DCFLDD: Otimizando o serviço do perito forense. Faculdade SENAC DF Pós-Graduação em Segurança da Informação RESUMO. Autores. Brasília-DF 2012 ABSTRACT

Transcrição

1 Faculdade SENAC DF Pós-Graduação em Segurança da Informação Autores Gabriel Deprá Galdino Edilberto Silva Brasília-DF 2012 DCFLDD: Otimizando o serviço do perito forense RESUMO O crescimento dos crimes cibernéticos fez com que houvesse um aumento na exigência de provas mais conclusivas e irrefutáveis. Para se atender as exigências dos tribunais em todo o mundo as ferramentas disponíveis devem ser ágeis e confiáveis. O programa dd, é usado para criar cópias de arquivos, já o dcfldd é uma evolução do dd, que além de copiar os arquivos executa outras funções que otimizam a tarefa de coletar os dados e deixa a tarefa menos desgastante para o perito forense. Os testes desse trabalho foram feitos para demonstrar que o dcfldd é tão confiável quanto o dd. Palavras-Chave: Crime cibernético; Forense Computacional; Dd; Dcfldd ABSTRACT!" The spread of cybecrimes had caused an increase in demand for more conclusive and irrefutable evidence. To meet the requirements of the courts around the world the tools available should be fast and reliable. The program dd is used to create copies of file. The dcfldd is an evolution of dd and copy the files performs other functions that optimize the task of collecting the data and makes the task less stressful for the forensic expert. Tests of this work were done to demonstrate that the dcfldd is as reliable as dd. Keywords: Cybercrime; Computer Forensics; Dd; Dcfldd. # $#%" &'() *!+#%# ",-' $./0."./!"'" ( ' * 1)!2$ $./0." 0"3"." 4" "5"!

2 DCFLDD: Otimizando o serviço do perito forense 2 1 INTRODUÇÃO Os crimes cibernéticos são os crimes que ocorrem com ajuda de componentes informáticos, e é uma ocorrência relativamente nova comparada aos outros crimes já tipificados pelas leis. Cabe aos analistas forenses encontrar provas para prender os criminosos. As provas produzidas pela analise forense tem que ser minuciosas e precisas, pois um erro pode comprometer toda a investigação. Esse cuidado gerou regras para a execução da analise garantindo assim que as provas sejam irrefutáveis. Na era da informática é muito fácil degradar uma prova, um simples acesso ao disco de forma incorreta já o retira da lista de evidências. Para se ter essa garantia de integridade nos dados, foram criados algoritmos que analisam o arquivo e criam um número único, e, uma simples mudança no conteúdo original, faz com que esse número mude radicalmente [1]. Na área da forense computacional há diversas ferramentas para realizar a coleta de dados, sendo que este trabalho falará apenas de duas, pois são as mais simples e de maior acessibilidade. O comando dd está incluso em todas as distribuições Linux, e é capaz de fazer cópias bit a bit possibilitando a cópia de qualquer tipo de sistema de arquivos 1, mas é muito limitado, pois a única função dele é copiar arquivos, enquanto que o dcfldd que foi desenvolvido com base no dd, e pode ser instalado em qualquer distribuição e agrega diversas funções que auxiliam na analise forense. Esse trabalho pretende mostrar as vantagens em usar o comando do Linux dcfldd ao invés do antecessor, e demonstrar que são igualmente confiáveis na função básica deles, que é copiar arquivos sem comprometer o valor probatório. 1 Os sistemas de arquivos atuais são Ntfs, Ext4, HFS+, cada sistema de arquivos usado respectivamente pelos seguintes sistemas operacionais: Windows, Linux e o Mac OS.

