Manoel Domingues Junior, Felipe Oliveira, Gabriel Beskow
quarta-feira, 19 de junho de 13
ANÁLISE FORENSE
quarta-feira, 19 de junho de 13
Celulares
Redes
Computadores
ANÁLISE FORENSE
DNA
Criminal
Smartphones
quarta-feira, 19 de junho de 13
ANÁLISE FORENSE DIGITAL
quarta-feira, 19 de junho de 13
“uso de métodos cientificamente desenvolvidos e
provados visando a preservação, coleta, validação,
identificação, análise, interpretação, documentação e
apresentação de evidência digital oriundas de fontes digitais
com o propósito de facilitar ou expandir a reconstrução de
eventos de origem criminosa, ou ajudar a antecipar ações
não autorizadas que prejudiquem operações planejadas”
* De acordo com Palmer
quarta-feira, 19 de junho de 13
?
quarta-feira, 19 de junho de 13
Estados
Propriedades
Medidas
SEGURANÇA DA INFORMAÇÃO
quarta-feira, 19 de junho de 13
Disponibilidade
Integridade
Confidencialidade
SEGURANÇA DA INFORMAÇÃO
quarta-feira, 19 de junho de 13
Autorização
Privacidade
Disponibilidade
Accountability
Autenticação
Não repúdio
Integridade
Confidencialidade
Identificação
SEGURANÇA DA INFORMAÇÃO
quarta-feira, 19 de junho de 13
Autorização
Privacidade
Disponibilidade
Accountability
Autenticação
Não repúdio
Integridade
Confidencialidade
Identificação
SEGURANÇA DA INFORMAÇÃO
quarta-feira, 19 de junho de 13
INCIDENTES DE SEGURANÇA
quarta-feira, 19 de junho de 13
Qualquer evento adverso, confirmado ou sob suspeita,
relacionado à segurança dos sistemas de computação ou das
redes de computadores
INCIDENTES DE SEGURANÇA
*Definição do CERT CC
quarta-feira, 19 de junho de 13
INCIDENTES DE SEGURANÇA
* Disponível em: http://www.cert.br/stats/incidentes/
quarta-feira, 19 de junho de 13
INCIDENTES DE SEGURANÇA
quarta-feira, 19 de junho de 13
BONUS - ANTI-FORENSE
• Compreende
diversas técnicas que visam
atrapalhar a aplicação da ciência forense.
quarta-feira, 19 de junho de 13
TERMINOLOGIA
• Indício
conhecida e provada que tenha relação
com o fato e que, por indução, conclui a existência de outra
circunstância.
• circunstância
quarta-feira, 19 de junho de 13
TERMINOLOGIA
• Vestígio
• qualquer
quarta-feira, 19 de junho de 13
produto de agente ou evento provocador
TERMINOLOGIA
• Evidência
que mostou vinculação direta com o evento que
está sendo investigado
• vestígio
quarta-feira, 19 de junho de 13
CIÊNCIA FORENSE CLÁSSICA
• Transferência
• Identificação
• Classificação
• Individualização
• Associação
• Reconstrução
quarta-feira, 19 de junho de 13
CIÊNCIA FORENSE CLÁSSICA
quarta-feira, 19 de junho de 13
CIÊNCIA FORENSE CLÁSSICA
• Ao
trazer esses conceitos para a ciência forense digital,
encontramos problemas!
quarta-feira, 19 de junho de 13
CIÊNCIA FORENSE CLÁSSICA
• Ao
trazer esses conceitos para a ciência forense digital,
encontramos problemas!
• Mas, vamos
quarta-feira, 19 de junho de 13
conhecer eles antes...
TRANSFERÊNCIA
quarta-feira, 19 de junho de 13
TRANSFERÊNCIA
• Baseada
quarta-feira, 19 de junho de 13
no “Princípio de Locard” -> todo contato deixa vestígio
TRANSFERÊNCIA
• Baseada
• Ao
no “Princípio de Locard” -> todo contato deixa vestígio
aplicar força suficiente sobre um objeto, a matéria é dividida
quarta-feira, 19 de junho de 13
TRANSFERÊNCIA
• Baseada
• Ao
no “Princípio de Locard” -> todo contato deixa vestígio
aplicar força suficiente sobre um objeto, a matéria é dividida
• Compartilham
juntos)
quarta-feira, 19 de junho de 13
as características (podem ser classificados
TRANSFERÊNCIA
• Baseada
• Ao
no “Princípio de Locard” -> todo contato deixa vestígio
aplicar força suficiente sobre um objeto, a matéria é dividida
• Compartilham
juntos)
• Possuem
as características (podem ser classificados
características únicas, de acordo com o processo de
divisão (facilmente individualizados)
quarta-feira, 19 de junho de 13
TRANSFERÊNCIA
Digital
• Valores
definidos pelos eventos são consequência da lógica
do evento.
