A respeito de sistemas de arquivos, duplicação e recuperação de dados apagados ou corrompidos, julgue o próximo item. Na duplicação de um disco rígido para fins forenses, são copia

Gabarito

Certo

Comentário do professor

Na duplicação de um disco rígido para fins forenses, são copiados os dados regulares presentes, os arquivos apagados, os fragmentos remanescentes de arquivos e os dados que eventualmente se encontrem armazenados no espaço localizado fora dos limites das partições.

Essa afirmação é certa porque a prática forense exige uma cópia bit a bit do dispositivo, ou seja, a imagem contém cada setor do disco, incluindo área de boot, tabela de partições, espaço não alocado, slack space e quaisquer regiões fora das partições reconhecidas. Dados "apagados" permanecem fisicamente até serem sobrescritos, e fragmentos de arquivos podem ser recuperáveis ao se analisar os clusters e metadados.

Para garantir integridade e aceitabilidade legal usa‑se bloqueador de escrita e se calcula um hash (por exemplo MD5/SHA256) da imagem original e da cópia. Assim a duplicação preserva toda a evidência possível para análise.