3 DCFLDD: Otimizando o serviço do perito forense 3 2 CRIMES CIBERNÉTICOS Desde que a internet foi inventada no fim da década de 60 os crimes envolvendo esse tipo de ambiente só cresce a cada dia, e para esses crimes foi dado o nome de crime cibernético [2]. As definições de crime cibernético que são comumente usadas nos tribunais brasileiros são as seguintes: Ou também ação típica, antijurídica e culpável cometida contra ou pela utilização de processamento automático de dados ou sua transmissão [2] são todos os atos ilícitos praticados através da Internet que venham a causar algum tipo de dano, seja ele patrimonial ou moral, ao ofendido. [3] Para o direito brasileiro os crimes praticados pela internet possuem duas classificações. A primeira delas divide os crimes em duas partes tendo como base o objetivo dos ataques, sendo esses crimes cometidos contra o computador ou cometidos por meio de um computador, a partir dessa classificação fica fácil separar os alvos e definir qual pena será dada ao infrator [2]. A segunda classificação divide os crimes em três categorias: puros, mistos e comuns: Os crimes virtuais puros são aqueles em que os alvos dos ataques são sistemas automatizados ou outros computadores visando conseguir alguma informação ou apenas por vandalismo, e esses ataques podem ser ao equipamento ou aos dados nele contido, como por exemplo, ataques a sites do governo. Os crimes virtuais mistos são ataques feitos por meio da internet e que de outra forma não poderiam ser efetuados, como por exemplo, transferências ilícitas de valores em uma página web de banco. Os crimes virtuais comuns podem ser cometidos por intermédio do meio informático, sendo que é possível fazê-lo sem o computador, como por exemplo, injúrias e difamações que podem ser proferidas sem o uso do computador e já tem pena tipificada na lei [3].

4 DCFLDD: Otimizando o serviço do perito forense 4 3 FORENSE COMPUTACIONAL A forense computacional: trata da captura e análise de evidências, tanto quanto possível livres de estarem distorcidas ou tendenciosas, de tal forma a reconstruir determinados dados ou o que aconteceu num sistema no passado [4] O objetivo da forense computacional é reconstruir as ações executadas nos diversos ativos de tecnologia utilizados em crimes cibernéticos, por meio de métodos científicos e sistemáticos [5]. O perito que realiza a análise de um sistema ou computador deve primeiro isolar e assegurar o perímetro, registrando a cena do crime da melhor forma possível, e conduzindo uma busca de forma sistemática por evidências, coletando e armazenando os dados que encontrar [4]. Em tribunais do mundo inteiro as evidências encontradas em uma perícia forense são peças fundamentais para dar procedimento a acusação ou a defesa. Dessa forma, para que as provas sejam consideradas válidas, é muito importante que o processo de investigação seja feito de forma meticulosa e sistemática. O perito que seguir os procedimentos corretos terá todas as evidências preservadas e documentadas em detalhes. As fases de uma investigação forense são as seguintes: Coleta de dados: nessa fase os dados relacionados a um evento devem ser coletados e a integridade dos mesmos deve ser preservada, posteriormente, os equipamentos devem ser identificados, devidamente embalados, etiquetados e suas identificações registradas; Exame dos dados: nessa segunda fase são selecionadas e utilizadas ferramentas e técnicas apropriadas a cada tipo de dado coletado, a fim de identificar e extrair as informações relevantes ao caso que está sendo investigado, mas sempre com a preocupação de manter a integridade dos dados; Análise das informações: a terceira etapa refere-se à análise dos dados filtrados na etapa anterior, cujo objetivo é obter informações úteis e relevantes que possam responder às perguntas que deram origem à investigação; Interpretação dos resultados: na última fase do processo de investigação gera-se um relatório no qual deve estar descrito os procedimentos realizados e os resultados obtidos. [5]

5 DCFLDD: Otimizando o serviço do perito forense 5 Figura 1 - Fases do processo de investigação (fonte: PEREIRA, Evandro; p 18) A figura 1 ilustra as quatro fases do processo de investigação. Todas as etapas são muito importantes em uma analise forense, mas para o escopo desse trabalho, apenas a primeira fase, a de coleta de dados, será descrita em detalhes. 3.1 Fase de Coleta Na fase de coleta de dados ocorre a identificação das possíveis fontes de dados. Nesse trabalho o foco será limitado a fontes de dados físicas como CD s, DVD s, HD s e pen-drives em geral, pois os outros equipamentos necessitam de outras ferramentas e técnicas para se efetuar a cópia da forma correta. Após as fontes de dados serem separadas, os equipamentos são devidamente embalados e identificados para serem examinados no laboratório. A coleta de dados propriamente dita começa quando é feita a imagem dos dispositivos de armazenamento para analisar os dados que havia no sistema. Há dois tipos de coletas de dados a live analisys, que se trata de coletar os dados com o sistema operacional do computador que está sendo investigado ainda ativo para conseguir evidências, e a dead analysis, que ocorre quando se executa ferramentas em um sistema operacional confiável para encontrar evidências. Com a live analisys, é possível que os dados do sistema possam estar escondidos ou sendo falsificados pelo sistema operacional, a dead analysis é mais indicada para a maioria dos casos, mas nem sempre é possível de ser feita [6].

