ABTI Perícia Digital / Perícia digital / Cópia forense e cadeia de custódia
Cópia forense de computadores com cadeia de custódia
Antes de desligar um colaborador, formatar uma máquina ou entrar com uma ação, a empresa pode preservar o conteúdo do computador em uma cópia forense. O original fica intacto, a cópia é autenticada por hash e todo o procedimento é documentado.
- Para quem
- Empresas, escritórios de advocacia e particulares
- O que é feito
- Imagem bit a bit do disco, hash, registro fotográfico e formulário de cadeia de custódia
- Opcional
- Ata notarial lavrada por tabelião que acompanha o procedimento
- Entrega
- Imagem autenticada e documentação do procedimento
Quando faz sentido preservar
- Suspeita de que um colaborador copiou ou enviou dados da empresa para fora
- Desligamento de pessoa em cargo sensível, antes de reaproveitar o equipamento
- Mensagens ou documentos ofensivos, difamatórios ou discriminatórios que possam virar processo
- Suspeita de invasão, programa malicioso ou uso indevido do equipamento
- Necessidade de comprovar um acesso, envio ou protocolo feito em data e hora específicas
Em todas essas situações, o tempo joga contra. O uso normal do computador sobrescreve vestígios, registros são rotacionados e uma formatação apaga quase tudo. A cópia forense congela o estado do equipamento naquele momento, e a análise pode ser feita depois, só se for necessária.
Como é o procedimento
- Documentação do ambienteFotos com data e hora do local, do equipamento, dos cabos conectados e dos discos de origem e destino, com marca, modelo e número de série.
- PreparaçãoSanitização dos discos de destino, conferência de data, hora e fuso na BIOS e inicialização por mídia forense, sem ligar o sistema do computador.
- Hash do originalCálculo do código que identifica o conteúdo do disco antes de qualquer cópia.
- Cópia bit a bitImagem integral do disco, inclusive áreas livres e arquivos apagados, com ferramenta forense.
- ConferênciaHash da cópia comparado ao do original. Só se forem idênticos a cópia é aceita.
- AcondicionamentoDisco em embalagem antiestática, etiquetado com procedimento, data e hora, e formulário de cadeia de custódia assinado.
O que é entregue
Cópia integral autenticada por hash, em mídia lacrada.
Fotos, vídeo do procedimento e logs de início, processamento e conclusão.
Formulário com todos os dados do objeto, do ambiente e dos responsáveis.
Quando pedido, imagem convertida para máquina virtual, para exame sem tocar no original.
Procedência, integridade e repetibilidade
Uma prova digital resiste a questionamentos quando se sabe de onde veio, quando se demonstra que não foi alterada e quando outro perito, com o mesmo material, chega ao mesmo resultado. A cópia forense com cadeia de custódia atende a esses três requisitos. Uma cópia feita com arrastar e soltar, por mais bem-intencionada, não atende, e muitas vezes altera datas e metadados dos arquivos.
Para preservar conteúdo online, mensagens e páginas, veja preservação de provas digitais e o artigo sobre cadeia de custódia digital.
Perguntas frequentes
A cópia forense exige que a máquina seja levada?
Não necessariamente. O procedimento pode ser feito no local, nas dependências da empresa, com o equipamento desligado e a inicialização por mídia forense.
Preciso de ata notarial?
Não é obrigatória. A cadeia de custódia documentada já dá suporte técnico à prova. A ata notarial acrescenta a fé pública do tabelião e é recomendada quando se espera forte contestação.
Depois da cópia, posso formatar o computador?
Sim. Com a imagem conferida por hash, o equipamento pode voltar ao uso. A cópia preserva o estado do disco no momento do procedimento.
O que a empresa precisa fornecer?
Acesso ao equipamento, um responsável para acompanhar e, em geral, dois discos externos novos para receber as imagens.
A análise do conteúdo está incluída?
A preservação e a análise são contratadas separadamente. Muitas vezes a análise só é feita se e quando surgir um processo.
Precisa preservar um computador?
Não ligue, não formate e não copie arquivos por conta própria. Fale com a ABTI para planejar a coleta.