Prova Computacao Forense

Prévia do material em texto

<p>Questão 1 respondeu errado</p><p>Os registros do sistema operacional Windows armazenam uma ampla variedade de</p><p>eventos e atividades que ocorrem em um computador, incluindo logins de usuários,</p><p>instalações de programas, tentativas de acesso não autorizado e muito mais. São</p><p>verdadeiras enciclopédias sobre o sistema. É importante entender a dinâmica dessa</p><p>técnica, pois os registros muitas vezes são extensos e complexos, requerendo ferramentas</p><p>especializadas para sua análise eficaz.</p><p>Embora os registros sejam fundamentais para investigações forenses, a análise manual</p><p>torna-se impraticável devido à quantidade e complexidade dos dados registrados.</p><p>Portanto, entender o papel das ferramentas, como o Event Viewer do Windows e o Reg</p><p>Ripper, é fundamental para alcançar resultados satisfatórios após os exames.</p><p>Com base nas informações apresentadas, avalie as seguintes asserções e a</p><p>relação proposta entre elas.</p><p>I. A análise de registros do Windows é uma técnica que dispensa o uso de ferramentas</p><p>especializadas, podendo ser realizada, manualmente,</p><p>PORQUE</p><p>II. Os registros armazenam uma enorme quantidade de dados sobre tudo o que ocorre no</p><p>sistema e no equipamento físico.</p><p>Agora assinale a a alternativa que melhor descreve a relação entre as asserções:</p><p>• As asserções I e II são proposições verdadeiras, mas a II não justifica a I.</p><p>• As asserções I e II são proposições verdadeiras e a II justifica a I.</p><p>• A asserção I é uma proposição verdadeira e a II, falsa.</p><p>• A asserção I é uma proposição falsa e a II, verdadeira.</p><p>• As asserções I e II são proposições falsas.</p><p>Sua resposta</p><p>As asserções I e II são proposições falsas.</p><p>A asserção I é falsa. A análise de registros do Windows é uma tarefa complexa, devido</p><p>à quantidade e complexidade dos dados armazenados. A sua realização manual é</p><p>impraticável e sujeita a erros. Existem ferramentas especializadas que são amplamente</p><p>utilizadas, muitas open source, e que proporcionam facilidade e eficiência na análise dos</p><p>registros. A asserção II é verdadeira. Os dados armazenados nos registros, quando</p><p>reunidos em um contexto, fornecem informações que farão os resultados alcançarem</p><p>maiores níveis de assertividade. Entre estes dados, encontramos programas instalados e</p><p>desinstalados, acessos não autorizados, mídias externas que foram conectadas e</p><p>desconectadas do equipamento, informações sobre os usuários, os horários em que o</p><p>dispositivo foi ligado e desligado, além de uma grande diversidade, pronta para a</p><p>atender a diferentes tipos de investigação.</p><p>Questão 2 respondeu errado</p><p>A análise da memória RAM acontece após a realização do dump, ou seja, da extração dos</p><p>dados que estão transitando no momento da captura. Para realizar essa análise de</p><p>maneira eficaz, os peritos em computação forense utilizam ferramentas especializadas,</p><p>que permitem a extração e a interpretação desses dados.</p><p>Ferramentas como o Volatility e o FTK Imager, são amplamente utilizadas para realizar</p><p>essa tarefa, permitindo aos investigadores, extraírem informações importantes, como</p><p>processos em execução, senhas temporariamente armazenadas, conexões de rede ativas</p><p>e muito mais.</p><p>A análise de memória RAM requer um contínuo estudo sobre os sistemas operacionais e</p><p>as estruturas de dados, pois a memória também contém os que possuem formatos não</p><p>convencionais.</p><p>Além disso, a análise de memória RAM pode ser um desafio, uma vez que os dados</p><p>voláteis são efêmeros e podem ser facilmente sobrescritos. Portanto, é essencial que os</p><p>investigadores ajam rapidamente para preservar a integridade dos dados na memória.</p><p>Observe as afirmativas apresentadas abaixo, sobre a análise da memória RAM</p><p>I. Senhas temporariamente armazenadas na memória.