6 DCFLDD: Otimizando o serviço do perito forense 6 A cópia do sistema operacional deve ser feita em um sistema operacional de confiança do técnico envolvido no processo, um dos programas mais usados atualmente é o dd. Como dito no inicio do trabalho ele está presente nativamente em todas as distribuições do Linux, e é possível coletar dados da memória e duplicar as fontes de dados como HD s, garantindo a integridade e segurança dos dados [5] Após a cópia das fontes de dados, é necessário garantir a preservação da integridade dos dados originais, pois se isso não ocorrer, as provas poderão ser invalidadas perante a justiça. A garantia da integridade das evidências consiste em utilizar ferramentas que aplicam algum tipo de algoritmo hash 2. Esse processo deverá ser utilizado no material original e na cópia para que o resultado dos algoritmos seja comparado, e se forem idênticos, está garantida a integridade dos dados [5]. O programa dcfldd, foi desenvolvido para copiar arquivos assim como o dd, mas com o objetivo de facilitar o trabalho forense, pois contém em seu código uma ferramenta para aplicar o hash enquanto faz a cópia facilitando o trabalho do técnico. 4 ALGORITMOS HASH Para que uma prova seja aceita em um tribunal é necessário que a cadeia de custódia deste item esteja preservada de forma correta, e esse é um dos prérequisitos para que uma investigação seja bem sucedida. A cadeia de custódia significa em termos jurídicos é: ter a capacidade de garantir a identidade e integridade de um espécime ou amostra no decurso da sua obtenção, durante a sua analise e até ao final do processo [7]. Ou seja, essa prática faz com que seja possível garantir, por meio de documentos, que a prova não foi alterada durante o processo de investigação. 2 Programa usado para gerar um valor que é único para cada arquivo.

7 DCFLDD: Otimizando o serviço do perito forense 7 Ao coletar uma amostra de uma cena de crime é feita a identificação e esta amostra é embalada para não haver degradação. No caso de uma evidência eletrônica, a identificação é feita com a ajuda de algoritmos hash, que criam uma identificação única para o arquivo no momento da coleta, podendo ser provada a integridade da amostra quando for solicitado [7]. Por causa da obrigação de manutenção da integridade dos arquivos, os algoritmos de hash são amplamente usados, de acordo com M.M.J Stevens As funções de hash são unidirecionais com uma entrada de uma string de comprimento arbitrário (a mensagem) e como saída uma string de comprimento fixo (o valor do hash). O valor do hash é uma espécie de assinatura para aquela mensagem. Funções unidirecionais trabalham em uma direção, o que significa que é fácil calcular o valor do hash da mensagem dada e difícil de calcular a mensagem que originou o valor hash. [1] Isso significa que, ao usar um algoritmo hash em um arquivo, é criado um valor alfanumérico que só pode ser criado com o arquivo original, sendo difícil de fazer o caminho inverso. Atualmente, existem dois algoritmos hash amplamente utilizadas: MD5 e SHA-1. Ambos são funções de hash iterativas com base na construção de Merkle- Damgard e usando uma função de compressão [1]. Como as duas tecnologias de hash têm vulnerabilidades descobertas o ideal é usar as duas no mesmo HD, uma após a outra, pois obter uma colisão com as duas ferramentas é virtualmente impossível [7]. 5 DD E DCFLDD O comando dd faz parte do conjunto de ferramentas do Linux chamado GNU Coreutils que se fez da união dos conjuntos de programas Fileutils, Shellutils e Textutils e está incluso em qualquer versão ou distribuição Linux [8]. Segundo Sam Chessman: O comando dd é um dos utilitários do Unix e que todo mundo deveria ter na caixa de ferramentas. Ele pode tirar os cabeçalhos, extrair partes de códigos binários e escrever no meio de disquetes, é também usado pelo Linux Kernel Makefiles para criar os arquivos de boot. Pode ser usado para copiar e converter fitas magnéticas,

