MELHORES PRTICAS PARA COLETAR DADOS PARA UMA PERCIA COMPUTACIONAL USANDO SOFTWARE LIVRE

BEST PRACTICES TO GATHER DATA TO A COMPUTER USING SOFTWARE EXPERTISE LIVREMELHORES PRACTICES TO GATHER DATA TO A COMPUTER

USING FREE SOFTWARE EXPERTISE

Felipe dos Santos Soares Milene Nogueira Ferreira Firme

RESUMO

O crescente aumento dos crimes digitais faz com que haja a necessidade de um profissional capaz de executar uma percia forense computacional a fim de analisar provas digitais coletadas de computadores. De forma prtica e usando software livre executada uma coleta de dados digitais em um computador com Sistema Operacional Ubuntu 11.04 instalado, abordando as principais tcnicas de coleta de dados digitais e preocupando-se com a integridade, confiabilidade e o no repdio dos dados coletados.

Palavras chave: Forense Computacional, percia forense, coleta de dados e provas digitais.

ABSTRACT

The growing number of digital crime means there is a need for a professional capable of performing a forensic computer to analyze digital evidence gathered from computers. From a practical and free software is executed using a collection of digital data in a computer operating system Ubuntu 4.11 installed, covering the main techniques for collecting digital data and worrying about the integrity, reliability and non-repudiation of data collected.

Keywords - Keywords: Computer Forensics, forensics, data collection and digital evidence. _____________________________

Trabalho de Iniciao Cientfica -Instituto Superior Ftima Acadmicos do Curso de Ps-graduao em Percia Forense Computacional - Instituto Superior Ftima Orientadora - Instituto Superior Ftima

INTRODUO

Com o crescimento na utilizao de computadores pela sociedade em geral, aumenta tambm a utilizao desses equipamentos como meio para prticas de crimes digitais. Por isso importante que exista um profissional qualificado que utilize tcnicas forenses computacionais pra coletar e investigar essas aes que representam grandes riscos para a sociedade.

A forense computacional tem a funo de provar que um crime foi praticado atravs de recursos computacionais, de forma que os resultados obtidos na percia tcnica no gerem dvidas quanto a sua integridade e no repdio, bem como coletar evidncias para ajudar em investigaes e/ou processos judiciais. (Castro Jnior, et AL pag. 113).

Para o sucesso de uma investigao muito importante que se recolha todos os dados possveis do equipamento que esta sendo periciado de forma correta. Pode-se comprometer toda uma investigao caso a integridade, a confiabilidade e o no repdio das provas digitais no forem garantidos com os procedimentos corretos.

O objetivo geral deste trabalho contribuir para que os peritos e profissionais consigam realizar uma coleta de dados eficiente usando software livre.

O objetivo especfico realizar uma coleta de dados para uma percia computacional usando software livre para obter as melhores prticas.

O resultado esperado visa auxiliar o perito digital para que de forma correta, execute uma coleta de dados digitais usando software livre, afim de obterem sucesso em uma percia forense.

REFERENCIAL TERICO

PERCIA FORENSE

As pessoas esto cada vez mais dependentes da tecnologia que hoje tem um crescimento acelerado para atender as necessidades. Muitas dessas tecnologias se assemelham outras mudanas culturais que avanaram para modificar a sociedade como um todo. A disponibilidade dessa tecnologia digital conduz inevitavelmente para

a utilizao indevida por prtica ilegal do uso dos recursos digitais. De acordo com Honorato (2008) citado por Paiva (2009, p.17) seja qual for s circunstncias do crime fraude, pedofilia, espionagem industrial, pirataria ou de corrupo, a tecnologia digital est envolvida.

At pouco tempo atrs na dcada de noventa era comum a utilizao de documentos manuscritos, documentos escritos em maquina de escrever. Tais documentos eram autenticados em cartrio. Essa autenticao era de suma importncia para se evitar fraudes, quando havia dvidas sobre a veracidade do documento. Para isso era solicitada a presena de um perito para um laudo. E quando o documento ou a informao esta em um ambiente digital? Para isso h necessidade de um perito forense computacional.

