O Que É Investigação Forense

O básico antes de tudo

Investigação forense digital é a prática de preservar, analisar e documentar dados eletrônicos de forma que sobrevivam a escrutínio legal. Não é isso que os filmes mostram. Não tem tela preta com letras verdes caindo. É basicamente coleta metódica de artefatos digitais, documentação de cadeia de custódia e apresentação de achados que resistam a contrainterrogatório.

Muita gente confunde com simples recuperação de arquivos deletados. Isso é apenas uma fração minúscula do trabalho. A maior parte do tempo é gasta em normalização de hashes, análise de logs, reconstrução de linha do tempo e tradução de dados brutos em narrativa compreensível para um juiz ou tribunal. O que é investigação forense depende inteiramente do contexto. Uma perícia criminalística em disco rígido não se parece nada com análise forense de memória RAM, que por sua vez é completamente diferente de forense em nuvem ou dispositivos IoT. Cada cenário exige ferramentas, protocolos e conhecimentos distintos. O fluxo padrão que a maioria dos profissionais segue começa com a aquisição. Você cria uma imagem bit-a-bit do meio original usando um bloqueador de escrita hardware ou software. Depois calcula os hashes SHA-256 e MD5 para garantir integridade. Só então inicia a análise propriamente dita, em cópias, nunca no original.

O problema é que esse fluxo assume que você tem acesso físico ao dispositivo. E cada vez mais não tem. Dispositivos com criptografia completa de disco como FileVault no macOS ou BitLocker no Windows tornam essa abordagem ingênua. Sem a chave de descriptografia, sua imagem será apenas lixo cifrado.

Análise de memória: o que ninguém conta

A forense de memória volátil é drasticamente subestimada por iniciantes. Disco rígido pode ser limpo, formatado, substituído. Memória RAM mostra processos ativos, conexões de rede, chaves de criptografia em claro e artefatos que simplesmente não deixam rastro no disco. Malwares modernos usam técnicas de memory-only execution especificamente para escapar de análise disk-based. O Volatility Framework é a ferramenta padrão ouro para isso. Versão 3 suporta Windows, Linux e macOS. A desvantagem é a curva de aprendizado: sem perfis corretos e com strings mal geradas, você perde horas investigando ruído. Configure o perfil para a build exata do sistema alvo antes de rodar qualquer plugin. Um erro aqui pode fazer você interpretar um driver legítimo como código malicioso. No meu caso, tive um problema específico em 2023 com um servidor Windows 2019 que tinha sido comprometido. O atacante usava técnicas living-off-the-land com PowerShell ofuscado e nunca escrevia payload no disco. A análise disk-based não encontrou absolutamente nada relevante. A memória porém continha sessões ativas do processo de mineração que o atacante utilizava para exfiltrar credenciais via DNS tunneling. A solução foi fazer imageamento de memória com o FTK Imager em tempo real, antes de qualquer reinicialização, e então aplicar o módulo dns_exfil do Volatility com o perfil correto para a build 17763 do Windows Server 2019.

Cadeia de custódia: onde a maioria falha

Você pode ser tecnicamente impecável e perder o caso por causa de papelada. Cadeia de custódia é documentação contínua que registra quem manipulou a evidência, quando, onde e por quê. Qualquer lacuna nessa sequência permite que a defesa questiona a autenticidade de tudo o que você encontrou. O documento essencial é o formulário de cadeia de custódia com campos obrigatórios: data e hora de coleta, identificador único do equipamento, hash de verificação, nome completo e assinatura de cada pessoa que manuseou o evidência, e condição física do dispositivo em cada transferência. Sem isso, seu laudo técnico não tem validade probatória em muitos tribunais brasileiros. Dica prática: use números de sequência impressos em livros multidplicados com cópia carbonística. Caneta esferográfica azul para o original e preta para as cópias. Parece arcaico, mas juízes e peritos contestadores confiam mais em documentos físicos sequenciais do que em planilhas Excel ou sistemas digitais que podem ser alterados sem deixar rastro obvious.

Ferramentas que realmente funcionam

Autopsy é a melhor opção gratuita para análise disk-based. Interface gráfica, suporte a centenas de formatos de arquivo, plugins extensíveis. A desvantagem é que versões mais recentes têm tido problemas de estabilidade com imagens acima de 2 terabytes em máquinas com menos de 16GB de RAM. Use a versão 4.19 ou inferior para projetos grandes se possível. FTK Imager permanece indispensável para aquisição. Criar imagens E01 com verificação de hash integrada durante a aquisição economiza tempo significativo em comparação com dd puro. A licença gratuita cobre a maioria dos cenários de investigação criminalística. Versão profissional adiciona suporte a múltiplos volumes e criptografia de imagem, mas o custo é proibitivo para a maioria dos escritórios menores. Para análise de rede, o Wireshark é onipresente, mas poucos sabem que capturas de tráfego entre host e switch podem ser recuperadas de memória em certos cenários de comprometimento, mesmo após a exclusão dos arquivos de captura originais. O protocolo LLDP e alguns drivers de rede mantêm buffers na memória que contêm frames recentes.

Limitações reais que profissionais experientes conhecem

Forense digital não é infalível. Dispositivos modernos com TPM e criptografia integrada significam que uma máquina apagada pode ser literalmente ilegível sem as chaves apropriadas. Isso não é falha da ferramenta, é limitation inerente da tecnologia que você está investigando. Esteganografia e técnicas de anti-forense avançadas como timezone manipulation, slack space padding e fake delete podem desorientar analistas inexperientes. A técnica mais perigosa porém é a sobrescrita seletiva de MFT entries no NTFS. Isso destrói metadados críticos como timestamps de criação e acesso sem necessariamente apagar o conteúdo do arquivo em si. A reconstrução exige forensic carving em nível de setor, o que é computacionalmente intensivo e nem sempre produz resultados confiáveis. Tempo é outro fator limitante crítico. Uma investigação completa de um workstation corporativo médio com 1TB de dados leva tipicamente de 8 a 15 horas de análise ativa, sem contar aredação do laudo. Isso sem considerar a complexidade adicional de múltiplos dispositivos ou dados criptografados que exigem quebra prévia.

Quando a forense tradicional não basta

Cenários envolvendo cloud services, containers efêmeros e IoT devices exigem abordagens alternativas. Imagem de disco convencional não funciona quando os dados vivem em instâncias AWS que podem ser terminadas a qualquer momento, ou em roteadores smart home que não têm slot para SSD externo. Aforense em cloud requer cooperação com provedores e compliance com demandas legais específicas de jurisdição. A Lei Geral de Proteção de Dados (LGPD) também impõe restrições adicionais sobre como você pode manejar dados pessoais encontrados durante a investigação. Documentos coletados ilegalmente ou sem base legal adequada podem ser descartados pelo judiciário independentemente de seu valor probatório técnico. Containers Docker representam desafio particular porque camadas são sobrepostas e o filesystem final pode não refletir adequadamente a sequência de operações. Extrair uma camada específica e analisar seu diff com a camada inferior revela alterações que snapshots convencionais ocultariam.