8 DCFLDD: Otimizando o serviço do perito forense 8 converter entre ASCII e EBCDIC, trocar bytes e forçar caixa alta ou baixa. [9] Já o comando dcfldd, também pertencente ao Linux, podendo ser instalado em qualquer distribuição, possui todas as funções do dd e mais algumas, de acordo com o Nicholas Harbour, criador do comando, e são elas: Hashing on-the-fly - dcfldd pode fazer o hash dos dados de entrada enquanto faz a transferência dos arquivos, ajudando a garantir a integridade dos dados. Status Output - dcfldd pode atualizar o usuário do seu progresso em termos da quantidade de dados transferidos e quanto tempo a operação vai demorar. Flexible disc wipes - dcfldd pode ser usado para limpar os discos de forma rápida e com um padrão conhecido, se desejado. Image/wipe verify - dcfldd pode verificar se o arquivo cópia está igual ao arquivo original, essa verificação é feita bit a bit. Mutiple outputs dcfldd pode produzir várias cópias de arquivos ou discos ao mesmo tempo. Split output - dcfldd pode dividir o arquivo em vários outros arquivos com mais configurabilidade que o comando split. Piped output and logs - dcfldd pode enviar todos os seus dados de log e de saída para os comandos, bem como arquivos de forma nativa [10]. Todas as funções descritas acimas estão contidas apenas no programa dcfldd não fazendo parte do programa dd. 5.1 Material e métodos Os testes a seguir são demonstrados em uma máquina virtual criada com o programa Virtualbox 3, que está com o Windows XP instalado com alguns arquivos. Os procedimentos serão feitos com a distribuição backtrack 4 para executar a cópia dos arquivos sem alterar o conteúdo, pois ao executar o processo de cópia dos arquivos com o sistema operacional do computador investigado, ocorrem várias mudanças nos arquivos. Ao iniciar a máquina virtual, inicializar o live CD e montar o HD virtual no /media. No caso desse teste, o HD virtual é de 10 GB (/dev/sda). Para a coleta foi utilizado um HD externo USB de 300 GB. 3 É um programa que cria máquinas virtuais, podendo assim usar um sistema operacional dentro de outro, para maiores informações sobre o software acessar o seguinte site: 4 É uma distribuição Linux que contém várias ferramentas para analise forense, para maiores informações sobre o software acessar o seguinte site:

9 DCFLDD: Otimizando o serviço do perito forense 9 Para este primeiro teste funcionar é necessário que os resultados dos algoritmos hash das cópias dos dois programas sejam exatamente o mesmo. Todos os comandos mostrados foram retirados e adaptados do trabalho de Felipe dos Santos Soares [11] Para o inicio da cópia do HD virtual usando o dd deve-se usar o seguinte comando: <# dd if=/dev/sda of=/media/ntfs/artigo/hd.sata.dd bs=1m count=10240> É importante especificar o tamanho do HD para a cópia para o dd não entrar em looping. Após a cópia o resultado será parecido com esse: Figura 2 - Comando DD executado Destaque para o fato que até terminar o processo de cópia o programa não oferece um meio de saber como está indo a cópia. Para se ter esse tipo de informação é necessário rodar comandos em outro terminal. Enquanto o programa dd efetua a cópia, a identificação do processo (PID) se faz necessária, consegue-se a informação com o seguinte comando: <# ps aux grep dd> O PID é o primeiro número após o nome do processo. Após adquirir a identificação do processo, digite o seguinte comando para saber quanto já foi copiado: <# kill -USR1 <número do PID>> Assim, no terminal que o dd está rodando, aparecerá a informação de quanto foi copiado. Após o termino da cópia, é necessário executar os algoritmos hash md5 e sha256, o qual será feito com os seguintes comandos: <# md5sum hd.sata.dd > hd.sata.dd.md5> <# sha256sum hd.sata.dd > hd.sata.dd.sha256> Ao final desse processo, obtêm-se o arquivo de dados do HD e os valores de hash para comprovar a autenticidade do arquivo. Esse processo todo pode ser feito

10 DCFLDD: Otimizando o serviço do perito forense 10 com um comando usando o dcfldd, pois ao mesmo tempo em que ele mostra o progresso da cópia, são executados os algoritmos hash no arquivo agilizando o serviço. No teste seguinte será feito a mesma cópia realizada com o comando dd, usando o seguinte comando: <# dcfldd if=/dev/sda of=/media/ntfs/artigo/hd.sata.dcfldd hash=md5,sha256 md5log=/media/ntfs/artigo/hd.sata.dcfldd.md5 sha256log=/media/ntfs/artigo/hd.sata.dcfldd.sha256> Abaixo um exemplo do comando sendo executado. Figura 3 - DCFLDD sendo executado Como é possível ver na figura 3, logo após executar o comando, ele mostra o progresso da cópia. Ao terminar deve-se obter resultado igual a este: Figura 4 - Resultado do DCFLDD Para o segundo teste será avaliado o tempo de demora da cópia dos dois programas. O ambiente usado é o mesmo do primeiro teste. O teste de tempo será feito com o comando time, que será adicionado no inicio dos comandos já usados, e, para ter uma média confiável, o comando será executado dez vezes com cada programa, seguem os exemplos: <# time dd if=/dev/sda of=/media/ntfs/artigo/hd.sata.dd bs=1m count=10240> <# time md5sum hd.sata.dd > hd.sata.dd.md5> <# time sha256sum hd.sata.dd > hd.sata.dd.sha256>

