramentas. Algumas das operações disponíveis são: Extrair dados Criar relatórios Buscar perfis Carve device Pesquisa por palavra-chave Apagar perfil As seguintes operações são específicas para perfis de Copy attachments to folder (cópia todos os anexos de todos os s para uma única pasta, tomando cuidado com arquivos de mesmo nome, renomeando-os para que eles não serão substituídos) As seguintes operações são específicas para perfis de documentos: Copy files to folder. Copia todos os documentos encontrados dentro de uma fonte de dados para uma única pasta, facilitando a revisão com uma ferramenta de terceiros. Copy embedded files to folder. Copia todos os arquivos embutidos encontrados em todos os documentos, tais como imagens, facilitando a revisão por uma ferramenta de terceiros. Filters. Ajuda a filtrar documentos encontrados utilizando vários critérios, como por exemplo metadados. As seguintes operações são específicas para perfis de Imagens e Vídeos: Analyze pictures (Análisa imagens ou quadros-chave de vídeo para pornografia, rostos e falsificação) Copy files to folders (copia todas as imagens encontradas em uma única pasta, facilitando ainda mais a revisão com uma ferramenta de terceiros; não disponível para vídeos) Filters (ajuda a filtrar imagens encontradas imagens ou vídeos por meio de vários critérios, como por exemplo, os metadados EXIF) 26

27 As seguintes operações são específicas para arquivos criptografados: Decrypt (Decifra todos os arquivos encontrados criptografados, disponível somente se você tiver Passware Kit Forensic instalado). As seguintes operações são específicas para backups de dispositivos móveis: Unpack backup (Descompacta todos os arquivos a partir de um backup em uma pasta; disponível apenas para iphone / ipad) As seguintes operações são específicas para perfis de Instant Messenger e tráfego de rede: Select encoding for a profile (Escolhe outra codificação para bate-papos; exceto messenger - padrão) Hide/Unhide contacts without history Sort contacts by various criteria Copy contact UIN or SN Caso, origem de dados, perfil e propriedades de bookmark A janela Properties mostra as propriedades de um item, selecionados no Process Explorer. Esta janela é exibida para um caso, fonte de dados, perfis e bookmarks. Para um caso e um bookmark, você pode editar o name e description. Para um perfil, você pode editar o name e comments. Para um caso, um perfil e uma fonte de dados você pode editar timezone. Isso é útil quando você tem várias fontes de dados de diferentes fusos-horários, por exemplo, um disco rígido de um suspeito dos EUA e um telefone de outro suspeito da Europa. Depois que você alterou qualquer um destes campos, as alterações serão salvas automaticamente quando você selecionar qualquer outro campo ou nó no Case Explorer. 27

28 As fontes de dados têm propriedades adicionais. Se uma fonte de dados é o disco rígido, unidade lógica ou imagem de unidade, as partições e sistemas de arquivos são mostrados na página de propriedades: 28

29 Lista de Itens A janela Item List exibe a lista de itens pertencentes a um nó selecionado no Case Explorer. Listas de itens são mostrados para todos os dados do navegador como sites, cookies, senhas, pastas de caixas de correio, perfis com fotos e vídeo, Instant Messenger, bookmarks, etc. Os nós podem ser nomeados de forma diferente para diferentes fontes. Por exemplo, para mensageiros instantâneos o nó é chamado de " Lista de mensagens, nó imagem é chamada de "Lista de imagens" e assim por diante. Ao selecionar um item na lista de itens, você pode inspecionar as propriedades do item na janela propriedades do item. Você também pode copiar um item de texto ou marcá-lo, criar relatório para todos ou selecionados e fazer algumas outras ações específicas para um tipo particular evidência (por exemplo, mostrar imagens selecionadas tendo as coordenadas do GPS no Google Maps). Item List oferece suporte a classificação em ordem crescente e decrescente. Ele se lembra do último modo de ordenação aplicada. A lista permite que você altere as larguras das colunas e se lembre de suas últimas preferências. Mensagens de chat, ordenadas por ordem alfabética de texto Ao selecionar imagem, vídeo ou perfil do documento, lista de itens mostra previews de itens de perfil, em vez de uma exibição de tabela: 29

30 Você pode classificar os itens, selecionando o critério dentro da caixa Sort by 30

31 É possível alterar o tamanho da miniatura usando o controle deslizante a direita de Sort by. Você pode selecionar vários itens dentro de ambos os tipos de listas usando as teclas Shift ou Control juntamente com teclas de cursor. Para selecionar todos os itens, pressione Ctrl-A. Propriedades do Item A janela Item Properties permite que você inspecione propriedades do item selecionado no caso de haver apenas um item selecionado. A aba Item text exibe o texto do item atual. Se você desejar, copie este texto, selecione qualquer parte do texto com o mouse e pressione Ctrl-C. Para selecionar todo o texto, aperte Ctrl-A. A aba Properties mostra todos os detalhes sobre o item. Você pode copiar os valores usando o menu do próprio item. 31

32 Gerenciador de Tarefas O Task Manager exibe o status das tarefas executadas pelo investigador como procurar perfis, extrair ou exportar históricos, buscas no histórico, exclusão de um perfil, e assim por diante. 32

33 Task Manager permite parar tarefas selecionadas clicando o botão Cancel task. Você pode parar todas as tarefas em execução clicando no botão Cancel all. Você pode ver o log de tarefas concluídas clicando em View task log ou um duplo-clique em qualquer tarefa dentro da lista de tarefas. Você pode cancelar múltiplas tarefas e arquivos de log aberto para várias tarefas usando a seleção múltipla (use a tecla Shift ou Ctrl enquanto seleciona itens com o mouse ou teclado). Depois de cancelar uma tarefa aguarde alguns segundos até que ela termine. Existem as seguintes abas no Task Manager: Running. Aqui você pode ver todas as tarefas executadas pelo programa. Scheduled. Esta página contém todas as tarefas que estão esperando para serem executadas. O programa executa apenas uma quantidade limitada de tarefas de cada vez, tentando tirar o máximo proveito da atual configuração de hardware (por exemplo, quantidade de CPUs e Hyper-Threading). Isto é feito para acelerar o processamento. Enquanto as CPUs estão ocupados com tarefas em execução, todas as outras tarefas estão esperando na fila. Completed. Todas as tarefas concluídas são exibidas nesta página. Você pode filtrar essas tarefas por seu estado marcando as checkboxes Success, Errors, Failed or Canceled. Task Manager exibe os seguintes campos para uma tarefa: Nome da tarefa (Coluna Task) Progresso da tarefa (% completed) Status atual da tarefa (Status) 33

34 Horário de início da tarefa (Time) Tempo gasto desde o início da tarefa (Elapsed) Você pode ajustar as larguras das colunas nesta janela. Suas preferências serão armazenadas. Resultados de busca A janela Search Results mostra todos os itens encontrados durante a última operação de busca. Esta é uma lista simples de todos os itens que correspondem aos critérios de pesquisa. Ela mostra: Ícone para um tipo de perfil de item (por exemplo, ícone do Skype) Texto do Item (Coluna Text) Nome do campo e em qual termo de busca foi encontrado (Coluna Field name) Nome do Perfil Source (fonte de dados que contém o perfil onde um termo de busca foi encontrado) Usando janela Search Results, você pode criar relatórios ou marcar itens selecionados. Para fazer isso, selecione os itens de interesse utilizando o mouse e as teclas Ctrl ou Shift, clicando no item de menu correspondente. 34

35 Você pode ajustar as larguras das colunas nesta janela. Suas preferências serão salvas. Você pode ainda classificar os resultados de pesquisa das colunas Field name, Profile name ou Source de forma crescente ou decrescente clicando no cabeçalho da coluna. Visualizador SQLite A janela SQLite Viewer permite rever as bases de dados SQLite. Para inspecionar uma base de dados, você pode fazer um dos seguintes procedimentos: No Case Explorer selecionar um perfil que armazena os dados em um banco de dados SQLite. Por exemplo, quando você seleciona um perfil Skype, SQLite Viewer será automaticamente preenchido com os dados do banco de dados SQLite correspondente para o perfil selecionado Skype (main.db) 35

36 Perfil do Skype é selecionado no Case Explorer. Visualizador SQLite mostra a base de dados do Skype Se você fez Recuperação de dados e encontrou bancos de dados SQLite, eles serão exibidos em uma lista de bancos de dados SQLite no nó de dados abaixo do nó Carved Data. Para inspecionar qualquer um dos bancos de dados SQLite recuperados, selecione nó bancos de dados SQLite no Case Explorer e na Lista de dados mostrada selecionar o item de interesse. Você pode abrir um banco de dados SQLite arbitrária, clicando no botão Open Na janela SQLite Viewer e especificar um caminho para o banco de dados. A textbox Current database mostra um caminho para a base de dados SQLite exibida no momento. O Botão Open permite a abertura de um banco de dados arbitrários. A dropdown box de nomes de tabelas permite ver todas as tabelas do banco de dados e selecionando uma tabela para avaliar. Na parte inferior do SQLite Viewer você pode ver um número de registros encontrados no interior da tabela selecionada. Uma das principais características do visualizador Belkasoft SQLite vs. visualizadores não-forense de terceiros é a sua capacidade de mostrar áreas SQLite especiais, por exemplo, freelists, arquivos WAL e jornal. FREELIST contém dados apagados por um usuário e é, naturalmente, extremamente importante em uma investigação forense. Os dados de freelists são destacadas pelo fundo vermelho: 36

37 Banco de dados SQLite usam o mecanismo de controle por transação e parte dos dados é armazenado em um RollbackJournal especial (antes SQLite v.3.7) ou arquivos WAL (write-ahead log) (após SQLite v.3.7). Antes que os dados vão para o arquivo de banco de dados principal, eles são armazenados temporariamente dentro WAL, o que significa que este arquivo pode armazenar a versão mais real de dados. Assim, é muito importante ser capaz de rever conteúdo do WAL. O SQLite Viewer localiza automaticamente ambos os tipos de arquivos de diário e combina dados de arquivo de banco de dados SQLite principal com os dados destes arquivos de diário. Esses dados estão em destaque em azul: 37

38 Visualizador de Registry A janela Registry Viewer permite que você reveja o conteúdo do arquivo de registro do Windows. Este visualizador se parece ferramenta regedit padrão da Microsoft, mas tem um grande benefício, extremamente importante em um curso da investigação forense. Belkasoft Registry Viewer pode mostrar registros até mesmo danificadas ou sobrescritos. Ao trabalhar com os registros recuperados você vai encontrar quase todos eles já corrompidos. Esses arquivos não serão mostrados por regedit, mas será perfeitamente mostrado por Belkasoft Registry Viewer: 38

39 Graphical Timeline A Graphical Timeline (Linha do Tempo gráfica) mostra todos os eventos aconteceram dentro de uma fonte de dados que estão sendo investigados. Em uma única representação gráfica do produto combina todos os eventos do navegador, chats, tempos de arquivo como criação / alteração / tempos de acesso, os eventos do sistema (por exemplo, a atribuição de endereço IP), e EXIF vezes e assim por diante. Todos os eventos são agrupados pelos seguintes tipos: Browser events. Chat events. File events. Mail events. System events. Unknown event, for all other event types. 39

40 A linha do tempo gráfica se parece com o seguinte: Na foto acima, o zoom é de 1 mês para cada barra, assim representa uma série de eventos de um determinado tipo que ocorreram dentro de 1 mês. Você pode ampliar ou reduzir usando os botões "+" e "-. Botões "<<" e ">>" mostram primeiros ou últimos eventos no caso. Botões "< " e "> " expandem a linha do tempo para esquerda ou para direita. Você também pode alterar zoom atual, usando a roda do mouse ou clicar com o botão esquerdo do mouse e arrastar o mouse para selecionar período de tempo para ser ampliada: 40

