Cibersegurança
Forense digital
O que aconteceu, por onde entraram e o que levaram.
Em que consiste este trabalho
Preservamos a evidência, reconstruímos a linha do tempo e dizemos o que de fato aconteceu, seja num aparelho apreendido, seja nos registros dos sistemas. Se o resultado pode parar em processo, a cadeia de custódia precisa estar intacta desde o primeiro toque. É por isso que a pior decisão diante de uma suspeita é o time de TI mexer antes de chamar alguém.
O que examinamos depende do caso. Em arquivos e registros, analisamos logs de acesso, de aplicação, de rede e de e-mail junto com os arquivos envolvidos, para apurar uso indevido, desvio de informação ou invasão. Em aparelhos e computadores, a cópia é feita bit a bit, o original fica preservado intacto e a custódia é documentada, para que a análise não seja contestada depois.
A profundidade acompanha o que está em jogo. A análise do que está visível resolve a maioria das apurações internas. Ir além, para artefatos de sistema, rastros de execução e correlação entre fontes, sustenta uma decisão disciplinar ou uma conversa com o regulador. O nível avançado recupera o que foi apagado, detecta tentativa de esconder rastro e produz o laudo pericial.
Precisamos do acesso ao material a examinar e da autorização formal de quem é dono dele. Você recebe a linha do tempo hora a hora e o relatório técnico; no exame de aparelhos, a cadeia de custódia documentada; e, no nível avançado, o laudo pericial assinado, no formato aceito em juízo.
Como conduzimos, etapa por etapa
As etapas e os entregáveis abaixo descrevem a modalidade Arquivos e registros de sistema · Intermediária. As outras modalidades aparecem quando você pede a proposta.
Preservação da evidência
Copiamos e lacramos antes de qualquer análise. O original fica intacto e a custódia é documentada desde o primeiro toque.
Análise
Reconstruímos o que aconteceu a partir dos rastros, cruzando fontes diferentes até a linha do tempo fechar.
Relatório
Consolidamos os achados num relatório em que cada item vem com gravidade, evidência e o caminho de correção. Escrevemos para ser lido por quem vai agir, e não para engordar página.
O que não está incluso
- Contenção do incidente em andamento, que é resposta a incidentes e vem antes
- Recuperação dos dados ou dos sistemas afetados, que é trabalho de restauração e não de perícia
- Recuperação de conteúdo apagado e detecção de anti-forense fora do nível avançado, que é o nível que produz esse resultado
- Representação em juízo: entregamos o laudo, a sustentação é da advocacia
- Conserto ou devolução do aparelho em funcionamento: trabalhamos sobre a cópia e preservamos o original como evidência
- Atribuição de autoria a uma pessoa quando o rastro não sustenta: dizemos o que o vestígio prova, não além dele
- Quebra de sigilo ou acesso a equipamento sem a autorização formal do dono
Costuma vir junto
Não é pacote e não muda o que você já escolheu. É o que costuma aparecer logo depois, na experiência de quem já passou por isso.