</p><p>II. Arquivos de registro de eventos do sistema.</p><p>III. Lista de programas instalados no sistema.</p><p>IV. Histórico de navegação na web.</p><p>V. Cópias de segurança de arquivos excluídos.</p><p>Considerando o contexto apresentado, é correto o que se afirma em:</p><p>• III e IV, apenas.</p><p>• I, III e IV, apenas.</p><p>• I e II, apenas.</p><p>• I, II e IV, apenas.</p><p>• I, IV e V, apenas.</p><p>Sua resposta</p><p>I, II e IV, apenas.</p><p>Afirmativa I. Correta. Senhas temporárias que um usuário inseriu, recentemente, podem</p><p>ser encontradas na memória RAM e são alvos comuns durante a análise forense para</p><p>acessar contas ou sistemas. Afirmativa II. Correta. Registros de eventos do sistema,</p><p>como logs de eventos do Windows, são frequentemente buscados, pois podem fornecer</p><p>informações importantes sobre atividades passadas no sistema, como logins,</p><p>desligamentos, e erros. Afirmativa III. Incorreta. A lista de programas instalados,</p><p>geralmente, não é armazenada na memória RAM. Essas informações são mais facilmente</p><p>obtidas por meio da análise dos registros de instalação do sistema operacional ou do</p><p>sistema de arquivos. Afirmativa IV. Incorreta. O histórico de navegação é, geralmente,</p><p>armazenado em arquivos temporários ou em disco, não na memória RAM. Para recuperar</p><p>o histórico de navegação, os peritos em computação forense geralmente recorrem à</p><p>análise dos dados armazenados em disco. Afirmativa V. Incorreta. As cópias de</p><p>segurança de arquivos excluídos não são, normalmente, encontradas na memória RAM.</p><p>Essas cópias podem ser recuperadas a partir de backups ou setores não alocados do</p><p>disco rígido.</p><p>Questão 3 correto</p><p>Uma Distribuição Linux Forense é uma caixa de ferramentas poderosa, especialmente</p><p>projetada e configurada para desempenhar um papel essencial na investigação de crimes</p><p>cibernéticos, violações de segurança de dados e outras questões legais que envolvam</p><p>evidências digitais. No contexto da análise forense digital, as distribuições Linux</p><p>forenses desempenham múltiplos papéis fundamentais.</p><p>Em primeiro lugar, elas oferecem um ambiente altamente controlado e seguro para a</p><p>coleta e preservação de evidências digitais. Isso garante que as provas não sejam</p><p>corrompidas ou alteradas durante o processo de análise. Além disso, essas distribuições</p><p>são equipadas para realizar análises detalhadas de mídias e arquivos. Isso inclui a</p><p>capacidade de recuperar arquivos excluídos, analisar sistemas de arquivos, além de</p><p>identificar atividades suspeitas. Através da análise de mídias, os profissionais podem</p><p>reconstruir a linha do tempo dos eventos, identificar pontos de entrada de invasão e</p><p>determinar a natureza de possíveis ameaças cibernéticas.</p><p>Outro papel fundamental é a identificação e extração de informações valiosas de</p><p>dispositivos de armazenamento, sistemas de arquivos e registros de atividades. Isso</p><p>ajuda a reunir provas sólidas que podem ser utilizadas em processos judiciais.</p><p>Em resumo, uma distribuição Linux forense é uma caixa de ferramentas que</p><p>desempenha um papel central na análise forense digital, fornecendo um ambiente seguro</p><p>para a coleta e a análise de evidências digitais. Ela é essencial para a busca da verdade</p><p>em investigações legais e é uma aliada valiosa para os profissionais comprometidos com</p><p>a resolução de crimes cibernéticos e a segurança da informação. Portanto, compreender</p><p>o papel das distribuições Linux forenses é fundamental para qualquer especialista em</p><p>análise forense digital.</p><p>Qual é o papel de uma Distribuição Linux Forense no contexto da análise forense digital?</p><p>• Realizar auditoria de sistemas em tempo real.</p><p>• Fornecer um ambiente controlado para jogos de computador.</p><p>• Ajudar a desenvolver software de código aberto.</p><p>• Facilitar a criação de sites na internet.