41 Por fim, o botão " <>" sincroniza seleção atual para a rede (textual) timeline. Quando você clica neste botão, a linha do tempo será filtrada pelo período selecionado de tempo na linha do tempo gráfica, refletindo assim, apenas os eventos ocorridos nesse período. Ao sincronizar linhas-do-tempo você pode restringir a pesquisa quando está procurando por algumas coisas incomuns, como por exemplo picos de comunicações de chat ou conexões Wi-Fi. A linha do tempo em grade é sincronizada com a linha do tempo gráfica automaticamente, assim você pode aumentar ou diminuir quantidade de dados dentro da linha do tempo gráfica, filtrando eventos na linha do tempo em grade. Grid (Textual) Timeline A Linha do tempo em grade (ou linha do tempo textual ou apenas linha do tempo) melhora muito a usabilidade do Evidence Center, exibindo todas as atividades do usuário e eventos do sistema em uma única visão agregada. Ao usar a linha do tempo, os investigadores podem olhar rapidamente para as atividades do usuário ao longo de um determinado período de tempo ou examinar um 41

42 determinado período de tempo com facilidade. O janela da linha do tempo combina todos os eventos aconteceram dentro de um caso que estão sendo investigados em uma exibição de grade. Nota: um único item de dados pode ter um monte de atividades ligadas na linha do tempo. Por exemplo, um documento do Word pode ter pelo menos 3 itens de linha do tempo: de arquivo criado, arquivo modificado, arquivo acessado pela última vez. Assim, no total, existem mais itens na linha do tempo do que os itens no próprio caso. Cada evento no sistema vai refletir em uma linha separada na linha do tempo, incluindo o carimbo de data e hora, tipo de evento, fonte de dados, tipo de evento e descrição. Cada evento tem tanto a UTC quanto a hora local. Um desses momentos é calculado tendo em conta o fuso horário especificado ao criar um caso (ou, se substituído, usando fuso horário de uma fonte de dados ou um perfil). Por exemplo, se um cliente armazena os dados de envio de em UTC, o tempo local, exibido dentro do grid será calculado usando o tempo armazenado e fuso horário local compensados. A linha do tempo baseia-se na zona de tempo especificada para o caso, suas fontes de dados e perfis. Se um aplicativo armazena o seu carimbo de data / hora em hora local, o horário UTC é calculado utilizando o fuso horário especificado. Se foi utilizado tempo UTC para alguns dados, a coluna hora local é habitada por tempo calculado, que é baseado em um fuso horário. A linha do tempo da rede é semelhante ao seguinte: 42

43 A primeira coluna exibe um ícone de um tipo de item (por exemplo, chat, fotos, URL, etc.). Segunda e terceira colunas exibem a hora local e UTC. Quarta coluna mostra uma fonte de dados, em que este ou aquele evento vieram (por exemplo, um disco rígido ou dispositivo móvel). Quinta coluna exibe evento, por exemplo, o tempo de modificação do arquivo, tempo de expiração do cookie, a última vez de login ou tempo em que uma mensagem de chat é enviada ou recebida. Finalmente, a sexta coluna exibe um texto que descreve um item, por exemplo, mensagens de bate-papo, o caminho do arquivo ou corpo do . Ao clicar em qualquer uma das colunas você pode classificar a grade por uma ou outra coluna. Clicando duas vezes irá alterar a ordem (Ascendente para descendente e vice- versa). Um caso típico terá muitos itens para serem revisados dentro do cronograma. É por isso que o Evidence Center permite filtrar itens por qualquer coluna. Para fazer isso, clique no ícone de filtro (funil) no cabeçalho da coluna e modifique o valor do filtro na janela mostrada: 43

44 Você pode filtrar por UTC ou hora local, por tipo de evento, fonte de dados e texto. Filtrando por Tempo permite que você esconda datas vazias, tais como 1753, 0000, 1900 e outras datas "vazias" conhecidas. Você pode combinar esses filtros para estreitar a sua pesquisa. Para ver todos os eventos sem filtro aplicado de novo, clique no botão Clear filter dentro da janela Create timeline filter. Quando a linha do tempo é filtrada por essa ou aquela coluna, o ícone de filtro da coluna correspondente se torna verde como na imagem acima. A barra de status do produto mostra uma mensagem como "516 item(s) found; Applied filter: Time (UTC) from to , Some event types are not shown" (516 itens encontrados; Filtro aplicado: Horário (UTC) de a , Alguns tipos de evento não são mostrados). A grade da linha do tempo é sincronizada com a linha do tempo gráfica automaticamente. Quando você aplica um novo filtro (ou limpa filtros) você pode mudar para a janela Graphical Timeline e ver como seus filtros afeta os totais lá. 44

45 Visualizador de Imagem e Documentos A janela Picture Viewer (Visualizador de Imagens) pode mostrar uma amostra da imagem, quadro chave do vídeo ou documento selecionado na Item List. Para ver a imagem em tamanho real da imagem, documento ou quadro chave, dê um duplo clique no item de interesse. A janela a seguir será aberta: À direita você pode revisar os metadados do documento ou imagem selecionada, como por exemplo, as propriedades EXIF ou propriedades do documento. Se você selecionou um documento com múltiplas páginas, você pode navegar por todas as páginas do documento usando as teclas de PgDown/PgUp ou usando os botões do mouse: 45

46 Documento PDF com múltiplas páginas Visualizador Hex A janela do visualizador Hex (Hex Viewer) permite que você inspecione os dados binários. Atualmente só funciona com dados recuperados. Para revisar os dados binários recuperados, selecione qualquer item recuperado na janela Data List e a informação será mostrada na janela Hex Viewer: Navegador Web Se alguma imagem possuir propriedades GPS (como aquelas tiradas de um iphone), a janela Web Browser (Navegador Web) vai mostrar as imagens em um mapa do Google Maps. Para isso, selecione as imagens de interesse na Picture List e selecione o item do menu de contexto Show pictures on Google Maps: 46

47 Em alguns segundos, o produto vai mostrar os locais onde as imagens foram tiradas no Google Maps dentro da janela Web Browser: Se você mover o mouse sobre o pino (o pino vermelho marcado com A ), o produto vai mostrar informação sobre a imagem que foi tirada naquele local. Nota importante: Para que essa função funcione adequadamente, o recurso necessita de uma conexão 47

48 ativa à internet. Sem conexão à internet, o recurso não vai funcionar. Para proteger seus dados, você pode configurar seu firewall para permitir que o produto acesse apenas Se você possuir uma conexão ativa com a internet, você pode até explorar o Google Street View para ver os locais em que a foto foi tirada: Outra nota: Se você não possui conexão à internet, você pode usar uma máquina conectada para baixar o produto Google Earth. Essa ferramenta não requer conexão à internet, portanto você pode instalá-lo na máquina de investigação e usar o item do menu de contexto Show selected items on Google Earth. Por fim, você pode gravar todos os locais de interesse selecionando o comando no menu de contexto Export selected items to Google Earth format. Assim você pode revisar o arquivo resultante (kml) de qualquer máquina com o Google Earth instalado. Nenhum dado do suspeito é colocado no arquivo kml, apenas as coordenadas. Procurando por evidência O produto permite que você procure informações em vários locais: Discos físicos e lógicos Imagens de disco Imagens de celulares/smartphones e outros dispositivos móveis Dumps de memória 48

49 Arquivos de sistema como arquivos de hibernação ou paginação Bancos de dados SQLite $MFT and $Log Pastas selecionadas do disco Outras áreas importantes para investigação forense Para iniciar uma busca, você pode fazer um dos seguintes procedimentos: Pressionar Ctrl-Shift-F Clicar em Search Profiles na barra de ferramentas Selecionar Search Profiles do menu Edit Selecionar o item Search Profiles... do menu de contexto do Case Explorer Após isso, a janela Search profiles vai aparecer. A primeira tela permite que você selecione a fonte dos dados: 49

50 As seguintes opções estão disponíveis: Selected folder. (Pasta selecionada) Use essa opção se você sabe com certeza que a evidência está localizada em certa pasta. Essa opção é rápida e é perfeita quando trabalhar com prazo apertado. Se esse for o caso, você pode inspecionar rapidamente uma única pasta contendo informações de conta do usuário, que normalmente contém a maioria dos dados. Logical drive and Physical drive (disco lógico e disco físico). Essa opção vai realizar uma busca em todo o disco rígido conectado ao seu computador (incluindo discos rígidos externos e dispositivos de rede). Drive image file (Arquivo de imagem de disco). Essa opção trabalha com imagens de disco forense criadas por outras ferramentas forenses. Os seguintes formatos são suportados: o Imagens Atola (.img) o Imagens EnCase (E01, Ex01, L01, Lx01) o Imagens FTK (AFF, AFM, AFD, AD1 e AF1) o Recipients X-Ways o Imagens SMART (S01) o Imagens DD 50

51 o Imagens DMG No momento, arquivos de Sistema do Windows, Mac OS X, Android e *nix são suportados dentro dos arquivos de imagem. Veja Montando imagens para mais informações. Mobile device image (imagem de dispositivo móvel). Você pode adicionar dumps físicos UFED da Cellebrite contendo informação de dispositivos Android. O produto também suporta a análise de dumps de dispositivos móveis chip-off. Virtual machine file (Arquivos de máquina virtual). O produto suporta a investigação de arquivos Virtual PC e VMWare (.vmdk,.vdi,.vhd,.xva). Live RAM image file (arquivo de imagem Live RAM). Use essa opção para investigar a imagem capturada do conjunto de memória volátil do computador (dump de RAM ou dump de memória), arquivo de hibernação ou arquivo de paginação. A opção Add all found profiles (adicione todos os perfis encontrados) especifica se é para começar a extração de dados imediatamente para todos os perfis identificados ou se é para rodar uma extração manual futuramente. Você também pode optar por calcular os valores hash dos perfis identificados. Essa operação toma tempo, portanto desmarque essa opção se você está usando outro software ou hardware para lidar com hashes. Quando você clica Next, você será solicitado a selecionar por que tipo de evidências procurar: 51

52 Você pode selecionar tudo apertando o botão Select all ou especificar tipos específicos de histórico; por exemplo, você pode procurar por registros ou caixas de do Outlook. Quando você clicar Next, outra janela aparecerá perguntando de quais perfis tentar recuperar arquivos apagados (por favor, veja a seção carving para mais detalhes). Essa seleção não será usada se você estiver analisando uma pasta (a menos que seja encontrado um arquivo de hibernação, paginação ou máquina virtual seja encontrada) já que não é possível tentar recuperar uma pasta. 52

53 Selecione os tipos de evidência para tentar recuperar e clique em Finish. A busca irá se iniciar. Ajustando o produto para arquivos de sistema HFS/HFS+ e ext* Se você está rotineiramente investigando máquinas com sistema de arquivo Mac OS X ou *nix, por favor, entre em contato com o suporte da Belkasoft para instruções adicionais sobre como melhorar o desempenho da busca. 53

54 Extraindo evidências O produto permite que você extraia vários tipos de evidência da fonte de dados, como por exemplo imagem de disco ou dump de dispositivo móvel, sem nenhum pré-requisito (com a única exceção do mensageiro QQ ). Você não tem que: Saber a senha do dono do perfil para aplicativos que pedem por senha Estar logado como o dono do perfil Ter um programa em particular instalado para esse ou aquele formato de dados (por exemplo, você não tem que ter o Microsoft Office ou o Outlook para extrair arquivos do office ou s) Ter direitos de escrita no disco contendo o perfil (o produto funciona perfeitamente com dispositivos bloqueados para escrita) Há várias opções para extração dos dados: Extraia automaticamente evidência selecionando Start extraction for found profiles quando estiver procurando por perfis. Selecione qualquer perfil e clique em Extract data na barra de ferramentas, ou selecione o item Extract data do menu de contexto de um perfil tanto no Case Explorer quanto na opção Edit do menu principal. Selecione Extract data for all profiles do menu de contexto do caso, da fonte de dados ou nó do tipo de evidência no Case Explorer. 54