A forense computacional definida por Pires (2003) e citada por Paiva (2009, p.18) como:

Um conjunto de tcnicas, cientificamente comprovadas, utilizadas para coletar, reunir, identificar, examinar, correlacionar e analisar e documentar evidncias digitais processadas, armazenadas ou transmitidas por computadores. Atravs de um conjunto metdico de procedimentos para manipulao e interpretao de evidncias, possvel determinar um autor de um crime ou fraude no ambiente computacional.

Ento o perito forense computacional aquele profissional que domina os conhecimentos de informtica como sistemas operacionais, linguagem de programao, rede computacionais, banco de dados entre outros. um profissional paciente e meticuloso, atento aos mnimos detalhes.

PROVA DIGITAL

As provas podem ser as mais diversas possveis como e-mails, arquivos de registros (conhecidos como logs), arquivos temporrios com informaes pessoais, conexes abertas, processos em execuo e outras evidncias que possam existir no computador. Mas para serem aceitas num processo jurdico, devem ter sido obtidas de

forma lcita. (Souza, 2011) importante que o perito forense digital saiba manusear apropriadamente as provas digitais coletadas, conservando o local onde se est recolhendo as informaes, assegurando que elas possam ser usadas como suporte para a uma investigao. (Brassanini, Moreno e Taxman)

O perito precisa ter em mente sempre que em diversos tipos de crimes h provas digitais. Seja onde e qual for o crime, o nvel de cuidado deve ser o mesmo: preservar o local, garantir a custdia e o controle das provas recolhidas, pois de suma importncia para o sucesso da percia.

O material que ser coletado como prova pode ser facilmente adulterado. No local nada pode ser tocado ou alterado, pois esse cuidado de grande importncia para que as provas coletadas fiquem ntegras. Assim nenhuma pessoa sem ser o perito deve manusear equipamentos, ficando sob responsabilidade dele avisar logo ao ser chamado.

A prova digital um material muito frgil que precisa ser manuseado corretamente, sendo necessrio um armazenamento correto, longe do calor e frio excessivo, um transporte adequado e longe de objetos magnticos.

Qualquer dado ou informao digital criada, guardada, traduzida ou decodificada por um dispositivo digital seja ele Computadores Pessoais, dispositivos de Armazenamento em rede, CDs, DVDs, mquina Fotogrfica, relgio com comunicao via USB, entre outros.

Os Dados tambm podem estar armazenados em locais fora dos domnios fsicos da cena investigada, como provedores de internet, Servidores FTP - File Transfer Protocol - e servidores Corporativos.

Nesses Casos, a coleta dos dados somente ser possvel mediante ordem judicial. A cpia de dados envolve a utilizao de ferramentas adequadas para duplicao dos dados, pois de vital importncia que seja garantida a preservao da integridade das evidncias coletadas, pois caso isso no ocorra, as evidncias podero ser invalidadas como provas perante a justia.

A garantia da integridade das evidncias consiste na utilizao de ferramentas que aplicam algum tipo de algoritmo hash. Assim como os demais objetos apreendidos

na cena do crime, os materiais de informtica apreendidos devero ser relacionados em um documento chamado Cadeia de Custodia.

Deve ser feito cpia lgica (Backup) do material a ser analisado, no mnimo duas cpias, uma para ser realizada coleta dos dados pertinentes a investigao e a outra copia deve ser guardada em um local seguro, caso haja a necessidade de novas anlises. Durante a coleta de dados muito importante manter a integridade dos atributos de tempo mtime (modification time), atime (acess time) e ctime (creation time) MAC times. Mactime: permite que a partir das informaes contidas nos metadados dos arquivos e diretrios, uma viso cronolgica dos acontecimentos seja mostrada. (Silva, 2010)

CUIDADOS NECESSRIOS PARA COLETA

Os procedimentos devem ser feitos com no mnimo duas testemunhas, de preferncia com um mnimo de conhecimento em informtica. O perito tem por obrigao explicar os procedimentos executados de forma clara e simples, a fim de conseguir um entendimento bsico dos ouvintes. Se possvel deve-se flmar o procedimento de coleta.

Segundo Mota Filho (2010) os gerentes de rede devem ser orientados em caso de invaso a seguir os seguintes procedimentos:

Quando se identifica uma invaso no se pode de maneira alguma acessar ou emitir comandos na mquina comprometida.