11 DCFLDD: Otimizando o serviço do perito forense <# time dcfldd hash=md5,sha256 if=/dev/sda 11 of=/media/ntfs/artigo/hd.sata.dcfldd md5log=/media/ntfs/artigo/hd.sata.dcfldd.md5 sha256log=/media/ntfs/artigo/hd.sata.dcfldd.sha256> Segue a abaixo um exemplo de como funciona o comando time em conjunto ao comando dcfldd: Figura 5 - exemplo do comando time 5.2 Resultados Para efeito do primeiro teste a comparação dos valores hash comprova que a cópia dos arquivos é exatamente a mesma. Essa comparação pode ser feita observando os arquivos criados nas cópias Figura 6 - Comparação dos hashes Os resultados apresentados na figura 6, mostram que uma parte importante da investigação forense é a manutenção da cadeia de custódia, que pode se mantida com o dcfldd, pois o programa obteve valores hash idênticos aos do seu predecessor, podendo assim ser usado no lugar do dd para fazer cópias a serem utilizadas posteriormente.

12 DCFLDD: Otimizando o serviço do perito forense 12 O segundo teste gerou uma tabela com os tempos e uma média simples para comparação dos tempos dos programas. Após executar todos os comandos dez vezes no HD virtual, obtiveram-se vários tempos que estão na tabela abaixo: Tabela 1 Tabela com os tempos de cópia dos programas Tempo \ Programa DD DCFLDD 1º tempo 46m s 43m s 2º tempo 42m s 43m s 3º tempo 43m s 43m s 4º tempo 41m s 43m s 5º tempo 42m s 43m s 6º tempo 42m s 43m s 7º tempo 43m s 43m s 8º tempo 41m m s 9º tempo 39m s 43m s 10º tempo 43m 1.477s 43m s Média total 42m s 43m s Deve-se levar em conta que o tempo levado para digitar os comandos não foi contabilizado na média e o tempo de execução do programa dd está acrescido dos tempos de execução dos programas md5sum e sha256sum. 5.3 Discussão Esse trabalho explorou as possibilidades de substituir um programa largamente usado para se fazer a coleta de dados na perícia forense computacional em todo o mundo, mostrando as vantagens do dcfldd. O resultado do primeiro teste demonstra que a cópia feita pelo dd é mais trabalhosa do que a feita pelo dcfldd, pois com um comando é possível copiar um HD e retirar os valores hash dessa cópia, enquanto que com o dd é necessário rodar

13 DCFLDD: Otimizando o serviço do perito forense 13 comandos após o término da cópia e não há um acompanhamento fácil do progresso. O segundo teste mostra que os tempos de execução dos dois programas têm uma variação muito pequena, mas como o teste não contempla o tempo gasto na digitação dos comandos, o dcfldd se torna mais cômodo, pois é possível colocar o programa para rodar e se ocupar com outra tarefa. Os testes ajudam a visualizar um problema que ser torna um incômodo na hora de fazer cópias exatas de arquivos grandes repetidas vezes, pois como o trabalho do perito deve ser meticuloso e sistemático, um erro em um dos comandos digitados danificará o trabalho do técnico que terá que repetir todo o processo, e o dcfldd auxilia esse processo ao diminuir o número de interações com o sistema. No plano atual da forense computacional o dcfldd não é muito utilizado, pois há kits de ferramentas que fazem o trabalho do técnico muito mais fácil, como o backtrack usado no teste Como o dd é um programa simples, outros programas mais sofisticados fazem uso dele para obter uma função de cópia. Quando se faz a cópia de algum arquivo, é necessário ter certeza que o programa escolhido para fazer essa ação é capaz de fazê-lo da melhor forma possível. O dcfldd é uma junção de vários programas do kernel 5 do Linux, como o dd, md5sum, sha256sum. É uma ferramenta completa e muito eficaz, mas sua utilização fica prejudicada, pois não vem no kernel, sendo o dd a primeira escolha. Esse trabalho demonstra o quão útil é o dcfldd, que é desconhecido por muitas pessoas que utilizam Linux todos os dias e serve de referência para os que estão atrás de opções para coletar melhor os dados de forma mais prática e cômoda. A obtenção de ferramentas mais eficientes é o caminho para ser o melhor no que se faz, o dd é eficaz, pois executa habilmente para o que foi projetado, que é copiar arquivos, mas o dcfldd é eficiente, pois ao juntar varias funções necessárias à forense computacional, torna o trabalho do perito mais cômodo. 5 Núcleo do sistema operacional.

