O que eles acharam foram zeros e uns em um inofensivo disco magnético. Inocente. Tecnicamente eles não encontraram nenhuma foto.

Transcrição

1 Wally, nossos auditores encontraram 40 GB de fotos de biquíni em seu PC. Isso implicaria em demissão. Qual sua posição? Inocente. Tecnicamente eles não encontraram nenhuma foto. O que eles acharam foram zeros e uns em um inofensivo disco magnético. Foram os auditores por sua vez que ativaram esses bits e formaram as fotos na tela! E eu demando que sejam eles demitidos!... e se não for pedir demais eu quero meus zeros e uns de volta. A Justiça foi feita? É complicado...

2 Tópicos Especiais Em Sistemas De Informação: Computação Forense Thiago Leite

3 Sobre o Professor Graduação em Ciência da Computação Especialização em Redes de Computadores e Perícia Digital Mestrado em Engenharia Informática com ênfase em Redes de Comunicação Certificado LPIC-2, Novell e CCNA Atua na Área de Segurança e Conectividade de Instituição Financeira

4 DAN, Farmer, VENEMA, Wietse. Perícia Forense Computacional: Teoria e Prática Aplicada. 1ª Edição. São Paulo: Pearson Prentice Hall, Bibliografia

5 Ementa 1. Introdução 2. Sistemas de Arquivos 3. Análise de Sistemas de Arquivos 4. Análise de Memória e Processos

6 Avaliações Quatro avaliações individuais em sala (1,5 ponto cada) datas definidas em calendário em caso de alterações haverá aviso no Blackboard Prova Regimental Integralizada (5 pontos) Não há arredondamento de notas

7 Presença em Sala de Aula Limite de 10 faltas 2 faltas por dia de aula Presença do aluno será cobrada

8 Ferramentas Para as análises forenses são necessárias diversos tipos de ferramentas ferramentas complexas e caras governos e grandes empresas

9 Ferramentas Estudantes e aspirantes à área da área podem realizar por vezes as mesmas atividades sem grandes custos Programas em Software Livre podem ser livremente distribuídos

10 Sleuthkit

11 photorec Recuperação automatizada de arquivos

12 foremost Recuperação automatizada de arquivos

13 Autopsy

14 Metodologia Apresentação teórica sobre conceitos importantes à compreensão do tema Prática e demonstração em laboratório de algumas das técnicas e conceitos apresentados criar evidências procurar pelas evidências

15 Evidências de crimes não é fácil Perito Forense é o responsável técnico em elucidar fatos duvidosos com base em técnicas legais

16 Crimes deixam evidências em meio digital desde um assassinato até desrespeito a honra dispositivos eletrônicos estão em toda parte memórias flash, discos magnéticos...

17 A identificação das evidências tem se tornado cada vez mais complexa novas tecnologias e novos desafios maior inclusão digital em nosso país

18 Microcomputador por Domicílio Censos IBGE

19 Computadores são um meio comum para armazenamento de evidências As pessoas não desconfiam disso Sensação de impunidade A Internet aumenta a sensação

20 A Perícia Forense Computacional supre as necessidades das instituições legais para manipulação de evidências eletrônicas aquisição, preservação, recuperação e análise de dados

21 Fundamentos da perícia forense identificar evidências preservar as evidências analisar as evidências apresentar as evidências

22 Cada tipo de crime deixa evidências diferentes em locais diferentes análise do slack space ou arquivos de logs depende do caso a ser analisado

23 Preservar as provas encontradas é tão importante quanto a própria investigação Algumas dicas para preservar os dados podem ser utilizadas

24 1. Criar imagem bit a bit da imagem do sistema de arquivos analisado

25 2. Dispositivos sensíveis a cargas eletromagnéticas devem ser transportados de modo seguro

26 3. Controle rígido sobre o acesso às evidências durante toda a investigação

27 4. Dispositivos tidos como fonte de evidências devem ser lacrados em sacos protegidos para o transporte

28 Naturalmente evidências podem ser manipuladas como forma de favorecer alguma das partes envolvidas Como forma de manter integridade das informações existe a Cadeia de Custódia

29 Cadeia de Custódia ato de guardar algo ou alguém onde estavam em determinado momento responsável pela manipulação das evidências

30 Cadeia de Custódia é a documentação de todas as informações relativas a uma perícia toda informação relevante deverá ser registrada ex: troca da mídia fonte das evidências ou transporte para local diferente

31 EVIDÊNCIA Nº Data/Local: Nº Caso: Perito: Descrição da Evidência: CADEIA DE CUSTÓDIA De: Local: De: Local: De: Local: Data: Razão: Para: Local: Data: Razão: Para: Local: Data: Razão: Para: Local: Exemplo Cadeia de Custódia