Desconectar o cabo de rede para que o invasor no execute nenhuma operao remota no equipamento.

Em hiptese alguma a mquina deve ser desligada, a no ser que o invasor o faa. Sendo assim necessrio aguardar a chegada do perito para ligar o equipamento.

Caso o equipamento seja ligado e se descubra que o mesmo foi vtima de invaso, no se deve mexer mais em nada e aguardar a chegada do perito.

O perito deve ser chamado o mais rpido possvel e um responsvel deve acompanhar os procedimentos, pois a ajuda de suma importncia para sanar eventuais dvidas que o perito possa ter em relao ao ambiente periciado.

Segundo Mota Filho (2010) as autoridades que aprendem mquinas suspeitas devem seguir as seguintes orientaes:

Se ao efetuar o flagrante o equipamento estiver ligado, chamar um perito forense computacional para realizar uma coleta da memria. Isso ajudar nas investigaes, pois os dados da memria so preciosos numa investigao.

Para remover a mquina ou provas do local (qualquer aparelho ou perifrico que possa conter informaes digitais), lacrar os mesmos dentro de uma caixa ou embalagem plstica apropriada, na presena de duas testemunhas. Utilizar lacres confiveis, seguros e numerados.

Alguns equipamentos que podem ser utilizados para armazenamento de provas digitais:

Telefones Celulares;

Pen drives;

Cmeras Digitais;

DVDs/CDs;

MP3 Players;

Cartes de memria flash;

Impressoras com Smart Media ou memria interna;

Gravador de vdeo digital (por exemplo, DVRs);

Secretrias eletrnicas;

GPS;

Consoles de jogos (por exemplo, Xbox, Playstation);

Gravadores digitais de voz.

COLETA DOS DADOS VOLTEIS

A seguir sero descritos procedimentos, considerando que o perito encontrou uma mquina com Linux (Ubuntu 11.04) instalado e a mesma estava ligada. Todos os procedimentos devem ser seguidos por duas testemunhas e de preferencia que todas as operaes sejam filmadas. No esquecer de anotar a hora da execuo dos procedimentos.

Ao se deparar com o equipamento em funcionamento, chamar o administrador do mesmo e solicitar a senha de root. O primeiro passo recolher o contedo da memria RAM. Mas porque o dump de memria importante? Tudo o que est em execuo no equipamento fica temporariamente na memria. Criando uma imagem da memria, ou dump de memria pode-se identificar os arquivos (processos) em execuo, processos pais e processos filhos. Tornando-se possvel verificar como estava sendo a utilizao do equipamento no momento do dump de memria, quais programas estavam sendo executados e provavelmente algumas senhas tambm ficam temporariamente na memria.

Inserir um HD ou pendrive de maior capacidade que a memria ram do equipamento a ser periciado e de preferncia montar eles no diretrio /mnt com o comando:

# mount -t vfat -o umask=0000 /dev/sdb1 /mnt

Obs: O procedimento de montar outros tipos de dispositivos no ser abordado, nesse caso para o dump de memria foi utilizado um pendrive de 16GB numa mquina com 2 GB de memria RAM.

Verificar com o comando a seguir a verso do kernel e a arquitetura da distribuio instalada no equipamento:

# uname -r-n

As verses de kernel anteriores a verso 2.6.27 no possuem restrio de acesso memria, assim o comando dd funciona corretamente. Executar o comando para fazer o dump de memria:

# dd if=/dev/mem of=/mnt/memoria.dd

Caso o kernel seja igual ou posterior ao 2.6.27, ento se faz necessrio o mdulo fmen, disponvel em http://hysteria.sk/~niekt0/foriana. Fazer o download do mdulo, compilar e instalar o mdulo com os seguintes comandos:

#tar -xzf arquivo.tgz - para descompactar o arquivo tgz

#make - para compilar

#run.sh para instalar o mdulo ( verificar o arquivo README aps descompactar o arquivo para maiores informaes).

Aps instalar o mdulo executar o comando:

# dd if=/dev/fmem of=/mnt/memoria.dump bs=1M count=2048

importante especificar o tamanho da memria para o dd no entrar em looping (caso o comando dcfldd esteja disponvel, fazer o dump de memria com ele pois os comando e as opes do comando so as mesmas).

