Processo Forense e Cadeia de Custódia

Este diagrama separa a estação de trabalho original do ambiente do analista e do repositório de evidências. Cada limite de aquisição, transferência, armazenamento e análise cria uma oportunidade de alterar, perder ou atribuir incorretamente a evidência; portanto, cada limite exige o registro de quem a manuseou, do horário, do local e da verificação de integridade. [fontes][/fontes]

Preserve antes de interpretar

O processo forense transforma os dois arquivos coletados em conclusões fundamentadas por meio de identificação, preservação, coleta, exame, análise e elaboração de relatório. A identificação define o escopo do incidente, incluindo a WKS-ACCT-23, o intervalo de tempo suspeito e a autorização para manusear o dispositivo. A preservação impede alterações na evidência original. A coleta cria cópias controladas. O exame extrai artefatos, como registros de eventos do Windows, metadados de processos e estruturas de memória. A análise conecta esses artefatos a alegações, enquanto o relatório distingue conclusões fundamentadas de questões não respondidas. [fontes][/fontes]

A ordem de coleta é importante porque dados voláteis desaparecem enquanto a estação de trabalho permanece ligada. A RFC 3227 (BCP 55) estabelece o princípio da ordem de volatilidade: colete primeiro as informações propensas a alterações e, em seguida, passe para evidências mais persistentes. Para a WKS-ACCT-23, a captura de memória EVD-2026-1014-002 pode preservar processos em execução, conexões de rede e credenciais na memória que um desligamento destruiria. A imagem de disco EVD-2026-1014-001 preserva arquivos persistentes e metadados do sistema de arquivos, mas uma imagem de disco não consegue recriar um processo que já foi encerrado. [fontes][/fontes]

Pular a preservação rompe a cadeia antes mesmo de o exame começar, pois a atividade do analista pode alterar carimbos de data/hora ou sobrescrever artefatos temporários. Pular o exame resulta em um amontoado de dados sem evidências extraídas. Pular a análise transforma observações de artefatos em uma narrativa sem fundamentação. O processo não é uma regra rígida de que todo incidente segue etapas idênticas, mas qualquer desvio deve ser registrado, indicando-se o motivo e a consequência. [fontes][/fontes]

Regra do exame

Capture primeiro a evidência relevante mais volátil e documente o motivo pelo qual uma ordem diferente foi necessária. [fontes][/fontes]

Registre cada evento de custódia

Uma vez que a EVD-2026-1014-001 e a EVD-2026-1014-002 existam, a cadeia de custódia passa a ser o registro cronológico que mostra o que é cada item, quem o manuseou, onde ele estava armazenado e como a integridade foi verificada. O registro atribui identificadores de evidência estáveis antes do início da análise. Uma descrição significativa diferencia uma imagem de disco de uma captura de memória, enquanto carimbos de data/hora em UTC permitem alinhar as transferências ao período da atividade suspeita. [fontes][/fontes]

A integridade depende de um hash criptográfico, um resumo de comprimento fixo calculado a partir de um arquivo de evidência. Se a imagem de disco adquirida gerar um resumo SHA-256 e uma verificação posterior resultar em um resumo diferente, o examinador não poderá afirmar que o arquivo posterior permanece inalterado. Um erro comum é realizar o cálculo do hash apenas uma vez, no momento da aquisição. Nós verificamos o hash na aquisição, antes e depois da transferência, ao recuperar o item para análise e ao devolvê-lo ao armazenamento controlado. [fontes][/fontes]

Os registros de custódia de ambos os itens de evidência apresentam as informações mínimas necessárias para uma revisão posterior: [fontes][/fontes]