</p><p>• Coletar, preservar e analisar evidências digitais, incluindo análise de mídias e de</p><p>arquivos.</p><p>Sua resposta</p><p>Coletar, preservar e analisar evidências digitais, incluindo análise de mídias e de arquivos.</p><p>Realizar auditoria de sistemas em tempo real. Incorreta. As Distribuições Linux Forenses</p><p>não são projetadas principalmente para a realização de auditorias em tempo real. Elas</p><p>são mais focadas na análise forense de evidências digitais. Fornecer um ambiente</p><p>controlado para jogos de computador. Incorreta.</p><p>As Distribuições Linux Forenses são</p><p>desenvolvidas com foco na análise forense, não em fornecer ambientes para</p><p>jogos. Ajudar a desenvolver software de código aberto. Incorreta. Embora as</p><p>Distribuições Linux Forenses possam ser baseadas em sistemas de código aberto, sua</p><p>finalidade principal é fornecer ferramentas e ambientes para análise forense digital, não</p><p>para o desenvolvimento de software em geral. Facilitar a criação de sites na internet.</p><p>Incorreta. As Distribuições Linux Forenses não são projetadas para facilitar a criação de</p><p>sites. Seu objetivo principal é oferecer recursos para análise forense digital. Coletar,</p><p>preservar e analisar evidências digitais, incluindo análise de mídias e de arquivos.</p><p>Correta. As Distribuições Linux Forenses são projetadas para coletar, preservar e analisar</p><p>evidências digitais em uma variedade de contextos. Elas incluem ferramentas específicas</p><p>para a análise de mídias (como discos rígidos) e análise de arquivos, facilitando o trabalho</p><p>de peritos forenses na obtenção de informações importantes em investigações.</p><p>Questão 4 correto</p><p>A pesquisa de strings permite aos investigadores, ligados à computação forense,</p><p>analisarem e identificarem sequências complexas de caracteres em documentos</p><p>eletrônicos, mensagens de e-mail, registros de sistema e outros tipos de arquivos. São</p><p>informações que vão enriquecendo, cada vez mais, o seu trabalho e o municiando com</p><p>material valioso, até chegar à conclusão, ou seja, ao resultado buscado, seja ele qual for,</p><p>mas em conformidade com a verdade.</p><p>Uma das ferramentas mais poderosas à disposição para a pesquisa de strings é a</p><p>utilização de expressões regulares, que consistem em padrões de busca que podem</p><p>refinar, ainda mais, as buscas por dados e artefatos relevantes.</p><p>Com base no que aprendeu sobre pesquisa de strings, avalie as seguintes asserções e a</p><p>relação proposta entre elas.</p><p>I. Na pesquisa de strings em computação forense, o uso de expressões regulares é uma</p><p>abordagem eficaz para identificar padrões complexos de texto em arquivos digitais.</p><p>PORQUE</p><p>II. Expressões regulares são fáceis de escrever e podem ser usadas em qualquer tipo de</p><p>arquivo digital independente do formato do arquivo.</p><p>A respeito dessas asserções, assinale a alternativa correta.</p><p>• As asserções I e II são proposições verdadeiras, mas a II não justifica a I.</p><p>• As asserções I e II são proposições verdadeiras e a II justifica a I.</p><p>• A asserção I é uma proposição verdadeira e a II, falsa.</p><p>• A asserção I é uma proposição falsa e a II, verdadeira.</p><p>• As asserções I e II são proposições falsas.</p><p>Sua resposta</p><p>As asserções I e II são proposições verdadeiras, mas a II não justifica a I.</p><p>A asserção I é verdadeira, pois destaca, corretamente, que as expressões regulares são</p><p>bastante eficazes durante a pesquisa de strings. Elas permitem identificar padrões</p><p>complexos de texto em arquivos digitais. A asserção II é verdadeira, mas não justifica a</p><p>asserção I, porque expressões regulares não são, necessariamente, fáceis de escrever, e</p><p>a eficácia delas pode variar dependendo do formato e da estrutura do arquivo digital.