Aps esse procedimento ainda necessrio coletar algumas informaes importantes para percia, que so:

Usurios logados no sistema; Para verificar os usurios logados no sistema, executar o comando:

# w > /mnt/users

Assim todos os usurios conectados e seus respectivos terminais ficam armazenados no arquivo users.

Situao do uso da memria; Para verificar o uso da memria do equipamento, executar o comando:

# free -m >/mnt/memoria.free

Esse comando lista o uso da memria ram e swap do equipamento e a opo m para a resposta do comando ser mostrada de forma amigvel em MB.

Histrico de comandos do equipamento; O comando history exibe os ltimos comandos digitados no bash. Para isso executar o comando:

# history > /mnt/history

Assim a lista de comandos estar armazenada para futura verificao.

Quais processos esto ativos; Com o comando ps -aux todos os processos em execuo no equipamento sero listados com vrias informaes importantes como, por exemplo, dono do processo em execuo, PID, tempo do processo, quando iniciou o processo e outros. Para isso executar o comando da seguinte forma:

# ps aux > /mnt/processo

Porm algum desses processos podem estar ocultos para o comando ps, assim usa-se, se estiver disponvel no sistema operacional, ( no se deve instalar nada em uma mquina viva), o comando unride.

Esse comando uma ferramenta forense desenvolvida para encontrar processos ocultos. Executar os seguintes comandos se estiver disponvel:

# unhide proc > /mnt/unhide.proc # unhide sys > /mnt/unhide.sys # unhide brute > /mnt/unhide.brute

O unhide til tambm para listar portas TCP ocultas. Se existirem, executar o comando:

# unhide-tcp > /mnt/unhide.tcp

Quanto tempo mquina esta ligada; J que a mquina estava ligada antes mesmo do perito chegar ao local importante saber quanto tempo o sistema tem de operao sem reiniciar. Para isso executar o comando:

# uptime > /mnt/uptime

Conexes e portas de redes abertas; Com o comando netstat so verificadas todas as portas e conexes de rede abertas e quais processos. Para isso executar o comando:

# netstat tunap > /mnt/netstat.

Executar esse comando mesmo que o cabo de rede no esteja conectado.

Relao de pacotes instalados; Como na mquina periciada o sistema operacional o Ubuntu 11.04, ele baseado em Debian. Segundo o site Ubuntu.org o sistema de pacotes do Debian utiliza pacotes com extenso .deb. Trata-se de arquivos compactados contendo os arquivos dos programas em questo (binrios e configurao), juntamente com arquivos de controle para o gerenciamento de pacotes. O dpkg a base do sistema de pacotes do Debian, e classificado como um ferramenta de nvel mdio para gerncia de pacotes. Usado para instalao e remoo de pacotes primitivamente (Guia Ubuntu PT, 2009). Para verificar os pacotes instalados no equipamento executar o seguinte comando:

# dpkg l > /mnt/list_pacotes

Data e hora do sistema; Logicamente existe a possibilidade de que a hora do sistema no esteja certa, portanto deve-se anotar a hora correta e data, posteriormente executar o comando:

# date > /mnt/date

Discos utilizados e suas parties; necessrio saber quantos discos existem no equipamento e como os mesmos esto particionados, executando o comando para obter essa informao:

#df -hT > /mnt/df

Dispositivos montados; O comando mount mostra os dispositivos montados e suas permisses. Para obter essas informaes executar o comando:

# mount > /mnt/mount

Esquema de particionamento dos discos; Para verificar como os discos esto particionados e o tipo de partio, executar o seguinte comando:

# fdisk -l > /mnt/fdisk

Verso do kernel; Anteriormente foi utilizado o comando uname r para verificar qual a verso do kernel utilizada, vai executar o comando novamente direcionando a sada para um arquivo no dispositivo, montado no diretrio /mnt. Executar o comando:

# uname -r > /mnt/kernel_ver

Informaes dos dispositivos de rede; necessrio verificar como esta configurado o dispositivo de rede. Para isso executar o comando:

# ifconfig > /mnt/ifconfig

Rotas; Verificar as rotas das interfaces de rede executando o comando:

# route -n > /mnt/rotas

Mdulos do kernel; Por fim e no menos importante, destacar o lsmod para listar os mdulos do kernel carregados no sistema. Executar o comando:

# lsmod > /mnt/lsmod.

Terminada a coleta dos dados preliminares. O prprio sistema operacional da mquina periciada foi utilizado para a coleta, no foi utilizado nenhum live CD para extrair tais dados e nem reiniciado o equipamento. Com isso o objetivo de manter a confiabilidade e a disponibilidade das informaes contidas na memria ram e as informaes contidas na mquina antes de ser reiniciada ou desligada foi mantido.

