Manoel Domingues Junior, Felipe Oliveira, Gabriel Beskow. quarta-feira, 19 de junho de 13

(1)

(2)

ANÁLISE FORENSE

(3)

ANÁLISE FORENSE

Redes

Computadores

Celulares

DNA

Criminal

Smartphones

(4)

ANÁLISE FORENSE DIGITAL

(5)

“uso de métodos cientificamente desenvolvidos e

provados visando a preservação, coleta, validação,

identificação, análise, interpretação, documentação e

apresentação de evidência digital oriundas de fontes digitais

com o propósito de facilitar ou expandir a reconstrução de

eventos de origem criminosa, ou ajudar a antecipar ações

não autorizadas que prejudiquem operações planejadas”

(6)

?

(7)

SEGURANÇA DA INFORMAÇÃO

Propriedades

Estados

(8)

SEGURANÇA DA INFORMAÇÃO

Disponibilidade Integridade

Confidencialidade

(9)

SEGURANÇA DA INFORMAÇÃO

Disponibilidade Integridade Confidencialidade Identificação Autenticação Accountability Não repúdio Autorização Privacidade

(10)

SEGURANÇA DA INFORMAÇÃO

Disponibilidade Integridade Confidencialidade Identificação Autenticação Accountability Não repúdio Autorização Privacidade quarta-feira, 19 de junho de 13

(11)

(12)

INCIDENTES DE SEGURANÇA

Qualquer

evento adverso, confirmado ou sob suspeita,

relacionado à segurança dos sistemas de computação ou das

redes de computadores

*Definição do CERT CC

(13)

(14)

INCIDENTES DE SEGURANÇA

(15)

BONUS - ANTI-FORENSE

• Compreende diversas técnicas que visam

(16)

TERMINOLOGIA

• Indício

• circunstância conhecida e provada que tenha relação

com o fato e que, por indução, conclui a existência de outra circunstância.

(17)

TERMINOLOGIA

• Vestígio

(18)

TERMINOLOGIA

• Evidência

• vestígio que mostou vinculação direta com o evento que está sendo investigado

(19)

CIÊNCIA FORENSE CLÁSSICA

• Transferência • Identificação • Classificação • Individualização • Associação • Reconstrução

(20)

CIÊNCIA FORENSE CLÁSSICA

(21)

• Ao trazer esses conceitos para a ciência forense digital,

encontramos problemas!

(22)

• Ao trazer esses conceitos para a ciência forense digital,

encontramos problemas!

• Mas, vamos conhecer eles antes...

CIÊNCIA FORENSE CLÁSSICA

(23)

(24)

TRANSFERÊNCIA

• Baseada no “Princípio de Locard” -> todo contato deixa vestígio

(25)

TRANSFERÊNCIA

• Baseada no “Princípio de Locard” -> todo contato deixa vestígio • Ao aplicar força suficiente sobre um objeto, a matéria é dividida

(26)

TRANSFERÊNCIA

• Compartilham as características (podem ser classificados juntos)

(27)

TRANSFERÊNCIA

• Compartilham as características (podem ser classificados juntos)

• Possuem características únicas, de acordo com o processo de divisão (facilmente individualizados)

(28)

TRANSFERÊNCIA

• Valores definidos pelos eventos são consequência da lógica

do evento.

• funcao(valor1) = saida1 • funcao(valor2) = saida2

Digital

(29)

TRANSFERÊNCIA

(30)

TRANSFERÊNCIA

Digital

(31)

TRANSFERÊNCIA

• A informação necessita de um contexto referencial para

ser formada, junto com seus metadados.

(32)

TRANSFERÊNCIA

• Dependendo do contexto referencial podemos ter:

Digital

(33)

TRANSFERÊNCIA

• Dependendo do contexto referencial podemos ter: • funcao(valor1) = saida1

(34)

TRANSFERÊNCIA

• funcao2(valor2) = saida1

Digital

(35)

TRANSFERÊNCIA

• funcao2(valor2) = saida1

• No meio digital existe a necessidade de outras evidências

para sustentar a linha de investigação.

