Análise Forense - Aspectos de perícia criminal

y2h4ck

Este pequeno arquivo nos fala um pouco do que é a perícia forense voltada a informática, que aspectos são levados em consideração numa análise e quais os procedimentos mais usados para solucionar casos.

[ Hits: 85.126 ]

Por: Anderson L Tamborim em 25/03/2004 | Blog: http://y2h4ck.wordpress.com

0 0

Denuncie Favoritos Indicar Impressora

Análise física

Análise física e a análise dos dados brutos de um disco rígido, danificado ou desconhecido. Ocasionalmente podemos iniciar nossa análise por este passo.

Todo disco rígido que for investigado deve ser isolado da máquina alvo, cria-se uma imagem do sistema em mídia não regravável (CDROM) e essa imagem é montada como Read-Only em outro sistema operacional que será a estação de análise pericial.

Nessa estação o perito irá usar vários meios para obter informações dessa mídia de armazenamento:

Pesquisa de seqüência: primeiro processo de uma análise física. Uma das ferramentas em base DOS mais precisas é o StringSearch. Ele nos retorna um valor para a seqüência do byte de início de arquivos e nos permite alocar o valor do byte absoluto do arquivo de maneira prática.
Processo de busca e extração: este método está bem relacionado com uma coleta das informações contidas no HD. Isso vai depender muito do caso que está sendo analisado. Se for uma acusação contra pedofilia, iremos procurar arquivos com o cabeçalho que indique fotos, caso fôssemos analisar um processo de invasão de computador, procuraríamos ferramentas que poderiam ser utilizadas no ato e assim vai.
Espaço sub-aproveitado ou livre de arquivos: esse processo consiste em analisar os espaços que estão marcados como livres na mídia. Esses espaços podem estar realmente livres ou marcados como livres após uma execução de deleção de arquivos. É possível com as ferramentas corretas recuperar os espaços marcados como apagados e assim trazer novamente arquivos que podem ser úteis na investigação, como logs, provas e etc.

Página anterior Próxima página

Páginas do artigo

   1. Introdução
   2. Análise pericial
   3. Análise física
   4. Modus Operandi
   5. Links e ferramentas

Outros artigos deste autor

Jails em SSH: Montando sistema de Shell Seguro

PHLAK :: [P]rofessional [H]acker's [L]inux [A]ssault [K]it

Snort avançado: Projetando um perímetro seguro

Seguraça extrema com LIDS

SECtool - Análise Local para Linux

Leitura recomendada

Tomcat + SSL: HOW-TO

Quebrando chave WEP (Wired Equivalent Privacy) - parte 1

Framework OSSIM - Open Source Security Information Management

Cliente "automágico" Linux logando no domínio NT/Samba

Servidor de log no Debian com Syslog-ng

Comentários

[1] Comentário enviado por norrinradd em 25/03/2004 - 11:32h

Muito interessante o artigo...realmente, é um trabalho bastante minucioso e altamente técnico.

0 0

[2] Comentário enviado por norrinradd em 25/03/2004 - 11:35h

Muito interessante o artigo...realmente, é um trabalho bastante minucioso e altamente técnico.

0 0

[3] Comentário enviado por y2h4ck em 25/03/2004 - 11:53h

Uma analise pericial em busca de informacoes as vezes pode levar ate 6 meses, isso levando em conta um modus operandis de um atacante experiente que apaga logs e registros..
Trazer a tona informações "apagadas" e algo nao trivial, e as ferramentas de Analise Forense disponibilizadas sao menos triviais ainda.
Porem e algo que adiciona muito ao conhecimento. Dentro de um mes estarei começando escrever meu Artigo para Bolsa de Pos-graduacao e vou fazer uma analise pericial completa em uma maquina comprometida. O arquivo contera todos os metodos e passos seguidos desde elaboracao do projeto a recuperacao de dados da Midia.

0 0

[4] Comentário enviado por jllucca em 25/03/2004 - 14:46h

excelente o artigo!

[]'s

0 0

[5] Comentário enviado por davi182 em 26/03/2004 - 07:36h

Muito bom! Parabéns! :)

(ainda mais pra um viciado em CSI como eu hehehe)

0 0

[6] Comentário enviado por ryu em 07/06/2004 - 23:15h

estou curioso agora pra ver esse artigo de uma analise de um servidor comprometido

0 0

[7] Comentário enviado por __OZzy__ em 11/07/2004 - 17:44h

Aeee
Bom lembra que tem um grupo de discussão sobre o temo
http://br.groups.yahoo.com/group/PericiaForense/
[]´x

0 0

[8] Comentário enviado por dudu_away em 18/09/2004 - 10:20h

Aí kra.... mto bom msm seu artigo..... Parabéns....

0 0

[9] Comentário enviado por juantech em 12/10/2004 - 16:09h

Interessante, so faltou citar o credito/fonte (Marcelo Abdalla dos Reis, Paulo Lício de Geus, Instituto de Computacao - Unicamp - num artigo de mesmo nome e com quase os mesmos sub-titulos).

Para um resumo esta excelente Anderson. Poderia ter colocado pelo menos referencias.

[]'s

Jairo Willian

0 0

[10] Comentário enviado por y2h4ck em 12/10/2004 - 20:42h

Legal, bom eu não tive oportunidade de ler nenhum artigo desse cara da Unicamp que vc falou ai ... mas enfim...
se eu tivesse lido e utilizado algo dele ... com certeza teria colocado créditos :)

então falou ae filhote ...

0 0

[11] Comentário enviado por removido em 23/11/2007 - 14:35h

Gostei do artigo e não hesitarei em procurar o próximo que terá maior abrangência de detalhes =)

0 0

[12] Comentário enviado por kalib em 08/01/2008 - 17:11h

Poxa..de fato um ótimo artigo a cerca deste assunto....parabéns pelo conteúdo que com certeza passou o que prometia de forma clara e bem completa. ;]

0 0