32 Kit de Ferramentas é fundamental para provar a integridade nas atividades do perito Conjunto de softwares confiáveis utilizados pelo perito durante a análise Possuir as ferramentas em mídia própria e transportável

33 As ferramentas utilizadas devem evitar o uso de bibliotecas compartilhadas do sistema evitar a ação de rootkits que podem esconder possíveis evidências

34 As ferramentas devem possuir evidências de que não foram elas próprias alteradas uso de algoritmos de segurança hash

35 Criando Algoritmo de Hash Algoritmo MD5

36 Lista de Assinaturas Kit de Ferramentas Forenses

37 Linha de comandos Linux Todo sistema possui um sistema de interface com o usuário Em Linux um administrador possui a linha de comandos (shell) No Linux em geral o shell padrão é o Bourne- Again Shell ou Bash

38 Os comandos do Linux tem a seguinte sintaxe: Comando [opções] [argumentos] Cada item separado por espaço Opções modificam um comando Letras simples separadas ou não por um hífen ( - ). Pode ser passado com -a -b -c ou -abc Palavra completa precedida por um -- (dois hífens) Exemplo: ls --help

39 A tecla TAB completa um comando, é de muita ajuda. Isto não é um curso de digitação, use o TAB frequentemente Setas para baixo e para cima buscam os últimos comandos digitados O comando history exibe os últimos comandos digitados, é de grande ajuda também A combinação de teclas CTRL+R realiza uma busca no histórico de comandos digitados naquele terminal

40 Terminal de comandos do Linux $ - terminal em modo usuário # - terminal em modo root (super usuário)

41 Terminal Kali Linux Modo Super Usuário

42 Arquivos e diretórios são organizados em uma estrutura de árvore invertida Sistemas de arquivos iniciam no diretório raiz, representado pelo /, chamado de diretório root Caminhos delimitados por um / Cada diretório tem uma função, seguindo uma padronização da FHS (Filesystem Hierarchy System), para que você possa trabalhar em qualquer distribuição Linux

43 Estrutura de Diretórios Linux Filesystem Hierarchy System

44 Comandos Linux ls - listar o conteúdo de um diretório ou informações sobre um arquivo $ ls cd - navegar entre diretórios $ cd diretorio

45 Comandos Linux cat - exibe e concatena arquivos $ cat arquivo1 arquivo2 grep - filtra uma entrada por uma string $ grep filtro arquivo

46 Comandos Linux echo - imprime uma mensagem $ echo Ola Mundo rm - remove arquivos do sistema -r para tornar recursivo -f para forçar a remoção sem questionar $ rm - rf arquivo

47 Criando arquivos e diretórios touch - cria novo arquivo ou modifica tempo de último acesso $ touch arquivo mkdir - cria um novo diretório $ mkdir diretorio

48 Comandos Linux sudo - solicitar execução em modo Super Usuário $ sudo comando su - autenticar-se como Super Usuário $ su

49 Pipe Linux Direcionando a saída de um comando em outro comando

50 Uso do pipe ( ) em Linux $ cat arquivo grep filtro

51 Redirecionamento de fluxos > ou >> - saída padrão $ comando > arquivo_saida $ comando >> arquivo_saida

52 Criando hash das ferramentas do kit forense md5 - cria assinatura hash utilizando algoritmo MD5 (Message Digest 5) $ md5 arquivo shasum - cria assinatura hash utilizando algoritmo SHA (Secure Hash Algorithm) $ shasum - a 256 arquivo

53 Armazenando as assinaturas das ferramentas $ md5 comando >> assinaturas_ferrementas.asc

54 Criando imagem de testes dd - converte e cria cópias de arquivos $ dd if=/dev/zero of=pendrive.iso bs=4096 count= MB = bytes / 4096 = blocos de 4096 bytes

55 Formatando uma imagem em FAT mkfs.vfat - formata um arquivo como FAT $ mkfs.vfat pendrive.iso

56 Formatando uma imagem em EXT3 mkfs.ext3 - formata um arquivo como EXT3 $ mkfs.ext3 pendrive.iso

57 Acessando uma imagem em arquivo mount - indexa um local do sistema de arquivos a um dispositivo ou imagem a opção -o loop é necessária sempre que montamos uma imagem em arquivo a opção -r é necessária para montar a imagem em modo de apenas leitura, importante para não alterar os dados contidos na imagem $ mount - o loop - r pendrive.iso /mnt/pendrive