</p><p>Além de não ter sucesso garantido na aplicação de expressões regulares a qualquer tipo</p><p>de arquivo, já que alguns formatos podem não ser compatíveis com esse tipo de</p><p>pesquisa. Nunca esqueça, estudante, que embora as expressões regulares sejam uma</p><p>ferramenta poderosa, sua aplicação requer conhecimento técnico e consideração do</p><p>contexto no qual estão sendo utilizadas na computação forense.</p><p>Questão 5 correto</p><p>A análise de linha do tempo permite o rastreamento e a reconstrução dos eventos</p><p>ocorridos, relacionados, direta ou indiretamente, aos sistemas de computadores.</p><p>Promove auxílio para identificar invasões em sistemas corporativos, compreender as</p><p>atividades suspeitas de usuários em redes digitais e desvendar crimes cibernéticos.</p><p>A computação forense, na condição de disciplina em constante evolução, tem como pré-</p><p>requisito, a formação de conhecimentos sólidos sobre os princípios da investigação</p><p>digital, e buscar determinar a ordem cronológica correta dos eventos relacionados a um</p><p>sistema de computador, é um deles.</p><p>Ao analisar a linha do tempo de um sistema de computador em uma investigação de</p><p>crimes cibernéticos, existe uma grande chance de descobrir, rapidamente, como ocorreu</p><p>o incidente.</p><p>Considerando as informações apresentadas, analise as afirmativas a seguir:</p><p>I.A modificação de um arquivo crítico do sistema.</p><p>II. A última vez que um usuário acessou sua conta antes de desaparecer.</p><p>III. A instalação de uma ferramenta de remoção de malware.</p><p>IV. O registro de um erro de sistema durante a inicialização.</p><p>V. A criação de uma pasta oculta.</p><p>Agora, escolha a alternativa correta que representa a ordem cronológica correta dos</p><p>eventos:</p><p>• II, IV, III, I, V</p><p>• I, III, V, II, IV</p><p>• IV, III, II, V, I</p><p>• V, II, I, III, IV</p><p>• III, V, I, IV, II</p><p>Sua resposta</p><p>III, V, I, IV, II</p><p>Afirmativas II, IV, III, I, V. Incorreta. A ordem correta dos eventos é importante para a</p><p>análise de linha do tempo na computação forense. Começar com o último acesso de um</p><p>usuário (II) faz sentido, mas a sequência subsequente está errada. A modificação de um</p><p>arquivo crítico do sistema (I), provavelmente, ocorreria antes da instalação de uma</p><p>ferramenta de remoção de malware (III), pois a modificação do arquivo pode ter sido a</p><p>razão pela qual a ferramenta de remoção de malware foi necessária. Afirmativas I, III, V,</p><p>II, IV. Incorreta. Iniciar com a modificação de um arquivo crítico do sistema (I) faz sentido,</p><p>mas a colocação da instalação de uma ferramenta de remoção de malware (III) antes da</p><p>última vez que um usuário acessou sua conta (II) pode não ser lógica. Geralmente, a</p><p>detecção de malware leva a medidas de segurança, como o acesso de um usuário para</p><p>verificar atividades suspeitas. Além disso, a criação de uma pasta oculta (V)</p><p>provavelmente ocorreria depois da instalação da ferramenta de remoção de malware</p><p>(III). Afirmativas IV, III, II, V, I. Incorreta. Começar com o registro de um erro de sistema</p><p>durante a inicialização (IV) faz sentido, pois é um evento que geralmente ocorre no início</p><p>da análise. No entanto, colocar a instalação de uma ferramenta de remoção de malware</p><p>(III) antes da última vez que um usuário acessou sua conta (II) pode não ser lógico, já que</p><p>o acesso do usuário muitas vezes desencadeia a detecção de atividades suspeitas. Além</p><p>disso, a criação de uma pasta oculta (V) provavelmente ocorreria depois da instalação da</p><p>ferramenta de remoção de malware (III). Portanto, essa opção também não representa a</p><p>ordem cronológica correta. Afirmativas V, II, I, III, IV. Incorreta. Esta sequência está</p><p>incorreta. Começar com a criação de uma pasta oculta (V) pode não ser lógico, pois</p><p>geralmente acontece depois de eventos que levam à necessidade de ocultação de</p><p>arquivos. A última vez que um usuário acessou sua conta (II) é um evento que</p><p>normalmente ocorre antes da modificação de um arquivo crítico do sistema (I) e da</p><p>instalação de uma ferramenta de remoção de malware (III). Além disso, o registro de um</p><p>erro de sistema durante a inicialização (IV) pode ocorrer em qualquer momento da</p><p>análise, mas não tem uma relação direta com os eventos anteriores. Portanto, essa opção</p><p>também não representa a ordem cronológica correta. Afirmativas III, V, I, IV, II. Correta.