55 Por fim, você pode extrair novamente dados de perfis que já foram processados (por exemplo, se a primeira tentativa de extração falhou). Quando você iniciar a extração, o Task Manager vai mostrar uma tarefa de extração para cada perfil. Quando a extração terminar, o Task Manager indicará o status da extração e permitirá que você examine o log de extração. O ícone de status à esquerda do perfil no Case Explorer mostra a atual situação da extração: Círculo cinza: a extração de dados nunca foi rodada para esse perfil. Círculo verde: os dados foram extraídos sem nenhum erro. Círculo vermelho: um erro fatal impediu a extração de dados (nenhum dado extraído). Círculo amarelo: apesar de ter havido alguns erros durantes a extração de dados, alguns históricos do perfil foram extraídos e estão disponíveis para revisão. As principais causas para a não extração de dados são: Algum processo travou o arquivo de dados. Isso ocorre frequentemente quando você testa o produto num sistema ativo, por exemplo, num perfil aberto do Firefox, caixa de do Outlook ou histórico do Skype. Se for o caso, feche os aplicativos e tente de novo. O arquivo está corrompido. O arquivo foi incorretamente identificado como sendo o perfil de um tipo particular, portanto uma tentativa de analisar esse arquivo usando o formato específico não pode ter sucesso. Configuração com o Case Management: Quando dados são extraídos com sucesso, são automaticamente armazenados no bando de dados. É seguro fechar o produto nesse ponto. Configuração sem o Case Management: Quando dados são extraídos com sucesso e você está prestes a sair do produto, você será solicitado a exportar os dados para o Evidence Reader (se você ainda não tiver feito isso). Caso contrário, a informação sobre evidência extraída será perdida. Você extrair novamente os dados para perfis que já foram processados. Isso é útil se um perfil for mudado (normalmente num sistema ativo ou em perfil teste já que o perfil de um suspeito nunca será modificado). 55

56 Extraindo históricos QQ Históricos do QQ Messenger são únicos. O que separa o histórico do QQ de outros tipos de histórico é que a extração das versões requer informação adicional. As últimas versões do QQ Messenger são muito secretos. Ao contrário de muitos outros mensageiros, QQ torna impossível a extração do histórico se tudo o que você tem é o arquivo de histórico. A lista a seguir mostra que partes você precisa ter para extrair o histórico do QQ com sucesso: O disco rígido do suspeito onde o QQ foi inicialmente instalado e onde o Windows foi incialmente instalado e acesso à internet; ou O resultado da ferramenta da Belkasoft QqDiagnostics, rodado no PC do suspeito enquanto ela estava conectada à internet (essa ferramenta deve ser solicitada à Belkasoft); ou A senha original do perfil QQ e acesso à internet. É impossível extrair o histórico do QQ a menos que um desses pré-requisitos seja alcançado. Particularmente, você não pode extrair o histórico sem uma conexão ativa à internet, que é necessária no PC do investigador nas opções 1 e 3 e no PC do suspeito na opção 2. Extração da conversa é possível se o usuário gravou a senha dele (marcou a opção lembre minha senha ) antes de você analisar o computador em questão ou se você sabe a senha do usuário. Por favor, note que os dados da senha armazenada expiram algum tempo depois do último login, mesmo com a opção lembre minha senha marcada, portanto você não vai conseguir recuperar o histórico se o último login foi feito há muito tempo. Opção 1 Você precisará indicar o seguinte no programa: A letra do disco em que o Windows foi instalado no computador do usuário. Por exemplo, se você conectou o disco do usuário ao seu computador e agora você tem o os discos M, N e O para os discos lógicos desse usuário, você provavelmente deve selecionar M se M:\Windows existir lá. A letra do disco onde o QQ foi instalado. Normalmente, é a mesma letra do disco onde o Windows foi instalado, mas alguns usuários podem instalar o QQ Messenger em outro disco. O arquivo Registry.db precisa existir perto do Msg2.0.db O caminho para o registro do usuário. Esse arquivo é normalmente armazenado no seguinte caminho: C:\Windows\System32\config\PROGRAMA. Lembre-se: é o registro do usuário, não o seu, portanto use a letra do disco dele, no exemplo acima, M:\Windows\System32\config\PROGRAMA. 56

57 Quando você tiver fornecido todas essas informações o produto vai tentar conectar à internet. Isso é necessário a fim de conectar ao servidor QQ. Você terá que permitir essa conexão no seu firewall ou na ferramenta de antivírus. A fim de proteger seu computador, você pode restringir o acesso de endereços de IP a apenas os endereços dos servidores do QQ. A lista desses IPs pode ser obtida com a Belkasoft. Como testar a opção 1? Para testar a opção 1, você tem que criar o seu próprio histórico de chat como uma amostra de histórico de outro computador (o teste não vai funcionar no seu próprio PC). Faça o seguinte: Instale o QQ mais recente, converse um pouco. Feche o QQ Messenger (do contrário vai trancar o histórico). Copie seu registro de Software usando HoboCopy, por exemplo, hobocopy c:\windows\system32\config c:\temp\test software onde c:\temp\test é uma pasta existente. Rode nossa ferramenta, localize o histórico e preencha os campos descritos acima, usando a cópia do original, já que o Windows tranca o arquivo original. Opção 2 Você vai ter que entrar o caminho para o resultado da ferramenta QqDiagnostics enquanto ele roda na máquina fonte: 57

58 Como testar a opção 2? Instale a versão mais recente do QQ em qualquer máquina e converse um pouco. Feche o QQ Messenger e copie o Msg2.0.db para a sua máquina principal. Na máquina fonte, tenha certeza que há conexão com a internet e rode a ferramenta QqDiagnostics. Copie o resultado, de nome qq.dat, para sua máquina principal. Na sua máquina principal, rode o Belkasoft Evidence Center, localize o arquivo msg2.2.db e entre o caminho para o qq.dat quando solicitado. Opção 3 Para a opção 3, tudo que você precisa é do arquivo Msg.2.0 do utuário, a senha do usuário e conexão à internet: 58

59 Quando você tiver fornecido todas as informações o produto vai tentar conectar à internet. Isso é necessário para conectar ao servidor QQ. Se tudo estiver configurado corretamente, o produto será capaz de decifrar o histórico. Procurando por palavra-chave O produto permite que você realize vários tipos de busca nas informações do caso. Para começar uma busca você pode tanto apertar Ctrl+F, clicar no botão Search na barra de ferramentas, escolher o item Search... na opção Edit do menu principal ou no menu de contexto do Case Explorer. Assim que você fizer isso, a janela Search data vai aparecer: 59

60 As seguintes opções de busca estão disponíveis: Procurando por uma palavra ou frase (word or phrase) Escolha essa opção se você quer encontrar todos os dados contendo certa palavra ou frase. A busca despreza espaços e procura por substrings, o que significa que se você buscar pela palavra the a palavra there também será encontrada. A busca não discerne maiúsculas e minúsculas. Procurando por palavras de um arquivo (words from file) Escolha essa opção quando você tem um arquivo de referência com uma lista de todas as palavras de interesse. Ter um arquivo de referência economiza muito tempo com milhares de palavras suspeitas. Usar o arquivo de referência permite realizar uma única busca ao invés de milhares de buscas por palavras suspeitas. Procurando por uma expressão regular (regular expression) Expressões regulares são uma forma poderosa de realizar buscas complicadas. Escolha essa opção se você não sabe exatamente o que está procurando, por exemplo, enquanto procura por s ou cartões de crédito você não sabe o endereço ou o número do cartão. Você pode usar expressões regulares para realizar a tarefa: entre "\d{4}-\d{4}-\d{4}-\d{4}" para achar qualquer número de cartão, se houver. Busca pré-definida (predefined search). Se você não está familiarizado com expressões regulares, o produto oferece algumas buscas pré-definidas, tais como s, CPFs, nomes humanos (para USA, Espanha, Alemanha, Rússia e China), palavras sexuais e assim por diante. Algumas dessas 60

61 buscas são customizáveis. Você pode encontra-las na pasta do programa e editá-las como quiser. Você pode realizar a busca em todos os dados do caso, especificar uma única ou múltiplas fontes na janela do Task Manager e os resultados serão mostrados na janela Search Results. Bookmarking O produto permite que você marque pedaços interessantes de informação com bookmarks. Um bookmark é uma entidade com nome e descrição, e é mostrado no nó Bookmarks do Case Explorer. Um bookmark pode se referir a qualquer número de evidência como documentos, s, dados de aplicativos de dispositivos móveis, arquivos encriptados, URLs, e assim por diante. Um item de evidência pode pertencer a mais de um bookmark. Um bookmark chamado Chat and mail evidence contém itens de e mensageiro instantâneo O item no bookmark é marcado com cor azul clara, para que você não o perca na lista de itens: Para adicionar um único item ou múltiplos itens a um bookmark, selecione um ou mais itens, clique com o botão direito do mouse neles e selecione o item de menu Bookmark selected items. Você terá a opção de criar um novo bookmark ou adicionar itens a um já existente. 61

62 Você pode também arrastar e soltar os itens selecionador para um o nó Bookmarks do Case Explorer (para criar um novo bookmark) ou qualquer bookmark já existente (para adicionar o item ao bookmark). Arraste e solte os itens selecionados para um bookmark existente para adicionar O menu de contexto para um item do bookmark contém a opção Go to bookmark que vai selecionar o bookmark correspondente no Case Explorer: O menu de contexto para um item do bookmark contém a opção Go to original item que vai selecionar o item no perfil original. 62

63 Você pode realizar buscar nos bookmarks, criar relatórios baseados nos conteúdos dos bookmarks e adicionar item aos bookmarks desde a janela Search results. Criando relatórios O produto permite que você crie relatórios de quase todas as partes da interface do usuário. Relatórios estão disponíveis em vários formatos como HTML e PDF. Para gerar um relatório, selecione um dos seguintes: Nó do caso no Case Explorer. Nó da fonte do caso no Case Explorer. Nó do tipo de evidência: navegadores, dados recuperados, documentos, arquivos encriptados, mensageiros instantâneos, caixas de , tráfego de rede, imagens, registros, arquivos de sistema, vídeo. Nó Timeline ou Bookmarks Um único perfil (por exemplo, perfil de Skype) Um único bookmark Um o mais itens de uma lista de itens, como Lista de Documentos, URLs ou lista de Bookmark Um ou mais itens da janela Search Results Filtros Contatos de Mensageiro Instantâneo Etc. Após isso, você pode tanto clicar em Create Report na barra de ferramentas, selecionar o item Create Report no item Edit do menu principal ou do menu de contexto do Case Explorer. Se você está criando um relatório para itens selecionados de uma lista de itens, você pode escolher Create report for all items ou Create report for selected items do contexto de menu da lista de itens. 63

64 A janela Create Report vai aparecer. Nessa janela você pode especificar um formato alvo e um caminho para o relatório. Atualmente, os seguintes formatos são suportados: CSV DOCX EML (para s apenas) HTML PDF Texto puro RTF XLSX XML 64

65 O caixa Open report when done permite que você abra os resultados do relatório com um aplicativo padrão. Por exemplo, se você exportou para o formato HTML, o seu navegador web padrão será aberto mostrando o arquivo resultante. Relatório em PDF aberto no visualizador de PDF padrão Se você exportar para arquivos múltiplos usando Split/Group do menu Advanced options, o sumário em HTML será aberto no navegador padrão, permitindo que você selecione manualmente qualquer dos arquivos para exame. Você pode ajustar várias opções para customizar seu relatório. Para isso, clique no botão Advanced options. Opções avançadas de relatório Você pode customizar a aparência do relatório ajustando as opções avançadas de relatório. Para isso, aperte o botão Advanced options na janela Create report. Na página Formatting da janela Advanced report option você pode especificar as seguintes opções: 65

66 Encoding (Codificação). A opção vai definir a codificação alvo para relatórios de puro texto ou CSV. Por exemplo, para exportar chats em chinês, você pode querer usar o UTF8 ou Chinês Simplificado. Item Sorting (Ordenação de itens). Você pode ordenar itens por data e horário em sentido ascendente ou descendente. Header and Footer text (texto de cabeçalho e de pé de página). Este texto vai aparecer no começo e no final de cada página num relatório em PDF. Para outros tipos de relatório essa opção é desabilitada. Date and time formats (formato de data e hora). Há vários formatos pré-definidos, usados em diferentes países. Orientation (orientação). Essa opção está disponível para todos os formatos Office e especifica se é orientação paisagem ou retrato. Report generated by (relatório gerado por). Essa opção permite especificar o nome do usuário que gerou o relatório. Na página Style você pode especificar as seguintes opções: 66

