Questão FC512168
De acordo com o relato, qual das atividades abaixo NÃO deve ser realizada?
Auditoria de TI e Forense Computacional
FAURGS · 2018
Considere o texto abaixo, em relação à análise forense.
Uma pessoa que trabalha em um banco foi designada, de forma imediata, para ir à casa de um cliente para coletar dados do computador, com a finalidade de investigar possível fraude bancária. Ao chegar ao local, verifica que o Windows ainda está ativo, apresentando mensagem suspeita.
De acordo com o relato, qual das atividades abaixo NÃO deve ser realizada?
- Conectar imediatamente um HD externo ao computador e copiar a pasta C:\ para o seu HD.
- Desligar a máquina da tomada e remover fisicamente o HD da máquina do usuário para realizar uma cópia.
- Desligar fisicamente a máquina da tomada e reiniciá- la a partir de um HD externo.
- Conectar um pendrive, especialmente preparado, com o objetivo de realizar uma cópia da memória RAM do computador.
- Tirar fotografias da tela do computador no momento em que se chegar à casa.
Mostrar resposta e comentário
Gabarito
A
Comentário do professor
Conectar imediatamente um HD externo e copiar a pasta C:\ enquanto o sistema operacional está ativo é incorreto porque essa ação pode alterar ou contaminar as provas. A simples conexão de dispositivos pode provocar automontagem, execução de autoruns, atualização de timestamps e escrita de metadados no disco investigado, comprometendo a integridade dos dados.
Além disso, copiar apenas C:\ não captura dados voláteis nem áreas relevantes como memória RAM, pagefile, espaço não alocado, tabelas de alocação e registros do sistema, que podem conter evidências essenciais.
O procedimento forense correto exige primeiro preservar o estado do local, documentar e fotografar, coletar memória volátil quando necessário, isolar a máquina da rede e só então realizar uma imagem forense usando write-blockers e procedimentos que garantam a cadeia de custódia.
Conteúdo do catálogo FC Concursos · Atualizado em