Investigação Forense de Disco

Quando Usar

• Um incidente de segurança requer análise forense do armazenamento persistente de um sistema
• A preservação de evidências é necessária para possíveis processos legais ou investigações de RH
• Arquivos excluídos, histórico de navegação ou artefatos de aplicativos precisam ser recuperados
• Uma linha do tempo de atividade do usuário ou adversário precisa ser reconstruída a partir de metadados do sistema de arquivos
• Mecanismos de persistência de malware armazenados em disco precisam ser identificados e documentados

Não use para evidências voláteis (processos em execução, conexões de rede); use forense de memória com Volatility em vez disso.

Pré-requisitos

• Estação de trabalho forense com hardware ou software de bloqueio de gravação (Tableau T35u, Arsenal Image Mounter)
• Software de imagem forense: FTK Imager, Guymager ou dd com dcfldd
• Plataforma de análise: Autopsy, FTK (Forensic Toolkit) ou X-Ways Forensics
• Armazenamento suficiente (2-3x o tamanho do disco de destino para imagem mais cópias de trabalho)
• Formulários de cadeia de custódia e sacos de evidências para mídia física
• Ferramentas de verificação de hash para integridade da evidência (SHA-256)

Fluxo de Trabalho

Etapa 1: Proteger e Documentar a Evidência

Antes de tocar em qualquer mídia de armazenamento, estabeleça a cadeia de custódia:

• Fotografe o sistema, anotando números de série, etiquetas e conexões de cabos
• Documente a origem da evidência: tipo de dispositivo, marca, modelo, número de série, capacidade
• Preencha o formulário de cadeia de custódia com data, hora, nome do manipulador e motivo da aquisição
• Use um bloqueador de gravação de hardware ao conectar o disco de evidência à estação de trabalho forense

Chain of Custody Record:
━━━━━━━━━━━━━━━━━━━━━━━
Case ID:          INC-2025-1547
Evidence ID:      EVD-001
Description:      Samsung 870 EVO 500GB SSD
Serial Number:    S5XXNJ0R912345
Source Host:      WKSTN-042
Acquired By:      [Analyst Name]
Date/Time:        2025-11-15T16:30:00Z
Write Blocker:    Tableau T35u (S/N: T35U-12345)

Etapa 2: Criar uma Imagem Forense

Produza uma cópia bit a bit do disco de evidência:

Usando FTK Imager (Windows):

1. Conecte o disco de evidência através do bloqueador de gravação
2. Arquivo > Criar Imagem de Disco > Selecionar disco de origem
3. Escolha E01 (Formato Expert Witness) para compressão e metadados
4. Defina o caminho de destino e as informações do item de evidência
5. Habilite "Verificar imagens após serem criadas"
6. Registre os valores de hash de origem e imagem

Usando dcfldd (Linux):

# Create raw image with hash verification
dcfldd if=/dev/sdb of=/evidence/WKSTN-042.dd \
  hash=sha256 hashlog=/evidence/WKSTN-042.sha256 \
  bs=4096 conv=noerror,sync

# Verify image integrity
sha256sum /evidence/WKSTN-042.dd

Imaging Summary:
Source Drive:    /dev/sdb (Samsung 870 EVO 500GB)
Image File:     WKSTN-042.E01
Image Format:   E01 (Expert Witness)
Source Hash:     SHA-256: a1b2c3d4e5f6...
Image Hash:      SHA-256: a1b2c3d4e5f6...  (MATCH)
Sectors Read:    976,773,168
Errors:          0
Duration:        47 minutes

Etapa 3: Analisar a Estrutura do Sistema de Arquivos

Abra a imagem forense no Autopsy ou FTK e examine o sistema de arquivos:

• Identifique o layout da partição (MBR/GPT, partições NTFS/ext4/APFS)
• Examine a Master File Table (MFT) para NTFS ou tabelas de inode para ext4
• Identifique arquivos e diretórios excluídos (marcados como não alocados, mas ainda não sobrescritos)
• Recupere arquivos de espaço não alocado usando file carving
• Examine fluxos de dados alternativos (NTFS ADS) para dados ocultos

Principais Artefatos do Windows para Examinar:

User Activity:
- NTUSER.DAT (registry hive per user)
- UsrClass.dat (shellbags, file access history)
- Recent files: %AppData%\Microsoft\Windows\Recent\
- Jump lists: %AppData%\Microsoft\Windows\Recent\AutomaticDestinations\

Program Execution:
- Prefetch: C:\Windows\Prefetch\*.pf
- Amcache: C:\Windows\appcompat\Programs\Amcache.hve
- SRUM: C:\Windows\System32\SRU\SRUDB.dat
- ShimCache: SYSTEM registry hive

Persistence:
- Scheduled Tasks: C:\Windows\System32\Tasks\
- Startup folders: %AppData%\Microsoft\Windows\Start Menu\Programs\Startup\
- Services: SYSTEM registry hive

Network:
- WLAN profiles: C:\ProgramData\Microsoft\Wlansvc\Profiles\
- Browser history: Chrome, Firefox, Edge profile directories

Etapa 4: Reconstruir a Linha do Tempo

Construa uma linha do tempo abrangente da atividade do sistema de arquivos:

Usando o Módulo de Linha do Tempo do Autopsy:

1. Gere a linha do tempo a partir de todas as fontes disponíveis (MFT, logs de eventos, histórico do navegador, prefetch)
2. Filtre para o período de tempo da investigação
3. Identifique aglomerados de atividade que se correlacionam com o incidente

…