67 Default/Custom logo (logo padrão ou customizado). Por padrão o logo da Belkasoft é inserido nos relatórios gerados, no entanto você pode usar o logo da sua organização. Font (fonte). Você pode selecionar a fonte específica (por exemplo, Arial), estilo (por exemplo, itálico), tamanho da fonte, efeitos de fonte (por exemplo, sublinhado), cor da fonte, etc. A página Split/Group permite você especificar o número de arquivos a serem gerados. As seguintes opções estão disponíveis: 67

68 One file (um arquivo). Escolha essa opção se a quantidade de evidência que você está exportando é pequena. Um arquivo muito grande pode atrasar a sua análise. Por exemplo, um arquivo HTML de 10Mb pode fazer com que o seu navegador engasgue e consuma muita memória. One file per profile/data type (um arquivo por perfil/tipo de dados). Quando gerar um relatório para um caso, fonte de dados ou tipo de evidência, você pode optar por gerar arquivos separados para cada perfil do caso, da fonte de dados ou do tipo de evidência. Separate file for every contact or mail folder (arquivo separado para cada contato ou pasta de e- mail). Escolha essa opção se você está exportando histórico de mensageiros instantâneos ou de e- mail (essa opção é ignorada para outros tipos de dados). Um arquivo dedicado será criado e conterá apenas os eventos de um recipiente particular de chat ou uma pasta particular de . Split by item count (separe por número de itens). Escolha essa opção para quebrar o relatório em vários arquivos de um dado tamanho. One file per each date (um arquivo por cada data). Essa é uma opção diária. Escolha essa opção quando for importante para você ver os dados que ocorreram em cada data. A mesma página permite que você selecione o tipo de agrupamento. As seguintes opções estão disponíveis: Do not group (não agrupe). Neste caso você verá os eventos em linha, ordenador por data e horário. Group by contact or mail folder (agrupe por contato ou pasta de ). Neste caso os eventos 68

69 serão agrupados. Por exemplo, num mensageiro instantâneo, todos os chats de um determinado usuário serão apresentados, ordenados por data e horário; depois o histórico de um outro usuário e assim por diante. Isso é útil para examinar os chats de um determinado contato. Essa opção é ignorada para outros tipos de evidência. Por favor, note que algumas dessas opções são ignoradas em certos formatos. Por exemplo não é possível agrupar nada no formato CSV. Na página Time Period você pode selecionar o período de tempo que quer limitar a exportação: A página Contacts está disponível para relatório de mensageiros instantâneos apenas. Nessa página você pode selecionar quais contatos gerar: todos os disponíveis, apenas contatos com histórico em determinada data ou apenas contatos específicos. 69

70 A página Pictures está disponível para relatório de imagens e vídeos apenas. Nessa página você pode optar por borrar as imagens detectadas como pornografia e especificar o tamanho da miniatura de uma imagem dentro do arquivo de relatório. Por favor, note que se você não rodou a análise Detect porn nenhuma imagem será borrada, seja ela explícita ou não. 70

71 Na página Columns você pode especificar quais colunas de dados incluir num relatório e a ordem desejada dessas colunas. Isso é útil para tipos de evidência que tenha múltiplos atributos, por exemplo, imagens, que podem ter centenas de propriedades EXIF. Você pode selecionar as propriedades mais importantes para não bagunçar o relatório resultante. 71

72 A página Folders permite que você opte por criar subpastas para arquivos de relatório dentro da pasta alvo, escolhida na janela Create Report. Se você selecionar a opção Create subfolders, o produto vai criar um número de pastas na pasta destino. A opção According to the profile path especifica que as subpastas vão refletir os caminhos do perfil original. A opção According to the case tree especifica que os nomes subpastas vão repetir o caminho para um perfil na árvore do Case Explorer. Note que a ferramenta vai criar uma subpasta dentro da pasta alvo, com o nome do perfil, caminho da árvore do caso ou caminho original do perfil. Se uma paste com o mesmo nome já existir, um número será anexado ao nome da pasta para torna-lo único. Resultados previamente exportados nunca são sobrescritos. A janela Advanced report options vai lembrar-se de todas as preferências. A próxima vez que você clicar Ok na janela Create Report para gerar um novo relatório ele usará as mesmas preferências avançadas de relatório. 72

73 Exportar para Evidence Reader A função Export to Evidence Reader permite que você compartilhe todos os seus achados com qualquer um, mesmo que eles não tenham uma licença do Belkasoft Evidence Center. Evidence Reader é um produto gratuito que pode ver casos exportados em modo read-only. Esse recurso é particularmente útil para aqueles que têm o componente Case Management. Neste caso, certifique-se que você saia da ferramenta para não perder dados. De outro modo, crie um relatório num dos formatos suportados, por exemplo, HTML ou PDF. Para exportar os dados do caso para o formado do Evidence Reader, selecione o item Export to Evidence Reader no menu Tools ou clique no botão Export to Evidence Reader na barra de ferramentas: A seguinte janela será aberta, que permite que sejam selecionadas profiles para exportação. Você pode exportar todo o caso ou somente as profiles selecionadas: 73

74 Depois que você clica em Next, você será questionado sobre um diretório de destino para exportar ao caso e o processo de exportação irá iniciar-se. Carving and Live RAM analysis O produto permite que você execute uma análise altamente sofisticada chamada carving O que é Carving Carving é uma busca sequencial com precisão no nível de bit do disco por vários artefatos. Enquanto executa o carving, o produto não depende do Sistema de arquivos e não faz uso de arquivos, pois eles podem ter sido apagados. Ao invés disto, ele procura por sequências específicas de bytes, ou assinaturas específicas para certos tipos de evidências. Por exemplo, a versão 3 do Skype insere a assinatura "l33l" antes de todas as mensagens de chat, então se esta sequência é encontrada no disco, há uma alta probabilidade de que uma mensagem de Skype será encontrada logo após este trecho. 74

75 l33l precede uma mensagem Skype 3 mostrado pela janela do HexViewer Carving é uma técnica indispensável na busca por dados apagados e na procura de evidências destruídas. Favor notar que, diferente de analisar arquivos existentes, carving não é uma técnica "precisa". Um processo de carving pode originar resultados incompletos (por exemplo, dados não serão encontrados para uma mensagem de chat) ou itens "falso-positivos". Os resultados falso-positivos são possíveis quando uma assinatura é descoberta, mas ela não precede realmente dados de interesse. Isto pode acontecer, por exemplo, se você salva um arquivo com o texto "l33l"; o arquivo vai ser identificado incorretamente como uma mensagem do Skype. O produto varre todo o dispositivo (disco rígido ou imagem), e não somente o espaço não alocado, então alguns resultados podem ser duplicatas dos que você já obteve utilizado a análise de arquivos regular. Como iniciar o Carving Para iniciar o carving, você pode fazer uma das opções abaixo: Execute um profile search por um disco físico ou lógico, drive ou imagem de dispositivo móvel, máquina virtual, dump UFED ou imagem RAM Live. Se você selecionar qualquer item na página Select what to carve, o produto irá efetuar o carving na fonte de dados selecionada juntamente 75

76 com a análise regular existente. Clique Carve Device na barra de ferramentas. Selecione Carve Device do menu Edit ou do menu de contexto do Case Explorer: Após fazer isto, a janela Search profiles será aberta. Inicialmente é possível selecionar a fonte de dados para executar o carving. Esta tela é similar a primeira dela do wizard Search Profiles com a única diferença que a opção Selected folder está disabilitada, pois não há sentido em fazer carving em um folder: 76

77 As seguintes opções são disponíveis: Logical drive. Estes são seus discos lógicos com nomes como "C:\". Cada disco pode conter um ou vários drives lógicos a serem apresentados no combo box. 77

78 Physical Drive. Estas são os seus discos físicos com nomes como "\\.\PHYSICALDRIVE1". Cada disco rígido é representado por um item único na janela de seleção. Arquivo de Imagem de Disco, Máquina Virtual, Imagem UFED ou e chip-off mobile device dump. Você pode executar o carving em qualquer imagem nos seguintes formatos: o Atola (.img) o EnCase (.e01,.ex01,.l01,.lx01) o FTK image (.aff,.afd,.afm,.ad1 e.af1) o UFED (imagem física de Android) o X-Ways container (.ctr) o DD ( RAW ) o DMG o SMART (.s01) o Disco de Máquina Virtual (.vmdk,.vdi,.vhd,.xva) o Chip-off dump (qualquer format) o etc. Os sistemas de arquivo dentro de uma imagem podem ser qualquer um dos seguintes: Windows, Mac OS X, Android e *nix: todas as versões FAT, NTFS, HFS/HFS+, ext2/ext3/ext4, YAFFS. Captura de imagem de memória RAM. É possível obter uma imagem raw a partir da memória volátil (.mem). Existem algumas ferramentas que podem ser usadas para capturar a memória live de um computador, incluindo o Belkasoft LiveRAM Capturer, que é gratuito e capaz de trabalhar em kernel mode. Este produto está também incluído no pacote do Belkasoft Evidence Center. O Belkasoft Evidence Center aceita a saída de qualquer programa que cria um dump de memória RAM. Além do dump de memória RAM, você pode também especificar um path para um arquivo de hibernação e paginação (hiberfil.sys e pagefile.sys). Estes dois tipos de arquivos podem conter informações da memória RAM sque foram salvas para o disco rígido devido ao funcionamento do Windows. Eles são fontes importantes de artefatos de memória RAM porque estas informações podem sobreviver ao desligamento do computador. Existem também opções para buscar em diferentes clusters. Você pode diminuir o tempo necessário para fazer sua análise procurando apenas de clusters não alocados (caso você esteja buscando por dados intencionalmente escondidos, por exemplo). Porém, algumas vezes a execução de carving em clusters alocados também produz bons resultados, por exemplo, se fragmentos de dados são mantidos em arquivos existentes, porém corrompidos. Pode não 78

79 ser possível extrair os dados de tais arquivos utilizando a extração regular, mas o carving pode solucionar este problema. Este é o motive pelo qual o produto permite que você escolha em que locais executar o carving: Unallocated somente, Allocated somente ou ambos na opção: What clusters to analyze? Nota: o carving em pastas e compartilhamento de rede não é suportado neste momento. Isto também vale para pastas compartilhadas do VMWare também. Se a opção Start extraction for found profiles está selecionada, o carving vai ser iniciado logo depois que o wizard for fechado (após você clicar em Finish). Se você não marcar esta opção, a fonte de dados selecionada (disco ou imagem) vai ser adicionada aos nós de casos do Case Explorer, mas as informações não serão extraídas. Você pode extrair as informações desta fonte clicando em Extract data no menu de contexto do nó correspondente ou Extract data no menu Edit. Na segunda página você pode selecionar por tipos de evidência a procurar: 79

80 Clique no botão Finish para iniciar o carving. Os resultados do processo serão visualizados, e é possível navegar pelos resultados já encontrados e examinar suas propriedades utilizando as opções Item List e Item Properties. BelkaCarving A opção BelkaCarving ajuda a combater a fragmentação de memória RAM em máquina. Informações na memória volátil do computador (RAM) são fragmentadas, assim como os dados em um disco rígido. Apesar do carving comum funcionar bem para porções de dados menores como conversas de instant messenger e URLs de navegadores, não funciona tão bem para porções de dados maiores (p. ex. imagens). 80

81 Abaixo você pode ver o resultado padrão do carving comum para uma imagem dentro de um dump de memória. Você pode ver claramente que, após algumas poucas linhas que conseguimos obter inicialmente, o resto da imagem está corrompida. É nisso que o BelkaCarving pode lhe ajudar. Belkasoft Evidence Center permite que você rode uma recuperação de RAM inteligente selecionando a opção Enable BelkaCarving como mostrado abaixo: 81