</p><p>Esta sequência está correta. Começar com o início da análise (III) faz sentido, pois a</p><p>instalação da ferramenta de remoção de malware (III) provavelmente ocorreu após a</p><p>identificação de uma ameaça. A criação de uma pasta oculta (V) pode ser uma medida de</p><p>proteção após a instalação da ferramenta de remoção de malware. A modificação de um</p><p>arquivo crítico do sistema (I) pode ser uma ação maliciosa após a instalação da</p><p>ferramenta de remoção de malware. O registro de um erro de sistema durante a</p><p>inicialização (IV) pode ocorrer em qualquer momento, mas não tem relação direta com os</p><p>eventos anteriores.</p><p>A última vez que um usuário acessou sua conta (II) é um evento que</p><p>geralmente ocorre após a detecção de atividades suspeitas e ações de segurança.</p><p>Questão 6 correto</p><p>A análise de mídia tem como objetivo principal, recuperar evidências digitais vitais para</p><p>esclarecer crimes cibernéticos, fraudes e outras atividades ilícitas que envolvem o uso de</p><p>dispositivos de armazenamento digital. Envolve tanto o hardware quanto o software, mas</p><p>especificamente, pois a maioria das outras técnicas e ferramentas agem sobre arquivos</p><p>de despejo de memória e clones de armazenamento já realizados. É por este motivo,</p><p>inclusive, que se concentra na coleta, preservação, análise e apresentação das provas</p><p>eletrônicas.</p><p>O foco desta questão está na identificação e na recuperação de evidências digitais em</p><p>dispositivos de armazenamento, como discos rígidos, unidades USB e cartões de</p><p>memória e, até mesmo, em mídias ópticas, como CDs e DVDs...</p><p>Portanto, ao responder a esta questão, lembre-se de que a análise de mídia é uma etapa</p><p>essencial na busca por informações eletrônicas que podem ser críticas para a resolução</p><p>de casos e processos legais envolvendo crimes cibernéticos e atividades relacionadas à</p><p>computação.</p><p>Considerando o contexto apresentado assinale a alternativa que corresponde ao principal</p><p>objetivo da análise de mídia na computação forense</p><p>• Recuperar senhas de redes sociais.</p><p>• Restaurar arquivos excluídos acidentalmente.</p><p>• Identificar e recuperar evidências digitais em dispositivos de armazenamento.</p><p>• Rastrear a localização de dispositivos móveis perdidos.</p><p>• Avaliar a qualidade de imagem de fotos e vídeos</p><p>Sua resposta</p><p>Identificar e recuperar evidências digitais em dispositivos de armazenamento.</p><p>Identificar e recuperar evidências digitais em dispositivos de armazenamento. Correto. A</p><p>análise de mídia é uma das pedras angulares da computação forense e desempenha um</p><p>papel essencial na investigação de crimes cibernéticos e atividades ilegais relacionadas à</p><p>informática. Entre as evidências digitais estão arquivos, documentos, registros de</p><p>atividades, mensagens e outros tipos de dados armazenados em diversos</p><p>dispositivos. Recuperar senhas de redes sociais: Incorreto. Embora a recuperação de</p><p>senhas possa ser uma tarefa importante, em certos contextos de segurança, não é o</p><p>objetivo principal da análise de mídia na computação forense. Restaurar arquivos</p><p>excluídos acidentalmente. Incorreto. A recuperação de arquivos excluídos é uma função</p><p>da análise de mídia, mas não é o seu objetivo primário. Rastrear a localização de</p><p>dispositivos móveis perdidos. Incorreto. O rastreamento de dispositivos móveis perdidos</p><p>envolve técnicas diferentes, como o uso de GPS, e não é o objetivo central da análise de</p><p>mídia. Avaliar a qualidade de imagem de fotos e vídeos. Incorreto. A avaliação de</p><p>qualidade de imagem não é o foco principal da análise de mídia na computação forense;</p><p>o foco principal é a identificação e recuperação de evidências digitais.