14 DCFLDD: Otimizando o serviço do perito forense 14 6 CONCLUSÃO O trabalho demonstrou que a legislação atual não está preparada para punir os cibercriminosos, pois depende muito de analogias com as punições já previstas, e isso acaba abrindo brechas para erros em sentenças. Isso pode ser visto na maneira como os crimes são classificados. Os crimes virtuais comuns já tem uma tipificação estabelecida e, portanto, uma pena foi definida, mas os crimes virtuais puros e mistos dependem muito do que foi feito e quem foi atingido. Apesar disso a forense computacional tem mostrado um bom trabalho ao desvendar as ações desses criminosos e é muito importante que os técnicos forenses se mantenham atualizados com as ferramentas disponíveis no mercado. O programa dd, assim como os comandos md5sum e o sha256sum, ainda é muito usado pelos peritos da área, pois é confiável e é nativo nas distribuições Linux. E como o processo de cópia é feita bit a bit pode ser usado com segurança. O programa dcfldd é tão eficaz quanto o seu antecessor, mas foi desenvolvido para agilizar o trabalho dos peritos forenses, pois agrega diversos comandos em um só. Como o comando para gerar os valores hash do arquivo copiado, facilitando o trabalho do perito, pois pode se concentrar em outra parte do trabalho a ser feito. Os resultados demonstram que dcfldd é mais confortável que o dd, pois foi possível com uma linha de comando executar os passos necessários para copiar os arquivos, gerar os valores hash e ainda se manter atualizado sobre a quantidade copiada. Deve-se ter em mente que os programas em foco não sofreram atualizações durante muito tempo, então já existem programas que fazem o mesmo que os dois sem precisar usar linhas de comando, porem, na falta de uma ferramenta mais atual, é possível concluir a tarefa de copiar os arquivos sem maiores problemas. Essas ferramentas podem ser encontradas em kit de investigação, como a usada nesse trabalho. O backtrack é um kit entre vários outros existentes no mercado, com inúmeros programas para efetuar o trabalho de forense da forma mais metódica e correta possível.

15 DCFLDD: Otimizando o serviço do perito forense 15 7 REFERÊNCIAS [1] STEVENS, M.m.j.. On collision for MD f. Tese (Mestrado) - Departamento de Department Of Mathematics And Computing Science, Eindhoven University Of Technology, Eindhoven, Disponível em: < %20M.M.J.%20Stevens.pdf>. Acesso em: 09 jul [2] RAMOS JúNIOR, Hélio Santiago. Uma ontologia para representação do conhecimento jurídico-penal no contexto dos delitos informáticos f. Dissertação (Mestrado) - Ufsc, Florianópolis, Disponível em: < Acesso em: 09 jul [3] - PINHEIRO, Reginaldo César. Os cybercrimes na esfera jurídica brasileira. Jus Navigandi, Teresina, ano 4, n. 44, ago Disponível em: < PB.pdf>. Acesso em: 09 jul [4] CANSIAN, Adriano Mauro. Conceitos para perícia forense computacional. Disponível em: < Acesso em: 09 jul [5] PEREIRA, Evandro et al. Forense Computacional: : fundamentos, tecnologias e desafios atuais. Disponível em: < sbseg-mc1.pdf>. Acesso em: 09 jul [6] - CARRIER, Brian. File System Forensic Analysis. Indiana: Addison Wesley Professional, p. [7] REINO, Alfredo et al. Informática Forense. Disponível em: < Acesso em: 09 jul [8] FOUNDATION, Free Software (Org.). GNU operating system. Disponível em: < Acesso em: 09 jul [9] CHESSMAN, Sam. Dd. Disponível em: < Acesso em: 09 jul [10] - HARBOUR, Nick. Dcfldd. Disponível em: < Acesso em: 09 jul [11] - SOARES, Felipe Dos Santos. Melhores práticas para coletar dados para uma perícia computacional usando software livre. Disponível em: < Acesso em: 09 jul

16 DCFLDD: Otimizando o serviço do perito forense 16 8 AGRADECIMENTOS Agradeço a todos os meus professores em especial o professor Edilberto e ao professor Serique que me auxiliaram na escrita desse artigo. 09 julho 2012