82 Analisando o mesmo dump de memória agora retorna a imagem inteira apesar de que ela estava espalhada pelo dump de memória: Por que nós temos isso como uma opção e não usamos como padrão? A razão é velocidade. BelkaCarving é um processo computacional altamente intensivo, requerendo muitos ciclos da CPU e levando um bom tempo para reconstruir corretamente os conjuntos de processos de memória. Se você não está buscando conjuntos grandes de dados como arquivos de imagens, você pode dispensar essa opção e ganhar um tempo considerável. Nota: Neste momento, BelkaCarving só está disponível para captura de dumps de memória em computadores rodando os seguintes sistemas operacionais: Windows 7 32-bit Windows 7 64-bit *nix (Unix/Linux/etc) 32-bit *nix (Unix/Linux/etc) 64-bit *nix (Unix/Linux/etc) PAE Linux ARM Analisando arquivos de hibernação e paginação Belkasoft Evidence Center permite que você extraia informação de dois importantes arquivos Windows: Arquivos de hibernação e arquivos de paginação (swap). Estes arquivos são a única exceção em que conteúdo de memória volátil pode sobreviver ao desligamento do PC. Ambos os arquivos podem conter artefatos voláteis. Enquanto o arquivo de hibernação é mais usado em laptops, arquivos de paginação são usados na maioria dos computadores já que representa a memória virtual do computador. Para extrair informação desses arquivos, rode o assistente Carve Device e escolha Live RAM image file: 82

83 Então especifique um caminho para os arquivos de hibernação e paginação de interesse. Após apertar Next, será apresentada a lista de tipos de evidência para CARVE. Após selecionar, aperte em Finish; o arquivo especificado será vasculhado por qualquer artefato que a Live Ram possa conter. Não espere uma grande quantidade de evidência encontrada dessa maneira; memória volátil contém apenas os dados mais recentes usados por vários programas. Até esses dados podem ser sobrescritos com outra informação rapidamente. No entanto, até uma pequena quantidade de dados recentes é melhor do que nada. Você pode baixar uma amostra de arquivos de hibernação e paginação no website da Belkasoft. Analisando dispositivos móveis O produto permite a análise de todos os mais importantes dispositivos móveis, tablets ou 83

84 smartphones, como iphone e Android. É possível analisar o arquivo de backup da maioria dos dispositivos móveis. Backups são guardados em um computador durante a sincronização do dispositivo móvel com o PC. É também possível analisar dumps UFED para telefones Android e dumps de chip-off. Fontes de dados móveis suportadas incluem: Backups do Android Chip-off dump Backups iphone Backups ipad Blackberry backups (ipd) Blackberry backups (bbb) Dump físico UFED para dispositivos Android. Para encontrar e analisar backups, selecione a caixa Mobile device backup na segunda página do assistente Search profiles. Para analisar dumps de UFED ou chip-off, adicione-os como uma fonte de dados na primeira página do assistente Search profiles. Após a extração de dados terminarem, alguns itens de sistema e aplicações serão apresentados sob o nó mobile no Case Explorer. Dependendo do tipo de dispositivo, você verá alguns dos seguintes: Agenda Contatos Chamadas Histórico de navegação do Safari ou outros navegadores SMSes Gmail E muitos outros itens específicos de cada aplicativo. A lista completa de aplicativos suportados por cada tipo de backup pode ser encontrada em Para revisar cada aplicativo ou dado do sistema, selecione-o no Case Explorer e explore o Mobile Application Data List: 84

85 Por favor, note que backups criptografados do iphone/ipad ainda não são suportados. Você pode descompactar backups do iphone e ipad para uma pasta local usando o menu de contexto Unpack backup... no Case Explorer: 85

86 Analisando documentos O produto pode encontrar, analisar e recuperar arquivos apagados da maior parte dos tipos de documentos de escritório, como: Microsoft Office (doc, ppt, xls) Microsoft Office (docx, pptx, xslx) OpenOffice (odt, odp, ods) PDF RTF Para cada fonte de dados, um único nó Documents é criado, combinando todos os documentos dentro de todas as pastas daquela fonte de dados: Por padrão, os seguintes filtros são criados para um perfil de documento: Corrupted documents. Esses são documentos que começam com informações válidas mas que em algum ponto não podem mais ser lidos. Você pode ler informação extraída deles, mas esta informação não está completa. Invalid documents. Esses documentos falharam completamente na checagem de consistência. Muito possivelmente eles estão severamente danificados, criptografados ou 86

87 foram renomeados. Muitos resultados de recuperação de documentos apagados vão cair nesse filtro. Valid documents. Esses documentos estão bem e podem ser abertos sem problemas. Documents with embedded files. Esses documentos contêm um ou mais arquivos embutidos que podem ser visualizados dentro do produto. Para cada documento, a seguinte informação é extraída: Plain text. Para planilhas, é a combinação de todas as células e todas as páginas da planilha. Para apresentações, o texto é a junção de todos os slides, simplificando a revisão e a busca. Metadata. Metadados, como criador do documento, data/hora são vitais para muitas investigações. Embedded files. Arquivos de office podem conter muitos arquivos de tipos arbitrários. Muito frequentemente são figuras, mas é possível incorporar outro documento, gráficos, scripts, arquivos, etc. Quando você seleciona um perfil de documento, você verá uma amostra de alguns documentos na janela Document List: 87

88 Atualmente o produto apresenta uma amostra da primeira página para documentos PDF; para outros tipos de documento um ícone é mostrado. Para ver uma amostra do documento inteiro, dê um duplo clique no documento de interesse, a janela do Picture Viewer vai abrir (atualmente suporta apenas documentos PDF). Para examinar metadados, clique num documento e revise suas propriedades na janela Item Properties: 88

89 Para ver a lista de arquivos incorporados a um determinado documento, clique na aba Embedded files: 89

90 Todas as figuras incorporadas serão mostradas; arquivos de outros tipos incorporados serão apresentados com o ícone padrão do sistema. Você pode abrir outros arquivos incorporados que não sejam figuras com as aplicações padrão ou salvá-las para o disco. Para fazê-lo, selecione os arquivos incorporados, dê um clique com o botão direito do mouse sobre eles e selecione o item correspondente do menu de contexto. Análise "low hanging fruits" de registro O produto pode encontrar e analisar arquivos de registro do Windows. Registro do Windows é uma fonte importante de informações sobre o uso do sistema e de aplicativos. O Registro contém milhares de entradas e o Belkasoft Evidence Center analisa as mais importantes, como: Arquivos mais recentes abertos por diversos aplicativos, como o Microsoft Office ( MRUs ) UserAssists Dados de inicialização de programa 90

91 Lista de dispositivos USB conectados ao sistema Adaptadores de rede Perfis wireless Fuso-horário E muitos outros. Para encontrar todos os arquivos colmeia de registro, selecione a caixa Registry no assistente Search profiles. Os resultados serão adicionados no subnó Registry sob o nó fonte de dados no Case Explorer. Para explorar os dados extraídos, clique-os no Case Explorer: Os artefatos mais importantes dos registros do Windows serão mostrados no Item List à direita. Se você precisar inspecionar outros dados dentro de um arquivo de registro, selecione o arquivo dentro de Case Explorer e abra a tela Registry Viewer. 91

92 Analisando arquivos de sistema O produto ajuda a achar e analisar vários outros arquivos de sistema. Arquivos de sistema suportados incluem: Jumplists Thumbnails Thumb cache Log de Eventos do Windows Para encontrar jumplists, thumbnails (incluindo Thumb cache) e Log de eventos do Windows selecione- os no System Files dentro do assistente Search profiles. O produto suporta recuperação de arquivos de log de eventos e thumb cache. Para encontrá-los, selecione Files na última página do assistente Search profiles (tipos de evidência a recuperar). Selecione um item dentro de System File List para revisar várias propriedades importantes de um arquivo. Por exemplo, jumplist contém informações forenses importantes como tamanho do arquivo, nome, nome do disco, de onde o arquivo foi aberto (esta informação é armazenada mesmo se o arquivo foi aberto de um disco removível!), o endereço MAC do computador no momento da abertura do arquivo e até a última vez que o computador foi iniciado antes do arquivo ser aberto! Jumplist para arquivos do Powerpoint mostram histórico de abertura do arquivo 145.pptx 92

93 Analisando bancos de dados SQLite O produto suporta análise compreensiva de bancos de dados SQLite. Bancos de dados SQLite são muito importantes ao longo de uma investigação forense porque SQLite é um formato muito popular de armazenamento de dados. Milhares de diferentes aplicações de desktop escolhem SQLite, inclusive Skype, Firefox, Chrome etc. SQLite é um padrão de-facto para armazenamento de dados em aplicativos móveis. Por isso você precisa de uma ferramenta que investiga dados em formato SQLite. Os seguintes tipos de análises estão disponíveis no Belkasoft Evidence Center: Análise automática de bancos de dados SQLite de vários aplicativos desktop tais como SQLite, Firefox, Chrome, e múltiplas aplicações móveis, como WhatsApp. Recuperação de bancos de dados deletados de SQLite Abertura de bancos de dados SQLite arbitrários, escolhidos por um usuário Análise de freelist de SQLite Análise de RollbackJournal do SQLite Análise do arquivo WAL do SQLite Belkasoft Evidence Center não usa nenhuma biblioteca SQLite de terceiros, permitindo a análise plenamente nativa do SQLite. Esse recurso permite que usuários do Evidence Center analisem até mesmo bancos de dados profundamente danificados, fragmentados e incompletos, como aqueles que resultam de uma tentativa de recuperação. Essa é uma diferença importante entre o Evidence Center e soluções de terceiros não forenses como o SQLite Database Browser, que irão falhar quando tentarem recuperar um arquivo SQLite danificado. Analisando a freelist do SQLite Informação apagada de um banco de dados SQLite não é eliminada imediatamente. Ao contrário, ela é transferida para a chamada freelist, uma área especial dentro de um arquivo SQLite que armazena dados apagados. Freelists não são acessíveis por meio de ferramentas de análise padrão de SQLite. Graças à análise nativa de SQLite, Belkasoft Evidence Center permite a recuperação de informação deletada armazenada em freelists de SQLite. 93

94 Dados de freelists são marcados como True sob a variável Is Deleted, como as mensagens Skype abaixo: Freelist data is marked with red background inside SQLite Viewer. Analisando arquivos de transação do SQLite Bancos de dados SQLite usam um mecanismo de transaçãoe parte dos dados é armazenado num arquivo RollbackJournal especial (antes do SQLite v.3.7) ou arquivo WAL ( write-ahead log ) (após SQLite v.3.7). Antes dos dados irem para o arquivo principal do banco de dados, eles são temporariamente armazenados dentro de um arquivo WAL, o que significa que este arquivo pode conter a versão mais atual dos dados. Portanto é muito importante ser capaz de revisar o conteúdo dos arquivos WAL. O SQLite Viewer automaticamente localiza ambos os tipos de arquivos-diário e combina dados do banco de dados SQLite principal com dados desses arquivos-diário. Dados de arquivos de transação são destacados com azul claro. 94

95 Resolvendo nome MSN O Microsoft MSN/Live Messenger armazena o histórico em pastar com nome como esse: john.smith O número após o nome do usuário representa um valor hash do do usuário e você pode estar interessado no endereço de em apenas texto (por exemplo, john.smith@verizon.net) ao invés do número. O produto torna possível recuperar o em pleno texto com um algoritmo de força bruta usando um conjunto de serviços de conhecidos. Na maioria dos casos, a lista dos serviços de mais populares não serão suficientes para recuperar o do usuário. O produto usa uma lista de quase 7000 serviços armazenados no arquivo mailservers.txt que é colocado na mesma pasta que o produto principal. Se você quiser estender a lista de servidores de s, apenas adicione novas entradas nesse arquivo. Gerenciamento de usuários (Apenas Enterprise) A janela de gerenciamento de usuários é a principal janela da porção Servidor do Belkasoft Evidence Center edição Enterprise. Essa janela é mostrada após o login no produto. Usando o gerenciados de usuários você pode criar e deletar usuários, dar ou revogar direitos a eles, criar ou editar funções no sistema. Analisador de tráfego de rede Belkasoft Evidence Center permite que você abra e analise arquivos contendo tráfego de rede interceptado. Há várias ferramentas disponíveis na Internet ( sniffers ) para capturar tráfego de rede, por exemplo, o WireShark. Essas ferramentas podem produzir arquivos PCAP com o registro da atividade de rede em uma rede local. Arquivos PCAP podem ser analisador pela nossa ferramenta. Para localizar o arquivo PCAP, realize uma busca usando o assistente Search histories como explicado na seção Searching profiles. Cheque o nódulo Network Traffic na primeira tela do assistente e selecione a localização do arquivo ou arquivos na segunda tela. Atualmente, o produto suporta os seguintes protocolos: Oscar (usado pelo ICQ, por exemplo) XMPP (usado por Jabber ou Facebook, por exemplo) 95