• funcao(valor1)
= saida1
• funcao(valor2)
= saida2
quarta-feira, 19 de junho de 13
TRANSFERÊNCIA
Digital
* Rene Magritte
quarta-feira, 19 de junho de 13
TRANSFERÊNCIA
Digital
quarta-feira, 19 de junho de 13
TRANSFERÊNCIA
Digital
•A
informação necessita de um contexto referencial para
ser formada, junto com seus metadados.
quarta-feira, 19 de junho de 13
TRANSFERÊNCIA
Digital
•A
informação necessita de um contexto referencial para
ser formada, junto com seus metadados.
• Dependendo
quarta-feira, 19 de junho de 13
do contexto referencial podemos ter:
TRANSFERÊNCIA
Digital
•A
informação necessita de um contexto referencial para
ser formada, junto com seus metadados.
• Dependendo
do contexto referencial podemos ter:
• funcao(valor1)
quarta-feira, 19 de junho de 13
= saida1
TRANSFERÊNCIA
Digital
•A
informação necessita de um contexto referencial para
ser formada, junto com seus metadados.
• Dependendo
do contexto referencial podemos ter:
• funcao(valor1)
= saida1
• funcao2(valor2)
quarta-feira, 19 de junho de 13
= saida1
TRANSFERÊNCIA
Digital
•A
informação necessita de um contexto referencial para
ser formada, junto com seus metadados.
• Dependendo
do contexto referencial podemos ter:
• funcao(valor1)
= saida1
• funcao2(valor2)
• No
= saida1
meio digital existe a necessidade de outras evidências
para sustentar a linha de investigação.
quarta-feira, 19 de junho de 13
DEGRADAÇÃO E
VOLATILIDADE
quarta-feira, 19 de junho de 13
IDENTIFICAÇÃO
quarta-feira, 19 de junho de 13
IDENTIFICAÇÃO
• Determinar
quarta-feira, 19 de junho de 13
atributos da matéria
IDENTIFICAÇÃO
• Determinar
• análise
quarta-feira, 19 de junho de 13
atributos da matéria
do DNA
IDENTIFICAÇÃO
• Determinar
atributos da matéria
• análise
do DNA
• análise
de composição
quarta-feira, 19 de junho de 13
IDENTIFICAÇÃO
• Determinar
atributos da matéria
• análise
do DNA
• análise
de composição
• análise
das estruturas
quarta-feira, 19 de junho de 13
IDENTIFICAÇÃO
Digital
quarta-feira, 19 de junho de 13
IDENTIFICAÇÃO
Digital
• Determinar
quarta-feira, 19 de junho de 13
“o que é” um conjunto de bits.
IDENTIFICAÇÃO
Digital
• Determinar
“o que é” um conjunto de bits.
• Geralmente
usa assinaturas...
quarta-feira, 19 de junho de 13
IDENTIFICAÇÃO
Digital
• Determinar
“o que é” um conjunto de bits.
• Geralmente
usa assinaturas...
quarta-feira, 19 de junho de 13
IDENTIFICAÇÃO
Digital
• Determinar
“o que é” um conjunto de bits.
• Geralmente
usa assinaturas...
• Existem
quarta-feira, 19 de junho de 13
dois problemas:
IDENTIFICAÇÃO
Digital
• Determinar
“o que é” um conjunto de bits.
• Geralmente
usa assinaturas...
• Existem
dois problemas:
• quantidade
quarta-feira, 19 de junho de 13
-> muitos dados
IDENTIFICAÇÃO
Digital
• Determinar
“o que é” um conjunto de bits.
• Geralmente
usa assinaturas...
