Questão FC512124
Um analista forense coletou um arquivo de um servidor suspeito e calculou seu hash SHA-256 antes e após a transferência, tendo obtido o mesmo valor: hash original: a1b2c3d4e5f6...
Auditoria de TI e Forense Computacional
CEBRASPE (CESPE) · 2025
Um analista forense coletou um arquivo de um servidor suspeito e calculou seu hash SHA-256 antes e após a transferência, tendo obtido o mesmo valor:
hash original: a1b2c3d4e5f6...
hash após transferência: a1b2c3d4e5f6...
Ao abrir o arquivo, o analista verificou que parte do conteúdo estava corrompida, embora o tamanho do arquivo e os metadados permanecessem inalterados. Nessa situação hipotética, conforme os procedimentos forenses padrão, o referido analista deverá
- ignorar a corrupção, pois o hash comprova a autenticidade do arquivo.
- usar um algoritmo de hash diferente (como MD5) para verificar novamente o arquivo.
- registrar a inconsistência, coletar novamente o arquivo e verificar os hashes.
- descartar imediatamente a evidência, devido à corrupção verificada.
- considerar a evidência válida porque o hash não foi alterado.
Mostrar resposta e comentário
Gabarito
Certo
Comentário do professor
Ao encontrar o mesmo valor de hash SHA-256 antes e depois da transferência, mas conteúdo visivelmente corrompido, a conduta correta é registrar a inconsistência. Esse registro preserva a cadeia de custódia e documenta a anomalia para a perícia.
Em seguida, é necessário coletar novamente o arquivo, preferencialmente utilizando procedimentos e ferramentas forenses (bloqueio de escrita, mídias confiáveis, logs de transferência) para eliminar falhas de captura ou transporte.
Por fim, deve-se verificar os hashes novamente (recalcular SHA-256 e comparar com novos cálculos e, se possível, com medições na origem). Esses passos confirmam se houve corrupção física, erro operacional ou outra causa, permitindo conclusões técnicas fundamentadas.
Conteúdo do catálogo FC Concursos · Atualizado em