(36)

DEGRADAÇÃO E

VOLATILIDADE

(37)

(38)

IDENTIFICAÇÃO

• Determinar atributos da matéria

(39)

IDENTIFICAÇÃO

• Determinar atributos da matéria • análise do DNA

(40)

IDENTIFICAÇÃO

• análise de composição

(41)

IDENTIFICAÇÃO

• análise de composição • análise das estruturas

(42)

IDENTIFICAÇÃO

Digital

(43)

IDENTIFICAÇÃO

• Determinar “o que é” um conjunto de bits.

(44)

IDENTIFICAÇÃO

• Determinar “o que é” um conjunto de bits. • Geralmente usa assinaturas...

Digital

(45)

IDENTIFICAÇÃO

(46)

IDENTIFICAÇÃO

• Existem dois problemas:

Digital

(47)

IDENTIFICAÇÃO

• quantidade -> muitos dados

(48)

IDENTIFICAÇÃO

• quantidade -> muitos dados

• complexidade -> muitas camadas de abstração

Digital

(49)

(50)

CLASSIFICAÇÃO

• Determinar a origem dos objetos de investigação

(51)

CLASSIFICAÇÃO

• Determinar a origem dos objetos de investigação • Análises técnicas

(52)

CLASSIFICAÇÃO

• Determinar a origem dos objetos de investigação • Análises técnicas

• Categorização

(53)

CLASSIFICAÇÃO

• Associar os dados ao seu uso • sistema

• hardware • programas • pessoais

(54)

INDIVIDUALIZAÇÃO

(55)

INDIVIDUALIZAÇÃO

(56)

INDIVIDUALIZAÇÃO

• Rastrear objetos a sua fonte

• Determinar características de uso

(57)

INDIVIDUALIZAÇÃO

• Rastrear objetos a sua fonte

• Determinar características de uso

(58)

INDIVIDUALIZAÇÃO

Digital

(59)

INDIVIDUALIZAÇÃO

• Problema: Eventos determinísticos (sem aleatoriedade)

(60)

INDIVIDUALIZAÇÃO

• Problema: Eventos determinísticos (sem aleatoriedade) • Problema: Identificadores podem ser forjados

Digital

(61)

INDIVIDUALIZAÇÃO

• Só pode ser feita através de sistemas confiáveis...

(62)

INDIVIDUALIZAÇÃO

• Só pode ser feita através de sistemas confiáveis... • O que é confiável?

Digital

(63)

ASSOCIAÇÃO

• Deduções sobre elementos da investigação (projétil - arma) • Análise técnica em busca de relações

(64)

ASSOCIAÇÃO

• Não existe contato

• usuário interage através de camadas (teclado, tela, etc) • Problema: eventos podem ser remotos

• Dados necessitam ser correlacionados

Digital

(65)

RECONSTRUÇÃO

• Ordenação dos fatos

(66)

RECONSTRUÇÃO

• Limitação de eventos válidos no sistema

• Problema: depende do que estava registrado antes do

incidente

• Problema: podem existir muitos eventos e todos tem que

ser compreendidos

Digital

(67)

MODELOS

• NiJ - DoD

• Baseado em Hipóteses • Baseado em Camadas

(68)

MODELOS

NiJ-DoD

(69)

MODELOS

(70)

MODELOS

Baseado em Camadas

(71)

(72)

PERGUNTAS

(73)

PERGUNTAS

(74)

PERGUNTAS

• Por que devemos usar o nome ``Análise Forense Digital"?

• Em uma análise forense, entre a coleta dos dados do disco e a coleta

dos dados da memória, qual deve ser coletada primeiro? Explique.

(75)

PERGUNTAS

(76)

PERGUNTAS

• Qual a importância da análise forense em segurança da informação?

• Explique com suas palavras o que é anti-forense?

(77)

PERGUNTAS

• Qual a importância da análise forense em segurança da informação?

• Explique com suas palavras o que é anti-forense?

• Quais preocupações devem existir durante uma coleta de