Questão FC507591
Considerando que um suspeito de ataques de ransomware utilize máquinas virtuais para encobrir sua identidade durante esses ataques, julgue o item subsequente. A duplicação forense
Auditoria de TI e Forense Computacional
CEBRASPE (CESPE) · 2025
Considerando que um suspeito de ataques de ransomware utilize máquinas virtuais para encobrir sua identidade durante esses ataques, julgue o item subsequente.
A duplicação forense de um disco virtual pode ser feita sem necessidade de validação por hash, uma vez que a imagem original está preservada.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
A afirmação é errada porque a duplicação forense exige validação por hash para comprovar a integridade dos dados e permitir verificação subsequente em juízo.
Mesmo quando a imagem original parece preservada, o processo de cópia pode introduzir alterações por metadados, diferenças no tratamento de setores não alocados, snapshots de máquinas virtuais (VMDK, QCOW2, VDI) ou falhas na ferramenta de aquisição.
Na prática registra‑se o valor hash da fonte e da cópia: \(h_{orig}=H(\text{disco\_virtual})\) e \(h_{copy}=H(\text{cópia})\). Só se admite a cópia como íntegra quando \(h_{orig}=h_{copy}\).
Além disso, o registro da cadeia de custódia, da ferramenta e do algoritmo (MD5, SHA‑1, SHA‑256; preferir SHA‑256) é obrigatório para robustez técnica e aceitabilidade legal.
Conteúdo do catálogo FC Concursos · Atualizado em