96 A extração, visualização e exportação da informação disponível pode ser realizada da mesma forma que todos os outros tipos de itens. Detectando arquivos criptografados Belkasoft Evidence Center pode descobrir e analisar mais de 150 tipos de arquivos criptografados. A lista de formatos suportados inclui: Adobe Acrobat PDF Lotus Notes Microsoft Access, OneNote, Outlook, PowerPoint, Word Zip and 7-zip E muitos outros tipos de arquivos encriptados. Por favor, veja a lista completa em Para descobrir arquivos criptografados, selecione a caixa Encrypted files no assistente Search profiles. Os resultados serão colocados no subnó Encrypted files sob o nó fonte de dados no Case Explorer. Por favor, note que a detecção de encriptação é uma operação que exige tempo, por isso faz sentido que se busque por outros tipos de artefatos antes e só execute a detecção de encriptação depois. Em algumas circunstâncias, duas linhas de análise separadas podem ser mais rápidas que apenas uma. Para analisar arquivos criptografados, selecione o nódulo Found encrypted files no Case Explorer. O produto vai apresentar esses arquivos no Encrypted File List: 96

97 As colunas mais importantes são Complexity e Protection features. A primeira mostra quão difícil é decodificar o arquivo. Para as complexidades Instant e FastBruteForce você pode ser capaz de recuperar a senha rapidamente. No entanto, MediumBruteForce e SlowBruteForce pode levar dias, semanas ou até mesmo bilhões de anos para decodificar. Com encriptação forte, você pode precisar de um equipamento especial para decodificar os arquivos, e mesmo assim pode não ser possível decodificar em um tempo razoável. Protection features mostra como um arquivo é protegido. Open Password significa que você não pode abrir o documento e ver seu conteúdo sem saber a senha. Há, no entanto, outros tipos de proteção, como por exemplo, na captura de tela acima o arquivo PDF pode ser aberto mas não pode ser impresso sem uma correção. Para permitir que o usuário decodifique arquivos, Belkasoft Evidence Center está integrado com o Passware Kit Forensic. Se você tiver ambas as ferramentas, é possível realizar a decriptação dos arquivos de dentro da interface do Evidence Center. Sleecione um ou mais arquivos na Encrypted Files List, aperte o botão direito do mouse e selecione Decrypt: Se você não tiver o Passware Kit Forensic, o item do menu estará desabilitado. 97

98 Você também pode decodificar todos os arquivos criptografados descobertos selecionando Decrypt no menu de contexto do Case Explorer. Por favor, note que a decriptação é uma operação que consome muito tempo e não há garantias de que será bem sucedida para tipos fortes de encriptação. Informações extraídas de navegadores web Análise de navegadores web recuperam os seguintes tipos de artefatos: Sites visitados pelo suspeito Cookies Senhas, entradas em várias telas de login (com exceção do IE e do Safari) Valores de formulários preenchidos em vários fóruns-web Arquivos baixados Links favoritos URLs digitadas (URLs que foram digitadas diretamente na caixa de endereço do navegador) Cache (arquivos armazenados localmente para aumentar a velocidade de carregamento subsequente de um site, por exemplo, imagens) Para as URLs digitadas no Internet Explorer, você precisará de acesso aos arquivos de registro do usuário. Browser passwords Evidence Center pode extrair senhas entradas por usuários em várias telas de login usando o navegador web. No entanto, há algumas restrições: A análise funciona no Firefox, Chrome e Opera apenas. Safari e Internet Explorer não são suportados. Se o usuário não optou por deixar o navegador armazenar sua senha, não há maneira de extraí-las usando a análise de navegador. Para o Opera, não é possível determinar qual campo gravado é o login e qual é a senha, então o produto vai tentar adivinhar e pode ser que adivinhe erroneamente. A razão para 98

99 isso é que o Opera armazena suas senhas numa ordem aleatória e usa o conteúdo do site para determinar que valor armazenado deve ir em qual campo. Cálculo do Hash Todo perfil pode ter dois valores hash associados a ele. Esses são o valor hash original e o valor hash atual. Valores de hash são calculados para garantir que o perfil não foi alterado durante a investigação e para ser capaz de provar para uma terceira parte. Se você está prestes a criar valores hash, selecione a caixa Calculate profile hash value na janela Search profiles. Por favor, note que calcular valores hash pode levar um tempo, em especial para perfil grandes como os arquivos PST do Outlook ou uma pasta do navegador com múltiplos arquivos dentro. Então se você não vai usar o valor hash, você pode desabilitar essa caixa para acelerar o processo de adicionar perfis ao caso. O produto usa um algoritmo MD5 padrão para calcular valores hash. Se o perfil for uma pasta, o hash é calculado com todos os arquivos e subpastas dentro da pasta, e então seus hashes são colocados numa cadeia de caracteres para a qual a hash resultante é calculada. Se ao menos um arquivo dentro da pasta for alterado, o valor total do hash vai mudar também. Para um perfil de imagem que contém arquivos de diferentes pastas, o hash é uma combinação de todos os valores hash de arquivos de imagem pertencentes ao perfil. Para garantir que o perfil permaneça o mesmo, selecione-o no Case Explorer. Na página de propriedades do perfil dois valores hash serão apresentados: 99

100 Clique no botão Recalculate para instruir o produto a calcular o valor hash do perfil atual. Se o novo valor hash for igual ao original, o perfil não foi mudado. Sob algumas circunstâncias, o produto pode falhar ao calcular o hash. Isto pode ocorrer, por exemplo, quando um arquivo de perfil está trancado. Essa situação pode ocorrer enquanto você está testando o produto no seu próprio sistema, onde vários arquivos são naturalmente trancados, como o seu arquivo de registros, seus arquivos do Skype ou do Firefox. Outro problema comum surge quando você copia outro perfil de usuário para o seu hard drive e alguns caminhos de arquivo se tornam muito grandes, excedendo o limite máximo do Windows para caminhos de arquivo. Nesse caso, o cálculo do hash também falhará e o programa mostrará uma mensagem Failed to calculate hash (falha ao calcular o hash) no campo Current hash do Profile Properties. Se você já tiver retirado o drive com o perfil ou movido o perfil para outro lugar, o produto também não será capaz de calcular o valor hash atual. Codificação Alguns tipos de evidência, por exemplo, Jumplists ou Mensageiros Instantâneos podem armazenar seus históricos em codificação nacional ao invés de UTF. Para esse tipo de dados, o produto vai 100

101 extrair informação usando o padrão de codificação do sistema. No entanto, isso pode dar resultados incorretos se o padrão do sistema não for o mesmo que o usado para codificar um pedaço de evidência em particular, por exemplo, um chat que foi realizado usando Chinês Simplificado enquanto você está na Alemanha e tem a codificação Alemã por padrão. Para instruir o produto a usar a codificação adequada, clique com o botão direito do mouse no perfil de interesse, clique no item de menu Encoding e selecione a codificação necessária. O produto vai oferecer para extrair os dados novamente já que a codificação foi alterada: Você também pode especificar a codificação padrão do produto. Veja Opções para mais detalhes. 101

102 Timestamps Ao extrair e apresentar dados extraídos de vários aplicativos e arquivos de sistema, o produto preserva as marcas de data e horários com os quais foram armazenados pelo aplicativo ou pelo sistema. O cabeçalho Data/hora (Date/time) explica que hora é: local ou UTC. Portanto, você pode precisar recalcular a hora para o seu fuso horário. Por exemplo, o usuário de um perfil de Mensageiro Instantâneo do fuso horário UTC +3 mandou uma mensagem às 11:00am. Você está investigando o perfil no UTC+2. Para o seu fuso horário, a mensagem foi enviada às 10:00am. Dados recuperados do Chrome armazenados em horário local. A linha do tempo (Timeline) automaticamente recalcula todos os horários locais para UTC e vice versa. Fusos horários Dados de um caso podem vir de diferentes fusos horários. Alguns eventos são armazenados com horário UTC, outros podem usar o horário local. A fim de ajudar a interpretar corretamente os vários horários, fuso horário pode ser especificado separadamente para os seguintes itens: Caso. Fonte dos dados. Perfil. 102

103 Você será solicitado a entrar com um fuso horário quando criar um novo caso. Assegure-se de especificar o fuso horário do suspeito e não o seu. O fuso-horário indicado será padrão para todas as marcas de data/tempo, armazenados em horário local. No entanto, em um caso você pode ter algumas fontes de dados de outro fuso horário. Por exemplo, se você tem diferentes discos, e todos menos um vieram de um único país enquanto o outro originou-se de um país com fuso horário diferente. Enquanto o fuso horário padrão estará certo para a maioria dos discos, você iria querer sobrescrever o fuso horário para aquele diferente. Isso pode ser feito na página de parâmetros de origem de dados apresentada quando você seleciona a origem dos dados no Case Explorer : Da mesma forma, você pode mudar o fuso horário para um perfil em particular. O horário padrão para o caso também pode ser modificado na página Case Properties. A prioridade de fusos horários é a seguinte: 1. Profile. 2. Data source. 3. Case. Isso significa que o fuso horário do perfil, se sobreposto, tem prioridade maior que fuso horário da 103

104 fonte dos dados e do caso, e será usado para os cálculos. Fuso horário da fonte dos dados tem prioridade sobre o fuso horário do caso. O fuso horário é usado para calcular o horário preciso para a visualização da Timeline apenas. Nenhuma conversão é feita para outras visualizações de dados. Configuração de fuso horário também é usada nos relatórios, quando um dos tipos de horário não é conhecido, ele é calculado usando o fuso horário especificado e o segundo horário. Ordenação O Item List suporta a ordenação dos itens que ela contém. Você pode procurar por qualquer coluna na grade. Para fazer isso, clique no cabeçalho da coluna. Itens ordenados por data 104

105 Itens ordenados por tipo de item (chamadas de Skype primeiro, chats a seguir) Fazendo isso duas vezes vai mudar a ordem de ordenação (ascendente para descendente e vice versa). Suas preferências de ordenação serão lembradas pelo programa, então a ordenação será a mesma a próxima vez que iniciar. Análise de Imagens O produto suporta os seguintes tipos de análise específica de imagens: Detecção de faces Detecção de texto Detecção de pornografia Detecção de imagens forjadas (plugin pago para o produto) Esses tipos de análises podem ser realizados em perfis de imagem e perfis de vídeo com seus quadros extraídos. Para rodar um certo tipo de análise, clique com o botão direito do mouse no perfil da figura ou do vídeo e selecione o item correspondente do sub menu no menu de contexto Analyze pictures: 105

106 Nota: a mídia original com as imagens deve estar conectada ao computador porque o programa não armazena as imagens no banco de dados por padrão. De forma alternativa, você pode armazenar as imagens selecionadas ao caso. Se você fez isso, o produto vai checar o banco de dados do caso e só então tentar acessar o caminho original da imagem. A análise resultante será guardada sob os seguintes subnós do nó Analysis results: Imagens com faces Imagens com textos Imagens pornográficas Imagens forjadas Todos os tipos de análises, exceto detecção de imagens forjadas, estão usando redes neurais a fim de detectar o conteúdo do tipo correspondente. Atualmente, não é tecnicamente possível criar um algoritmo que faça tal análise 100% corretamente sem falsos positivos ou falsos negativos. 106

107 Detectando rostos O produto permite que você detecte faces em perfis de imagens ou vídeo. A fim de detectar face, selecione o perfil de imagem ou vídeo de interesse, clique com o botão direito do mouse, escolha o item Analyze pictures no menu de contexto e depois Detect face. A análise irá começar. Após a análise, o filtro Pictures with faces sob o subnó Analysis results no Case Explorer estará cheia de imagens com faces detectadas. O número total de imagens detectadas com faces vai ser indicado no nó correspondente: 4 imagens com rostos detectados A análise foi desenvolvida para funcionar com faces claras de frente e de perfil. Os melhores resultados podem ser obtidos com faces frontais. Outros tipos de faces, por exemplo, viradas a meio caminho, podem não ser detectadas já que não existe um algoritmo robusto até o momento. Os seguintes obstáculos podem impedir a detecção bem sucedida de faces: Face virada significativamente da posição frontal ou de perfil Alguma coisa cobre grande parte do rosto (por exemplo, óculos escuros, mão, cachecol) Fracas condições de luz Detecção de faces usa rede neural para encontrar faces. Falsos negativos e falsos positivos são esperados. Por exemplo, o algoritmo frequentemente detecta a região do joelho como face. Para 107

