PERÍCIA EM INFORMÁTICA Aula 05 – Exames forenses em dispositivos de armazenamento computacional - Análise Curso de Sistemas de Informação. Prof. Diovani Milhorim

Exames em dispositivos de armazenamento Fases do exame - dispositivos de armazenamento. Preservação Extração Análise Formalização

Exames em dispositivos de armazenamento Fases do exame - dispositivos de armazenamento. Análise Exame da informações obitdas na etapa de extração, a fim de identificar evidências digitais presente no material examinado;

Exames em dispositivos de armazenamento Fases do exame - dispositivos de armazenamento. Análise Uso de filtro: Quantidade enorme de arquivos a serem analisados. Ex: Disco de 80 Gb pode conter até um milhão de arquivos Solução: Uso de filtro KFF (know file filter). KFF: arquivo de hashes com lista dos arquivos conhecidos do sistema operacional que podem ser desprezados durante a análise.

Exames em dispositivos de armazenamento Fases do exame - dispositivos de armazenamento. Análise Busca por palavra chave: Buscas por palavras chaves em uma lista de arquivos indexados é uma das principais formas de se localizar arquivos de interesse. O uso de indexação agiliza a tarefa. Arquivos criptografados não são objetos desta busca.

Exames em dispositivos de armazenamento Fases do exame - dispositivos de armazenamento. Análise Virtualização: Uso de virtualizadores para se analisar o conteúdo das imagens obtidas na fase de extração. Pode-se observar softwares utilizados pelos suspeitos na forma em que se apresentavam no disco real (evidência).

Exames em dispositivos de armazenamento Fases do exame - dispositivos de armazenamento. Análise Uso de ferramentas: Possuem funcionalidades que permitem a análise mais eficiente das evidências, tais como: Indexação Pesquisa por palavras chaves Navegação pelo disco Visualização correta de arquivos

Exames em dispositivos de armazenamento Fases do exame - dispositivos de armazenamento. Análise Uso de ferramentas: Exemplos: Forensics toll kit (FTK) da Access Data EnCase da Guidance. (US$2995,00) Autopsya (FTK)

Exames em dispositivos de armazenamento Fases do exame - dispositivos de armazenamento. Análise Prática: Usando o autopsya faça a indexação de seu pendrive Realize buscas na base indexada.