Questão FC512121
O procedimento forense denominado carving, que consiste em algoritmos de reconstrução de arquivos com base na recuperação de fragmentos e reconhecimento de conteúdos típicos, é ofe
Auditoria de TI e Forense Computacional
FGV · 2025
O procedimento forense denominado carving, que consiste em algoritmos de reconstrução de arquivos com base na recuperação de fragmentos e reconhecimento de conteúdos típicos, é oferecido em muitas ferramentas forenses.
Sobre esse procedimento, o analista forense deve considerar que:
- a opção de carving deve ser empregada quando disponível na ferramenta de recuperação de dados, já que garante a recuperação de todos os dados que o usuário do dispositivo tenha apagado, incidental ou propositadamente, permitindo relacioná-los diretamente a ele;
- o procedimento de carving deve ser utilizado com critério, pois há o risco de se recuperarem dados de usos anteriores de um dispositivo de armazenamento, sem relação com o usuário ou os fatos sob investigação, podendo ser desaconselhável em algumas situações;
- uma das vantagens do uso de carving é que os algoritmos de reconhecimento seguem um padrão, garantindo o mesmo resultado, independentemente da ferramenta ou versão utilizadas;
- dados recuperados por carving são interessantes para subsidiar uma investigação, mas não têm valor forense real, devido à variabilidade de resultados (a depender da ferramenta ou versão utilizada), além de não recuperarem metadados como nomes dos arquivos ou datas de acesso;
- na maioria dos casos, ele não é de grande utilidade, pois recupera apenas fragmentos de arquivos removidos pelo usuário, não sendo útil no caso de uma formatação lógica do dispositivo, ainda que recente.
Mostrar resposta e comentário
Gabarito
B
Comentário do professor
O procedimento de carving reconstrói arquivos a partir de fragmentos identificados por padrões de conteúdo ou assinaturas, sem recuperar necessariamente os metadados que atestam autoria, acesso ou datação.
Por isso o analista deve usar o carving com critério: arquivos recuperados podem refletir usos anteriores do dispositivo, de outros usuários ou de instalações anteriores, sem relação com os fatos investigados.
Essa possibilidade gera risco de associação indevida e contaminação probatória. Em ambientes como unidades reutilizadas ou mídias SSD com wear leveling, a origem e o contexto dos fragmentos ficam ainda mais incertos.
Logo, o uso do carving deve ser justificado, documentado e acompanhado de investigação complementar que confirme proveniência e relevância, respeitando aspectos legais e a cadeia de custódia.
Conteúdo do catálogo FC Concursos · Atualizado em