108 reduzir falso positivos, o produto realizar um número adicional de tipos de análise como: Detecção de pele Detecção de nariz Detecção de olhos Detecção da boca Para se livrar de falsos positivos, você pode filtrar faces que só contenham todas essas características. Note: contagem de falsos positivos e falsos negativos dependem um do outro. Se você diminuir o número de falsos positivos, mais falsos negativos vão aparecer (então você pode perder algumas imagens com faces). Para ver quais características são detectadas para a face, você pode inspecionar a sessão Analysis properties na janela Item Properties: Para cada face descoberta, um registro separado é criado com todos os detalhes como limites da face e características adicionais como nariz, boca, pele e olhos detectados. Cada face é destacada com uma caixa verde dentro das janelas Picture List e Picture Viewer, caso a opção correspondente esteja selecionada em Picture Options. O produto pode detectar com sucesso não só faces reais mas também faces em desenho e até animações! 108

109 Nota: para extração de faces de um arquivo de vídeo, você vai ter que extrair os quadros chave primeiro. Detectando texto O produto permite que você detecte texto em perfis de imagens e vídeos. A fim de detectar texto, selecione o perfil de imagem ou de vídeo de interesse, clique com o botão direito do mouse nele, clique em Analyze pictures e depois Detect text. A análise irá começar. Após a análise completar, o filtro Pictures with text no nódulo Analysis results no Case Explorer estará cheio de imagens com texto detectadas. O número total de imagens com texto será indicado no nódulo correspondente: 109

110 2 imagens com texto detectado A análise foi desenvolvida para funcionar com texto escaneado claramente. Pode não funcionar com texto arbitrário como sinais de trânsito, legendas, texto em camisetas etc. Exemplo de imagens que podem ser bem processadas. 110

111 Para melhorar os resultados, o produto realizar operações como ajuste de alinhamento, aumento na resolução e outros. Portanto, mesmo imagens pequenas e desalinhadas podem ser processadas. Não há 100% de garantia que todo o texto é extraído corretamente. Os seguintes obstáculos podem impedir uma detecção bem sucedida do texto: Texto significativamente desalinhado Resolução muito baixa (por exemplo, letras com 5 pixels de altura) Marcas manuscritas sobre texto impresso Para ver que texto é detectado para uma imagem, você pode inspecionar a seção Analysis properties na janela Item Properties: 111

112 A fim de reconhecer o texto de forma bem sucedida, você deve especificar a linguagem de reconhecimento nas opções (Inglês por padrão). Reconhecimento multilíngue não é suportado. O texto reconhecido é pesquisável, isto é, na imagem acima, você pode buscar pela palavra-chave wine e a imagem será encontrada. Nota: para extração de texto de um arquivo de vídeo, você deve extrair os quadros chave primeiro. Detectando pornografia O programa permite detectar pornografia em perfis de imagem e de vídeo. A fim de detectar conteúdo pornográfico, selecione o perfil de vídeo ou imagem de interesse, clique com o botão direito do mouse, clique em Analyze pictures e então em Detect porn. A análise se iniciará. Após a análise se completar, o filtro Porn pictures sob o nó Analysis results no Case Explorer estará cheia de imagens com pornografia detectada. O número total de imagens com pornografia será 112

113 indicado no filtro correspondente: 2 imagens pornográficas detectadas Detecção de pornografia usa rede neural a fim de encontrar figuras explícitas. Resultados 100% corretos não são garantidos. Tanto falsos positivos quanto falsos negativos podem existir. Os seguintes obstáculos podem prevenir a detecção bem sucedida de pornografia: Condições ruins de luz Muito pouca pele nua visível Imagens em preto e branco Vários efeitos pós-processamento como converter cores para luminescentes num editor de imagens Pele negra é pior detectada que pele branca Para ajudar a identificar imagens suspeitas, um fator de probabilidade de pornografia é atribuído para cada imagem. Você pode ordenar a lista de imagens pela coluna Porn probability para que as imagens mais suspeitas apareçam primeiro. A implementação atual tem as seguintes características qualitativas: 4,96% de falsos negativos e 16,31% de falsos positivos. 113

114 Nota: para detecção de pornografia em arquivos de vídeo, os quadros chaves devem ser extraídos primeiro. Detectando imagens forjadas O Forgery Detection Plugin (deve ser adquirido separadamente) permite a detecção de imagens JPG que foram alteradas ou modificadas após terem sido tiradas por uma câmera digital. Todos os tipos de modificação contam como uma imagem forjada (alterada) incluindo gravá-la com um nível de compressão diferente, cortar partes ou mudar deliberadamente o conteúdo da imagem (desde mudar a exposição até clonar partes da imagem). A fim de detectar imagens forjadas, selecione o perfil de interesse, clique com o botão direito do mouse, selecione Analyze pictures e então Detect forgery. A análise se iniciará. Após a análise, o filtro Forged pictures sob o nó Analysis results no Case Explorer estará cheia de imagens forjadas. O número total de imagens forjadas será indicado no filtro correspondente. 114

115 Após a análise você pode criar um relatório especial de detecção de imagens forjadas. Para fazer isso, selecione o filtro Forged pictures no Case Explorer, dentro da Picture List selecione todas as imagens ou aquelas de interesse, clique com o botão direito do mouse e selecione Create forgery analysis report...: Um relatório de análise de imagem forjada será criado: 115

116 Detecção de imagens forjadas usa um número de dados empíricos obtidos de mais de 3000 diferentes câmeras digitais. O algoritmo analisa os dados EXIF, tabelas de quantificação, vários artefatos de imagem específicos desta ou daquela câmera e a imagem propriamente dita. Forgery Detection é um plugin pago do Belkasoft Evidence Center Ultimate. Você deve adquiri-lo separadamente. 116

117 Removendo imagens detectadas incorretamente: Se o produto detectar faces incorretamente, você pode removê-la usando a janela Picture List. Apenas dê um clique com o botão direito do mouse na região e ela vai desaparecer. Se você remover a última face detectada numa imagem, ela será removida do filtro Pictures with faces da próxima vez que a selecionar. Armazenando imagens e documentos no banco de dados Um disco rígido típico ou dispositivo móvel possui milhares de fotos; alguns contém centenas de milhares. Muitas dessas imagens não representam nenhum interesse para uma investigação; algumas, no entanto, podem apresentar maior interesse que outras. O total de imagens desnecessários podem exceder gigabytes. Por essa razão, imagens não são armazenadas no banco de dados por padrão. Apenas os caminhos originais e as propriedades são armazenadas. Por isso você não é capaz de visualizar uma imagem ou rodar uma análise nela caso tenha removida a mídia que a contém do computador. Pela mesma razão, documentos encontrados não são armazenados no banco de dados por padrão, apenas os caminhos e metadados vão para o banco de dados. No entanto, você pode querer armazenar algumas imagens ou documentos de interesse por um período de tempo maior do que você vai ter a mídia original à disposição. Nesse caso, você pode selecionar as imagens e documentos de interesse e salvá-las para o banco de dados selecionando Save selected items to database: 117

118 Feito isso, todas as operações subsequentes realizadas com itens gravados serão feitas no arquivo cópia do banco de dados, de forma a poder analisar imagens e documentos sem a mídia original conectada. Operações com imagens Além do menu de contexto padrão para qualquer item do Item List, imagens tem operações adicionais disponíveis: Show selected items on Google Maps. Se alguma das imagens selecionadas contiver coordenadas GPS, esta opção é habilitada. Usando esse recurso você pode ver todos os pontos do mapa onde as fotos selecionadas foram tiradas. Show selected items on Google Earth. Se você não tiver uma conexão à internet no seu computador, essa opção pode ser perfeita para ver as mesmas coordenadas GPS num mapa. Precisa instalar o Google Earth e não requer uma conexão à internet para mostrar o local. 118

119 Export selected items to Google Earth format. Se você não tem nem uma conexão à internet nem o Google Earth instalado no seu computador, esta opção vai permitir que você veja as locações desejadas. O programa vai criar um arquivo no formato do Google Earth (kml-file) que pode ser copiado para outro computador com Google Earth instalado e ser visualizado lá. Copy picture. Para copiar imagens selecionadas selecione este item do menu de contexto. Save selected items in database. Este item de menu armazena permanentemente as imagens selecionadas no banco de dados. Open in folder. Você pode escolher uma ou várias imagens e selecionar este item do menu. Uma janela separada do Explorer vai abrir para cada pasta contendo a imagem original (se você possuir três figuras em duas pastas diferentes, duas janelas do Explorer vão se abrir). Há também duas operações específicas com imagens disponíveis pelo nódulo de perfil de imagem do Case Explorer : Copy files to folder. Escolha esse menu para copiar todas as imagens de um perfil ou um filtro para uma única pasta. Para mais detalhes veja Copiando imagens para pasta. Filters. Este item permite você ver e editar filtros de perfil de vídeo e de imagem. Para mais detalhes veja Filtros. Trabalhando com dados de geolocalização O produto suporta uma variedade de artefatos com dados de geolocalização. Existe um grande número de artefatos que suportam a inserção de dados para geolocalização, particularmente, imagens com dados de GPS, que são tiradas em dispositivos móveis e câmeras modernas, buscas no Google search, mapas, entre outros. A aplicação detecta automaticamente pesquisas realizadas no Google maps dentro do histórico dos browsers de internet. Se um link visitado por um usuário contém pesquisa no Google maps, o produto extrai a latitude, longitude e em alguns casos altitude e zoom. Essas propriedades são mostradas na lista de itens do produto: 119

120 120

121 O produto também busca em aplicativos de dispositivos móveis por Google maps e mostra a geolocalização desses aplicativos. Para encontrar essas informações, os selecione em "Geolocation data" conforme mostrado na figura abaixo: 121

122 Quando você possuir itens com dados de geolocalização, tais como URL do Google maps, aplicações de dispositivos móveis ou imagens com coordenadas de GPS, você pode selecioná-los e inspecionálos dentro da janela Google Maps do produto: 122

123 Finalmente, o produto permite criar relatórios para todos os dados geolocalizados. Para tanto, clique com o botão direito dentro da janela Google Maps e selecione o item Create Report. Um novo relatório será criado e conterá um preview do artefato conforme mostrado abaixo: 123

124 Copiando arquivos para uma pasta Você pode copiar todos os arquivos pertencentes a um perfil, como imagens, vídeos ou documentos, ou filtro para uma determinada pasta. Esta função é muito útil para juntar todos os arquivos de um mesmo tipo na mesma pasta, por exemplo, se você quiser revisar todas as imagens de um dispositivo móvel uma a uma, é conveniente combiná-las de todas as subpastas do dispositivo para uma única pasta. Para fazer isso, escolha o menu de contexto Copy files to folder... no Case Explorer : A janela de Set target options vai abrir permitindo que você selecione a pasta destino e se quer que o Windows Explorer abra a pasta depois: Selecione qualquer pasta existente e clique em OK para começar a copiar. 124

125 Copiando arquivos embutidos e anexos para pasta O produto ajuda você a reunir vários arquivos embutidos numa única pasta. Em particular, você pode reunir todos os anexos de um perfil de s e todos os arquivos embutidos em todos os documentos dentro de uma fonte de dados. Isto pode ser útil, por exemplo, quando você está investigando todas as imagens dentro de um documento do Word, ou todos os documentos do Excel anexados a s dentro do perfil do Outlook. Revisar esses arquivos um por um pode tomar uma quantidade enorme de tempo, enquanto tê-los todos dentro de uma única pasta pode acelerar a investigação sobremaneira. Para copiar arquivos embutidos em documentos para uma pasta, clique com o botão direito do mouse no nódulo do perfil do documento ou num filtro sob o perfil do documento no Case Explorer e selecione o item de menu Copy embedded files to folder... Você será solicitado a escolher a pasta para a qual quer copiar os arquivos. Para copiar os anexos de um perfil de para uma pasta, clique com o botão direito do mouse no nódulo de perfil do ou em uma pasta de sob o perfil no Case Explorer e selecione 125