• Existem
dois problemas:
• quantidade
• complexidade
quarta-feira, 19 de junho de 13
-> muitos dados
-> muitas camadas de abstração
CLASSIFICAÇÃO
quarta-feira, 19 de junho de 13
CLASSIFICAÇÃO
• Determinar
quarta-feira, 19 de junho de 13
a origem dos objetos de investigação
CLASSIFICAÇÃO
• Determinar
• Análises
quarta-feira, 19 de junho de 13
a origem dos objetos de investigação
técnicas
CLASSIFICAÇÃO
• Determinar
• Análises
a origem dos objetos de investigação
técnicas
• Categorização
quarta-feira, 19 de junho de 13
CLASSIFICAÇÃO
Digital
• Associar
os dados ao seu uso
• sistema
• hardware
• programas
• pessoais
quarta-feira, 19 de junho de 13
INDIVIDUALIZAÇÃO
quarta-feira, 19 de junho de 13
INDIVIDUALIZAÇÃO
• Rastrear
quarta-feira, 19 de junho de 13
objetos a sua fonte
INDIVIDUALIZAÇÃO
• Rastrear
objetos a sua fonte
• Determinar
quarta-feira, 19 de junho de 13
características de uso
INDIVIDUALIZAÇÃO
• Rastrear
objetos a sua fonte
• Determinar
características de uso
• Determinar
traços de processos únicos (fabricação, erosão)
quarta-feira, 19 de junho de 13
INDIVIDUALIZAÇÃO
Digital
quarta-feira, 19 de junho de 13
INDIVIDUALIZAÇÃO
Digital
• Problema: Eventos
quarta-feira, 19 de junho de 13
determinísticos (sem aleatoriedade)
INDIVIDUALIZAÇÃO
Digital
• Problema: Eventos
determinísticos (sem aleatoriedade)
• Problema: Identificadores
quarta-feira, 19 de junho de 13
podem ser forjados
INDIVIDUALIZAÇÃO
Digital
• Problema: Eventos
determinísticos (sem aleatoriedade)
• Problema: Identificadores
• Só
podem ser forjados
pode ser feita através de sistemas confiáveis...
quarta-feira, 19 de junho de 13
INDIVIDUALIZAÇÃO
Digital
• Problema: Eventos
determinísticos (sem aleatoriedade)
• Problema: Identificadores
• Só
podem ser forjados
pode ser feita através de sistemas confiáveis...
•O
que é confiável?
quarta-feira, 19 de junho de 13
ASSOCIAÇÃO
• Deduções
• Análise
técnica em busca de relações
• Essencial
quarta-feira, 19 de junho de 13
sobre elementos da investigação (projétil - arma)
para determinar a culpa
ASSOCIAÇÃO
Digital
• Não
existe contato
• usuário
interage através de camadas (teclado, tela, etc)
• Problema: eventos
• Dados
quarta-feira, 19 de junho de 13
podem ser remotos
necessitam ser correlacionados
RECONSTRUÇÃO
• Ordenação
• Conceitos
quarta-feira, 19 de junho de 13
dos fatos
meteorológicos, físicos e químicos
RECONSTRUÇÃO
Digital
• Limitação
de eventos válidos no sistema
• Problema: depende
incidente
• Problema: podem
do que estava registrado antes do
existir muitos eventos e todos tem que
ser compreendidos
quarta-feira, 19 de junho de 13
MODELOS
• NiJ
- DoD
• Baseado
em Hipóteses
• Baseado
em Camadas
quarta-feira, 19 de junho de 13
MODELOS
NiJ-DoD
quarta-feira, 19 de junho de 13
MODELOS
Baseado em Hipóteses
quarta-feira, 19 de junho de 13
MODELOS
Baseado em Camadas
quarta-feira, 19 de junho de 13
EXEMPLOS
quarta-feira, 19 de junho de 13
PERGUNTAS
quarta-feira, 19 de junho de 13
PERGUNTAS
•
Por que devemos usar o nome ``Análise Forense Digital"?
quarta-feira, 19 de junho de 13
PERGUNTAS
•
Por que devemos usar o nome ``Análise Forense Digital"?
•
Em uma análise forense, entre a coleta dos dados do disco e a coleta
dos dados da memória, qual deve ser coletada primeiro? Explique.
quarta-feira, 19 de junho de 13
PERGUNTAS
•
Por que devemos usar o nome ``Análise Forense Digital"?
•
Em uma análise forense, entre a coleta dos dados do disco e a coleta
dos dados da memória, qual deve ser coletada primeiro? Explique.
•
Qual a importância da análise forense em segurança da informação?
quarta-feira, 19 de junho de 13
PERGUNTAS
•
Por que devemos usar o nome ``Análise Forense Digital"?
•
Em uma análise forense, entre a coleta dos dados do disco e a coleta
dos dados da memória, qual deve ser coletada primeiro? Explique.
•
Qual a importância da análise forense em segurança da informação?
•
Explique com suas palavras o que é anti-forense?
quarta-feira, 19 de junho de 13
PERGUNTAS
•
Por que devemos usar o nome ``Análise Forense Digital"?
•
Em uma análise forense, entre a coleta dos dados do disco e a coleta
dos dados da memória, qual deve ser coletada primeiro? Explique.
•
Qual a importância da análise forense em segurança da informação?
•
Explique com suas palavras o que é anti-forense?
•
Quais preocupações devem existir durante uma coleta de
informações em sistemas online?
quarta-feira, 19 de junho de 13