Questão FC512164
Algumas situações de suspeita de cibercrimes exigem uma investigação forense computacional. Para esse fim, são necessárias ferramentas que permitam adquirir, preservar e recuperar
Auditoria de TI e Forense Computacional
COMPERVE (UFRN) · 2019
Algumas situações de suspeita de cibercrimes exigem uma investigação forense computacional. Para esse fim, são necessárias ferramentas que permitam adquirir, preservar e recuperar as provas do suposto crime. Algumas ferramentas permitem, inclusive, a análise dos dados armazenados em mídias computadorizadas. No Brasil, a Operação Lava Jato deu notoriedade a este tipo de ferramenta, sendo fundamental para a investigação. Os sistemas IPED, EnCase, FTK e UFED Touch são exemplos conhecidos deste tipo de ferramenta.
Infelizmente, a empresa Security10 não possui nenhuma dessas ferramentas que certamente seriam úteis para que o analista de TI, João, pudesse realizar a perícia que lhe foi atribuída.
Na ausência dessas ferramentas, João resolveu enviar uma imagem assinada (através do uso de hash) do disco principal da máquina suspeita para um amigo da Polícia Federal que lhe prestará alguma ajuda. Nesse caso, considerando que João possui apenas o Linux à sua disposição, ele deve gerar a imagem através do seguinte comando:
- dd if=/dev/hda bs=4K conv=sync,noerror | tee mycase.img
- fsck -t ext4 /dev/hda > mycase.img
- dd if=/dev/hda bs=4K conv=sync,noerror | tee mycase.img | md5sum > mycase.md5
- fsck -M -y /dev/sda | tee mycase.img | md5sum > mycase.md5
Mostrar resposta e comentário
Gabarito
Certo
Comentário do professor
O comando cria uma imagem bit-a-bit do disco e gera sua assinatura criptográfica em um único fluxo, garantindo evidência íntegra. João lê o dispositivo bruto com dd apontando para /dev/hda.
bs=4K ajusta o tamanho de bloco para melhor desempenho. conv=sync,noerror faz o dd continuar em presença de erros de leitura e preencher blocos faltantes com zeros, preservando offsets e evitando perda de alinhamento da evidência.
A saída de dd é enviada para tee mycase.img, que grava a imagem em disco e encaminha o mesmo fluxo para md5sum. O resultado é escrito em mycase.md5, produzindo a hash do arquivo exato gerado.
Assim obtém-se a cópia forense e sua assinatura sem abrir ou alterar o sistema alvo, mantendo integridade e rastreabilidade da prova.
Conteúdo do catálogo FC Concursos · Atualizado em