Metodologia e ferramenta de coleta de dados voláteis em sistemas Windows

Abstract

Este trabalho tem o objetivo de apresentar uma metodologia de coleta de dados voláteis em sistemas operacionais baseados em Windows. Para tal, elaborou-se uma ferramenta (CADAV – Coleta Automatizada de Dados Voláteis) e uma proposta de modelo de atuação do perito criminal durante o procedimento de busca e apreensão de equipamentos de informática. O CADAV é executado a partir de um flash drive inserido no computador a ser apreendido, sendo o resultado da coleta copiado para uma pasta criada durante o processo. Devido ao crescente uso de métodos criptográficos e de máquinas virtuais, a ferramenta propõe alguns testes para diagnosticar esta situação. Para evitar o risco de perda de informações, sistemas que utilizam criptografia ou virtualização de sistema devem ter seu conteúdo copiado para uma mídia externa, antes do desligamento do computador. Além disso, é apresentada uma metodologia para o procedimento de busca e apreensão, levando em conta a garantia da integridade dos dados coletados através do procedimento chamado Cadeia de Custódia. Basicamente, a Cadeia de Custódia trata dos cuidados que devem ser tomados para garantir a integridade e a idoneidade das evidências coletadas. Todos os passos realizados, desde a chegada ao local de busca e apreensão, passando pela análise da máquina suspeita, até o encaminhamento de todo o material apreendido, deve ser cuidadosamente documentado. A metodologia proposta é necessária porque, caso não sejam utilizadas técnicas adequadas de coleta e documentação, há grande risco de perda de evidências ou de falta de credibilidade das provas coletadas, em um futuro processo judicial. ______________________________________________________________________________ ABSTRACT

This paper presents a methodology for volatile data acquisition on Windows-based operating systems. For that, a tool (CADAV - Automated Volatile Data Acquisition) has been developed. Furthermore, this work presents a model on how the forensic expert should behave during a digital search and seizure. CADAV runs from a flash drive inserted in the suspect’s computer and the result is copied to a folder created during the process. Due to the increasing use of cryptography and virtual machines, the tool offers some tests to detect these situations. To avoid the risk of information loss, systems that are running encryption or virtualization programs must have their contents copied to an external drive before the computer is shut down. In addition, considering the collected data integrity during the procedure called Chain of Custody, a search and seizure procedure methodology is presented. Basically, Chain of Custody deals with the issues that must be taken to ensure collected evidence integrity and reliability. All the steps taken since the arrival at the search and seizure location should be carefully documented, including the suspect’s computer analysis and the seized material hand over. If inappropriate acquisition and documentation techniques are used, there is a great risk of evidence loss and lack of credibility in a future lawsuit. That’s why the proposed methodology is necessary.