</p><p>Questão 7 correto</p><p>A análise de artefatos busca extrair informações não só incluídas nos registros dos</p><p>sistemas, mas transitando pela rede, na memória RAM e nas mídias de armazenamento.</p><p>São fundamentais para a coleta de evidências em casos criminais, envolvendo</p><p>tecnologia. Afinal, tudo o que procuramos e chamamos de evidência, está baseado nos</p><p>artefatos encontrados.</p><p>A capacidade de avaliar a veracidade das afirmações é algo que todo investigador forense</p><p>deve ter, uma vez que impacta, diretamente, na qualidade das evidências coletadas e na</p><p>direção da investigação, ajudando a evitar perda de tempo com vestígios ilusórios, que</p><p>são aqueles que parecem ter relevância e, até mesmo, vestígios que possam ter sido</p><p>colocados no local ou no sistema.</p><p>Considerando as informações apresentadas, analise as afirmativas a seguir:</p><p>I. Os artefatos não são considerados em uma investigação que estiver analisando os</p><p>registros do Windows.</p><p>II. A análise de artefatos de um HD só pode ser realizada após ser indexada pela</p><p>ferramenta Autopsy.</p><p>III. Artefatos encontrados nos registros podem conter uma relação de arquivos que foram</p><p>desinstalados.</p><p>IV. Os registros não conseguem fornecer artefatos que informem se houve a utilização de</p><p>alguma mídia de armazenamento externa.</p><p>V. Os artefatos, entendidos de maneira simples, são os vestígios que, após analisados e</p><p>examinados, podem se transformar em evidências.</p><p>Considerando o contexto apresentado, é correto o que se afirma em:</p><p>• II, III, IV e V apenas.</p><p>• I, III e IV, apenas.</p><p>• III e V, apenas.</p><p>• I e IV, apenas.</p><p>• II, III e IV, apenas</p><p>Sua resposta</p><p>III e V, apenas.</p><p>Afirmativa I. Incorreta. Os artefatos são considerados nas investigações, por serem,</p><p>justamente, procurados nas análises e nos exames dos registros e não algo à parte</p><p>deles. Afirmativa II. Incorreta. Indexar evidências é apenas uma das formas para a</p><p>realização de uma análise e de um exame. Inclusive, não são todos os artefatos que</p><p>possuem características que permitam serem indexados, mas para aqueles que devem</p><p>ser, existem outras ferramentas além do Autopsy para realizar esta função, como o IPED,</p><p>desenvolvido pelos peritos da Polícia Federal do Brasil. Afirmativa III. Correta. Os</p><p>registros fornecem informações detalhadas, não só dos programas que foram</p><p>desinstalados, como também dos que foram instalados, alterados, executados e</p><p>finalizados. Afirmativa IV. Incorreta. Os registros relacionam tudo o que acontece com o</p><p>sistema, mas também com o hardware, tanto que existe uma Hive específica. Quando um</p><p>pen drive, um HD ou SSD externos e cartões de memória são inseridos no equipamento, é</p><p>registrado, inclusive, quem os fabricou e os seus respectivos números de</p><p>série. Afirmativa V. Correta. Artefatos são, na verdade, tudo o que é procurado pelo</p><p>investigador e pelo perito em computação forense. Porém, apesar de ser aplicado tanto</p><p>para vestígio quanto para evidência, há uma diferença. Os vestígios são tudo o que</p><p>possuem potencial para se tornarem evidências que, posteriormente, levarão a indícios,</p><p>refinando cada vez mais o resultado até a conclusão da investigação e/ou da perícia.</p><p>Podemos entender que a evidência é um vestígio que, após analisado, foi considerado útil</p><p>para ser examinado, minunciosamente.