126 o item de menu Copy attachments to folder... Você será solicitado a escolher a pasta para a qual quer copiar os arquivos: Filtros O produto suporta filtragem compreensiva para imagens em perfis de imagem e de vídeo. Por exemplo, se você gostaria de agrupar apenas imagens que tenham coordenadas GPS ou apenas imagens com conteúdo pornográfico, o produto lhe permite fazer isso. Há alguns poucos filtros pré-definidos disponíveis: Imagens com faces 126

127 Imagens com texto Imagens pornográficas Imagens forjadas (se você possuir o Forgery Detection Plugin) Imagens com dados de GPS Imagens com metadados Imagens grandes Documentos válidos/inválidos/corrompidos Todo perfil tem filtros padrão logo após sua criação. Filtros agrupados sob o nódulo Analysis results só serão preenchidos após a análise correspondente for completada (veja Análise específica de imagens ). Outros filtros serão preenchidos logo após a criação do perfil para que você possa, por exemplo, revisar todas as imagens grandes imediatamente. Se você quiser editar os filtros padrão ou criar seu próprio filtro, você pode clicando com o botão direito do mouse num perfil de imagem ou vídeo e selecionando o menu de contexto Filters

128 Gerenciando Filtros Usando o Filter Manager você pode inspecionar, editar ou deletar filtros customizados. Clique em New filter para criar um filtro customizado, Edit filter para editar um único filtro selecionado e Delete filter para deletar um ou mais filtros selecionados. Editando propriedades do filtro Usando a janela Edit Filter Properties você pode editar propriedades de filtros existentes e criar novos filtros customizados. Por exemplo, se você gostaria de endurecer o limiar de imagens pornográficas, você pode selecionar o filtro pré-definido chamado Porn pictures no Filter Manager e clicar em Edit filter. Na janela aberta Edit Filter Properties você pode ajustar os valores para o limiar: 128

129 Por exemplo, você pode ajustar Porn detection probability (probabilidade de detecção de pornografia) para ser maior ou igual a 0.8 para diminuir o número de falsos positivos. Nota: ao fazer isso, você também aumentará o número de falsos negativos. Nesta janela você pode dar um nome ao filtro e adicionar um ou mais critérios. Condição é uma condição contendo três partes: A parte da esquerda, que é a das propriedades pré-definidas, como propriedades EXIF, propriedades do arquivo, propriedades da imagem, metadados do Office e propriedades gerais dos itens. Para achar a propriedade por nome, você pode entrar uma substring na caixa de texto Find Properties by substring. A parte da direita, que é um valor que você entra manualmente. Esta pode ser uma string, um integral, real ou valor booleano. Operação, que pode ser uma das operações lógicas pré-definidas, como >= para números, contains (contém) para strings, = para booleano e assim por diante. Você pode selecionar uma operação na caixa Operation. Há a possibilidade de inverter uma condição selecionando a caixa Logical NOT. Isso é particularmente útil para expressões string, como por exemplo, condição NOT manufacturer EQUALS Canon vai filtrar todas as imagens feitas por todas as câmeras que não sejam da marca Canon. 129

130 Você pode combinar várias condições por conjunções lógicas como AND e OR usando a caixa combine with existing rules as: No exemplo abaixo há um filtro com o nome Path contains xxx, que é um filtro com uma única condição que o caminho para o arquivo de imagem contenha a substring xxx em algum lugar no meio: Note que os filtros estão funcionando com escopo no perfil, o que significa que cada perfil tem seu próprio conjunto de filtros. Portanto, se você mudar o filtro Porn pictures para um perfil, o mesmo filtro em outro perfil não irá ser alterado. Análise de vídeo O produto permite que você quebre o vídeo em uma série de quadros chave. Um quadro chave é um quadro que difere significativamente do quadro anterior. Por exemplo, um movimento rápido ou completa mudança de cena será considerada uma diferença significativa. 130

131 Para ganhar tempo, você pode revisar apenas quadros chave, porque outros quadros serão similares. Portanto, você só revisa uma série de imagens ao invés de assistir ao filme inteiro. Isso aumenta substancialmente a velocidade e eficiência da análise. Para extrair quadros chave, especifique as opções de extração na aba Video no diálogo Options. Então dê um clique com o botão direito do mouse no perfil de vídeo e selecione Extract key frames: A extração de quadros chave vai começar. Durante a extração, você será apresentado com quadros já extraídos sob o sub nódulo Key frames de um nódulo de perfil: 131

132 Quando a extração de quadros chave for completada, você pode fazer a mesma análise específica de imagens com os quadros extraídos sendo usados como imagens normais. O filtro Key frames mostra todos os quadros chave extraídos de todos os vídeos da fonte de dados. Se você gostaria de revisar os quadros chave pertencentes a um vídeo em particular, selecione-o no Picture List e inspecione a aba Pictures dentro da janela Item Properties: 132

133 Nota: os quadros chave não são gravados no banco de dados durante a extração. Ao invés disso, eles são extraídos para a pasta Case Data. Você pode querer deletar quadros chave depois, quando terminar de trabalhar num caso, para liberar espaço no disco rígido. Se você precisar gravar alguns quadros selecionados, você pode salvá-los para o banco de dados como você faria com imagens comuns. Janelas de Erro Se o produto encontrar um problema inesperado, ele vai apresentar uma janela Error occurred contendo informações técnicas detalhadas sobre o erro. 133

134 Clique no botão Details para ver informações detalhadas sobre o erro. Ao usar essa janela, você pode mandar um relatório de erro para a Belkasoft. Para fazer isso, clique em Copy, depois em Send to support. O seu cliente de padrão vai abrir, um novo será criado. Apenas cole os detalhes no corpo do e nos envie. Nós agradecemos a ajuda! Se você não tiver acesso a do computador onde você está trabalhando com o produto, você pode gravar os detalhes do erro para um arquivo usando o botão Save. Anexe o arquivo resultante em outra máquina para nos deixar cientes do problema. Além dos detalhes da janela Error occurred algumas informações técnicas adicionais podem ser requeridas pela equipe da Belkasoft para consertar o problema. Se você viu um problema, por favor, nos envie os arquivos de log da pasta do caso correspondente. A pasta de logs fica armazenada sob a pasta CaseData para o caso. Por definição o caminho pode parecer com o seguinte: C:\Users\[YOUR ACCOUNT]\AppData\Roaming\Belkasoft\Evidence Center Ultimate\CaseData\[CASE NAME])\Logs\ _ Extract history.txt Outra pasta de log é armazenada dentro de CaseData: C:\Users\[YOUR ACCOUNT]\AppData\Roaming\Belkasoft\Evidence Center Ultimate\CaseData\Logs Esta pasta guarda logs que não são relacionados com o caso atual e sim com o produto de forma geral. Esses logs são também de interesse particular quando queremos consertar um problema, 134

135 portanto, por favor, inclua-os no seu para o nosso suporte. Esperamos que essa não seja uma operação que você tenha que realizar com frequência. Opções O produto tem um número de opções disponíveis clicando no item de menu Tools e selecionando Options. Dependendo da configuração de ferramentas que você tiver, a janela Options pode conter uma ou mais abas, incluindo General, Picture e Video. Opções Gerais A aba da opção General contém as seguintes opções: Language. Inglês é a língua padrão. Outras opções estarão disponíveis assim que o produto estiver traduzido para outras línguas. Default encoding. Se você está frequentemente trabalhando com históricos da mesma codificação que não seja a padrão do seu sistema, você pode ganhar tempo ao selecionar a codificação padrão do produto aqui. Por exemplo, se você tem como local padrão a Alemanha e trabalha com Chinês Simplificado, você pode selecionar Chinês Simplificado como codificação 135

136 padrão. Always open the last case. Quando esta opção está selecionada, o produto não vai perguntar qual caso abrir ao iniciar. O último caso será sempre aberto. Log profile search folders. Se você suspeita que o produto não está vasculhando todas as pastas disponíveis num dispositivo de interesse, você pode selecionar essa opção. Quando selecionada, o produto vai salvar todas as pastas que tiverem sido percorridas ao buscar por perfis num arquivo de log. Esse arquivo pode ser visualizado usando o Task Manager após a busca terminar. Por favor, note que o arquivo de log pode ficar bastante grande porque pode haver milhares ou dezenas de milhares de pastas num disco. Folder to store case data. Se o seu disco de sistema não for muito grande, você pode selecionar outro disco para armazenar os dados de caso. Após você mudar a pasta de dados de caso, reinicie o programa para aplicar as mudanças. Note, por favor, que casos existentes não serão movidos para o novo local portanto você verá listas de caso vazias. Se você gostaria de manter todos os seus casos, você pode movê-los para o novo local manualmente. Mudar a pasta de dados de caso para a antiga vai retornar todos os casos para a lista de casos. Note: Você não deveria tentar recuperar o mesmo disco que você selecionou para o seu Case Data ou então o processo vai entrar em loop, porque o ele vai tentar recuperar novos arquivos criados de novo e de novo. Opções de imagem A aba Picture contém as seguintes opções: 136

137 Blur pictures detected as porn. Imagens pornográficas serão borradas na janela de Picture Preview para que apresentar os resultados de sua análise sem muitos detalhes: Note, no entanto, que antes da tarefa de análise de detecção de pornografia for completada, todas as imagens serão apresentadas como são, já que a ferramenta ainda não sabe quais as que contém conteúdo explícito. Notem também que a janela Picture Viewer sempre mostrará a imagem original (isto é, não borrada independentemente de serem pornográficas ou não). Show recognized faces bounds. Após você rodar a análise de detecção de faces e ela achar algumas faces, é possível destacá-las em cada imagem relevante: As faces detectadas são destacadas com um retângulo verde 137

138 Do not blur recognized faces. Quando você roda tanto a detecção de pornografia e de faces, você pode visualizar imagens pornográficas borradas com exceção da área do rosto: Imagem pornográfica está borrada mas a face é mostrada como é. Text recognition language. A fim de obter resultados corretos da detecção de texto, é necessário especificar a linguagem a ser detectada. Atualmente, as seguintes línguas são suportadas: o English o Russian Línguas adicionais podem ser adicionadas por solicitação. Notem, por favor, que reconhecimento multilíngue não é suportado. Face recognition mode. Há três modos pré-definidos: o o o Less false positives. Neste modo você vai ter menos faces detectadas incorretamente, mas também menos faces detectadas corretamente. Selecione essa opção quando for importante para você pegar o menor número de resultados incorretos possível e você não se importa de perder algumas faces verdadeiras. Medium false positives. More false positives. Neste modo você pega mais falso positivo, mas também o máximo de faces detectadas corretamente. Selecione essa opção para você pegar o máximo de fazer possível e você não se importa com muitos resultados. Ignore small pictures. Todo computador contém milhares de imagens pequenas usadas para as mais diferentes razões, ícones, spacers ou imagens em branco para páginas HTML, entre outros. Essas imagens não têm nenhum significado forense em 99% dos casos, então é melhor desprezá-las. Você pode especificar o tamanho mínimo para uma imagem ser adicionada a um caso. Imagens menores serão silenciosamente ignoradas. 138

139 Opções de Vídeo A aba Video contém as opções referentes a extração de quadros chave: Frames per second. Se você gostaria de extrair quadros chave rapidamente, você pode instruir o programa a tirar um quadro a cada 10 segundos (o maior valor desta opção é 0,1 quadro por segundo). O alcance disponível para essa opção é de 0,1 quadros por segundo a 50 quadros por segundo. Para a maioria dos vídeos 50 quadros por segundo será equivalente a analisar todos os quadros. Isso dá resultados mais precisos mas levará muito mais tempo. Frames similarity. Um quadro chave é um quadro que difere substancialmente de um anterior. Por exemplo, movimento rápido ou completa mudança de cena pode ser considerado uma diferença significativa. Você pode mudar esse parâmetro para pegar mais ou menos quadros resultantes. O alcance disponível é de 0 a 100, no entanto, o número não tem nenhum significado real e é apenas para referência. 139