Para garantir a integridade e a confiabilidade do dump de memria do sistema que ser periciado, explicar para as duas testemunhas o que o md5 e hash e mostrar o funcionamento se for necessrio. Executar os comandos a seguir para criar o hash e o md5 do dump de memria criado anteriormente.

# md5sum memoria.dump > memoria.dump.md5 # sha256sum memoria.dump > memoria.dump.sha256

No caso o pacote dcfldd no estava disponvel quando foi criado o dump da memria, por isso foi usado o dd. Se ele estivesse disponvel, o hash e o md5 poderiam ser criados simultaneamente com o seguinte comando:

# dcfldd if=/dev/fmem of=/mnt/memoria.dump bs=1M count=2048 hash=md5,sha256md5log=/mnt/memoria.dump.md5sha256log=/mnt/memoria.dump.sha256

Aps isso, desmontar o pendrive do equipamento e verificar em outra estao se esta tudo correto. No esquecer de preencher o laudo de custdia corretamente.

COLETA DOS DADOS DE MEMRIA FSICA

Para prosseguir, foi escolhida a distribuio FDTK V3 live cd para coleta dos dados do harddisk. Existem vrias distribuies no mercado como BackTrack, Helix,

CAINE, DEFT Linux e muitas outras. Escolher a distribuio mais agradvel para prosseguir com a coleta. Pode ser um CD, DVD ou pendrive USB.

Nunca esquecer que esse procedimento tem de ser acompanhado pelas testemunhas. Desligar a energia do equipamento e inserir um HD maior que a do equipamento periciado, pode ser um HD externo ou interno. Sempre explicar o procedimento para as testemunhas.

Ligar o equipamento e inicializar o live cd. Montar o dispositivo de armazenamento de coleta no /mnt. No caso a mquina periciada possui um hd de 80 GB SATA (/dev/sda). Foi utilizada para a coleta um HD externo USB da Samsung de 500GB.

Agora usando o dcfldd foi criada a imagem do disco e ainda os hashes md5 e sha256 da imagem. Para isso executar o comando:

#dcfldd if=/dev/sda of=/mnt/hd.sata.dd hash=md5,sha256 md5log=/mnt/ hd.sata.dd.md5 sha256log=/mnt/ hd.sata.dd.sha256

PROCEDIMENTOS FINAIS DA COLETA

Verificar se o procedimento anterior foi executado corretamente e verificar o tamanho da imagem criada e se os hashes esto corretos. Desligar o equipamento. Agora necessrio lacrar o computador ou abrir o equipamento e lacrar o HD. Para isso, acompanhado das testemunhas, utilizar lacres numerados e embalagens adequadas para o armazenamento.

Preencher um laudo de custdia e um laudo de integridade, colocando todos os dados da imagem da memria e do disco rgido. Como nas figuras abaixo:

Pg.: 1

Item: Descrio:

Fabricante: Modelo: Num. de serie:

Data/Hora: Criada por: Mtodo usado: Nome da Imagem: Partes:

Drive: HASH:

MDIA ELETRNICA/DETALHES EQUIPAMENTO

Caso Nm.: 1209087 De: 1

FORMULRIO DE CADEIA DE CUSTDIAEVIDNCIA ELETRNICA

DETALHES SOBRE A IMAGEM DOS DADOS

Seagate ST30808272AS 5MT2MK9Y

1 Hard Disc Seagate Barracuda 7200.7 80 GB

\DEV\SDA 8369b53a57f27c00b90faacafd26b40baec03b40ae0342145687da76af53ee1c

26/09 - 15:32 Felipe Soares DCFLDD hd.sata.dd 1

Destino: Data/Hora: Origem: Destino Motivo:CADEIA DE CUSTDIA

27/set Felipe Soares Felipe Soares

Anlise Forense

Data: Nome/Org.: Nome/Org.:

18:00Hora: Assinatura: Assinatura:

Analizar contedoData: Nome/Org.: Nome/Org.:

Hora: Assinatura: Assinatura:

Data: Nome/Org.: Nome/Org.:

Hora: Assinatura: Assinatura:

Data: Nome/Org.: Nome/Org.:

Hora: Assinatura: Assinatura:

Data: Nome/Org.: Nome/Org.:

Hora: Assinatura: Assinatura:

Data: Nome/Org.: Nome/Org.:

Hora: Assinatura: Assinatura:

Data: Nome/Org.: Nome/Org.:

Hora: Assinatura: Assinatura:

Data: Nome/Org.: Nome/Org.:

Hora: Assinatura: Assinatura:

Figura 01 Formulrio de cadeia de custdia

Certido de Integridade de Dados

Eu Felipe dos Santos Soares, perito forense computacional, portador do CPF no. 864529751-53 s 15:32 do dia 26 de setembro de 2011, no departamento de percia digital, na presena do Senhor Fulano de Tal , advogado, portador do CPF no. 010101011-00 e Beltrano Silva e Silva, analista de sistema, portador do CPF no. 234567981-00 foi criada a imagem do HD de 80GB referente ao caso nmero 1209087.

Hash gerado no ato da coleta

Nome da imagem: hd.sata.dd

Hash md5: f7dccb120ec0e78a4d84d2c0d5501511

Hash sha 256: 8369b53a57f27c00b90faacafd26b40baec03b40ae0342145687da76af53ee1c

________________________________________

FELIPE DOS SANTOS SOARES

CPF 864529751-53

Perito Forense

________________________________________

FULANO DE TAL

CPF 010101011-00

________________________________________

BELTRANO SILVA E SILVA

CPF 234567981-00

Figura 2 Certido de Integridade de Dados

CONSIDERAES FINAIS

A coleta da prova digital de suma importncia para obter sucesso numa percia computacional. Foi testado e comprovado em uma situao real a forma correta de coletar os dados visando o sucesso de uma percia forense computacional.

Foram utilizados softwares livres com o objetivo de reduzir os custos para o perito,ficando assim, mais acessvel para quem solicita a pericia. Ainda pode-se muitas vezes modificar o cdigo fonte e adequar esses softwares a necessidade do perito ou da percia em questo.

Acredita-se que seguindo esse artigo o perito executar de forma correta uma coleta de dados em uma mquina com sistema operacional baseado em Linux.

REFERNCIAS BIBLIOGRFICAS

BRASSANINI, David; MORENO, Karine e TAXMAN. Guia de Campo sobre prova digital. 1. Edio.

CASTRO JNIOR, Antnio Pires de, et al. Forense Computacional em Memria Principal. Disponvel em: < http://www.mp.go.gov.br/portalweb/hp/1/docs/foren-comp-ram.pdf > Acesso em 21/09/2011

GUIA UBUNTU PT. Explicacao do Dpkg e Apt Disponvel em : < http://www.guiaubuntupt.org/wiki/index.php?title=Explicacao_do_Dpkg_e_Apt > Acesso em: 22/09/2011

MOTA FILHO, Eriberto Joo. Percia Linux com Debian GNU/Linux Parte 1 Procedimentos iniciais e coletas. Disponvel em: <

http://eriberto.pro.br/forense/guia_forense_1.1_parte_1.pdf > Acesso em: 22/09/2011

PAIVA, Jadilson Alves de. Praticas Anti-Forense: Um estudo de seus impactos na forense computacional. Disponvel em: < http://www.nogueira.eti.br/profmarcio/obras/Jadilson%20-%20Anti-Forense.pdf > Acesso em: 20/09/2011

SILVA, Segura Rodrigo. Forense Digital: Produzindo Provas Legais. Disponvel em: <

http://www.prevenirperdas.com.br/portal/index.php?option=com_content&view=article&id=177:forensedigital&catid=18:prevencao-a-fraudes&Itemid=7 > Acesso em: 22/09/2011

SOUZA, Rafael. Percia Forense Computacional. Disponvel em: < http://www.ticnics.com.br/pericia-forense-computacional/> Acesso em: 21/09/2011