</p><p>Questão 8 correto</p><p>Um dos elementos fundamentais para a computação forense e, principalmente, para a</p><p>perícia em dispositivos computacionais é a análise dos MAC times (Modified, Accessed,</p><p>and Created times) e compreender que são registros temporais, que indicam quando um</p><p>arquivo foi modificado, acessado e criado em um sistema de computador. Também</p><p>conhecidos tecnicamente como timestamps, participam da reconstrução da linha do</p><p>tempo dos eventos digitais, ajudando a estabelecer a sequência de ações ocorridas.</p><p>Ao explorar o conceito dos MAC times e sua relevância na computação forense, o</p><p>entendimento de como esses timestamps funcionam, e como podem ser interpretados,</p><p>aumenta e isto representa uma evolução que é essencial para qualquer profissional</p><p>envolvido com a computação forense e com as perícias desta área do conhecimento.</p><p>Os MACtimes são mais facilmente visualizados, através da análise dos metadados, mas</p><p>existem diversas maneiras de verificá-los com outras técnicas e ferramentas disponíveis e</p><p>que podem ser encontradas, facilmente, na Internet.</p><p>Assinale a alternativa que define de modo correto o que representam os MAC times para a</p><p>computação forense</p><p>• Marcadores temporais usados para sincronizar dispositivos móveis.</p><p>• Indicadores de malware em sistemas operacionais.</p><p>• Dados de localização de dispositivos em redes sem fio.</p><p>• Timestamps que registram modificações, acessos e criações de arquivos.</p><p>• Senhas de acesso a sistemas de segurança em rede.</p><p>Sua resposta</p><p>Timestamps que registram modificações, acessos e criações de arquivos.</p><p>Timestamps que registram modificações, acessos e criações de arquivos. Correto.</p><p>MACtimes são timestamps usados na computação</p><p>forense para registrar informações</p><p>temporais, relacionadas aos arquivos em um sistema de computador, quando são</p><p>criados, acessados e modificados. Muita atenção deve ser dada às diferenças entre os</p><p>fusos-horários, pois na hora de redigir um laudo, deve ser determinado o fuso que será</p><p>apresentado, conforme o objetivo da perícia, sendo que o do Brasil está 3 horas a menos</p><p>do que o horário universal. UTC = 0, enquanto no Brasil, o GMT de Brasília, nosso horário</p><p>oficial, é = -3. Portanto, preste bastante atenção em relação a este assunto. Marcadores</p><p>temporais usados para sincronizar dispositivos móveis. Incorreto. Esta alternativa não</p><p>está relacionada aos MAC times, mas sim a outros tipos de marcadores temporais</p><p>usados para sincronização de dispositivos móveis. Indicadores de malware em sistemas</p><p>operacionais. Incorreto. Isso não está relacionado aos MAC times, mas à detecção de</p><p>malware. Dados de localização de dispositivos em redes sem fio. Incorreto. Esta</p><p>alternativa se refere a dados de geolocalização, não a MAC times. Senhas de acesso a</p><p>sistemas de segurança em rede. Incorreto. Isso está relacionado à autenticação de</p><p>segurança, não aos MAC times.</p><p>Questão 9 correto</p><p>A análise da execução de programas envolve o rastreamento e a avaliação das atividades</p><p>dos programas e processos em um sistema, proporcionando informações vitais para a</p><p>reconstituição de eventos e a identificação de comportamentos maliciosos, como a</p><p>propagação de malware.</p><p>Compreender a relevância e a exatidão das informações neste campo é imprescindível</p><p>para os investigadores e peritos em computação forense, uma vez que influencia,</p><p>diretamente, a qualidade das evidências coletadas e a capacidade de elucidar incidentes</p><p>digitais complexos.</p><p>Agora, observe estas afirmações que estão relacionadas à análise de execução de</p><p>programas:</p><p>I. O registro de atividades de execução de programas, como os logs de execução de</p><p>processos, pode fornecer informações sobre programas iniciados e encerrados em um</p><p>sistema.</p><p>II. A análise de execução de programas é irrelevante em investigações de incidentes de</p><p>segurança, pois se concentra em atividades lícitas.</p><p>III. A análise da sequência de execução de programas é essencial para rastrear a</p><p>propagação de malware em um sistema.</p><p>IV. Registros de exceções de programas são irrelevantes para a investigação forense, pois</p><p>contém informações inúteis.</p><p>Considerando o contexto apresentado, é correto apenas o que se afirma em:</p><p>• I e III.</p><p>• II e III.</p><p>• I e IV.</p><p>• II e IV.</p><p>• I, II, III, IV.</p><p>Sua resposta</p><p>I e III.</p><p>Afirmativa I. Correta. O registro de atividades de execução de programas, como logs de</p><p>execução de processos, é uma fonte valiosa de informações para identificar programas</p><p>iniciados e encerrados em um sistema. Esses registros podem ser fundamentais para a</p><p>investigação forense. Afirmativa II. Incorreta. A análise de execução de programas é</p><p>relevante tanto para atividades lícitas quanto ilícitas. Identificar comportamentos</p><p>suspeitos e maliciosos é uma parte importante da investigação forense, tornando essa</p><p>afirmação incorreta. Afirmativa III. Correta. A análise da sequência de execução de</p><p>programas é essencial para, por exemplo, rastrear a propagação de malware e entender</p><p>como ele se espalha em um sistema. Isso é fundamental em investigações relacionadas a</p><p>incidentes de segurança digital. Afirmativa IV. Incorreta. Registros de exceções de</p><p>programas podem conter informações úteis para a investigação forense, porque podem</p><p>indicar problemas no sistema ou atividades anômalas...</p><p>Questão 10 correto</p><p>Perfis de usuário consistem em registros detalhados das ações realizadas por cada</p><p>usuário em um sistema, incluindo logins, acessos a arquivos, uso de aplicativos e outros</p><p>comportamentos relevantes. É o tipo de informação que auxilia muito as investigações</p><p>que têm como objetivo principal, elucidar crimes de fraudes, entre outros incidentes</p><p>relacionados à informática.</p><p>O conceito do perfil de um usuário é bastante básico e não há muito o que ponderar, pois</p><p>ele significa, exatamente isso: quem fez o quê ou, quem sabe, quem parece ter feito algo,</p><p>mas na verdade, pode ser, também, uma vítima em potencial e estar sendo envolvido em</p><p>algo sem nem ter consciência disso.</p><p>Com base nas informações apresentadas, avalie as seguintes asserções e a</p><p>relação proposta entre elas.</p><p>Em investigações de computação forense, um perfil de usuário refere-se a um registro</p><p>detalhado das atividades de um usuário em um sistema digital.</p><p>PORQUE</p><p>Os perfis de usuário são automaticamente gerados pelos sistemas operacionais e não</p><p>requerem configuração específica por parte dos investigadores forenses.</p><p>A respeito dessas asserções, assinale a alternativa correta</p><p>• As asserções I e II são proposições verdadeiras, mas a II não justifica a I.</p><p>• As asserções I e II são proposições verdadeiras e a II justifica a I.</p><p>• A asserção I é uma proposição verdadeira e a II, falsa.</p><p>• A asserção I é uma proposição falsa e a II, verdadeira.</p><p>• As asserções I e II são proposições falsas.</p><p>Sua resposta</p><p>A asserção I é uma proposição verdadeira e a II, falsa.</p><p>A asserção I é verdadeira, pois nas investigações de computação forense, um perfil de</p><p>usuário refere-se, de fato, a um registro detalhado das suas atividades no sistema. Esses</p><p>perfis são essenciais, porque indicam um norte a ser seguido, quando a autoria do delito</p><p>está sendo buscada. A asserção II é falsa, porque os perfis de usuário não são gerados,</p><p>automaticamente, pelos sistemas operacionais. Pelo contrário, são criados e</p><p>configurados por investigadores forenses usando ferramentas e técnicas específicas.</p><p>Essas ferramentas coletam e registram informações detalhadas sobre as atividades de</p><p>um usuário, permitindo que os analistas forenses examinem e interpretem esses dados</p><p>durante uma investigação. A memória RAM armazena, também, este tipo de dado que</p><p>pode ser visualizado através da ferramenta Volatility.</p>