Slide sobre IA

Prévia do material em texto

FORENSE 
COMPUTACIONAL
OBJETIVOS DE APRENDIZAGEM
 > Descrever a metodologia para realizar os exames em mídias de armaze-
namento.
 > Explicar as ferramentas utilizadas para realizar os procedimentos de exames.
 > Reconhecer os pontos críticos dos procedimentos.
Introdução
Grande parte dos nossos dados é coletada e tratada de forma digital em mídias 
de armazenamento, desde lembretes de lista de compras até artigos acadêmicos. 
Os dados são quantificados e caracterizados por conteúdos que por si só não 
agregam valor ou trazem algum conhecimento e que, após tratados, são trans-
formados em informação. A facilidade para a troca desses dados aliada à grande 
massa de equipamentos geradores de dados, como smartphones e câmeras 
digitais, tornam os dados digitais mais acessíveis. No entanto, corre-se o risco 
de perder esses dados e, para reverter isso, utilizam-se técnicas de recuperação 
de dados em mídias de armazenamento.
Neste capítulo, você vai estudar as metodologias e ferramentas utilizadas 
para efetuar uma análise em mídias de armazenamento, conhecendo as formas 
de identificar essas mídias e os pontos críticos encontrados durante as análises.
Análise em mídias 
de armazenamento
Thaís Bison
Exames forenses em mídias de 
armazenamento
Mídias de armazenamento são dispositivos capazes de armazenar informa-
ções (dados) para consulta ou uso posterior. Esse registro de dados pode ser 
feito usando virtualmente qualquer forma de energia, desde a força manual 
humana, como a escrita, passando por vibrações acústicas em gravações 
fonográficas, até a modulação de energia eletromagnética em fitas magné-
ticas e discos ópticos. 
Dispositivos que processam informações (equipamentos de armazena-
mento de dados) podem acessar mídia de gravação portátil ou podem ter um 
componente permanente que armazena e recupera dados. Esse armazena-
mento eletrônico de dados requer energia elétrica tanto para armazená-los 
quanto para recuperá-los. A maioria das mídias de armazenamento é consi-
derada de armazenamento permanente (não volátil), o que significa que os 
dados permanecem armazenados quando a energia elétrica é removida do 
dispositivo. Em relação à durabilidade de métodos, a impressão em papel é 
ainda superior a muitas mídias eletrônicas. No entanto, as limitações relacio-
nadas à durabilidade podem ser superadas usando o método de duplicação 
eletrônica de dados, comumente chamado de backup.
Segundo a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709, de 
14 de agosto de 2018), dado pessoal é a “[…] informação relacionada à 
pessoa natural identificada ou identificável” (BRASIL, 2018, documento on-line). 
Já dado sensível é o:
[…] dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, 
filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado 
referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado 
a uma pessoa natural (BRASIL, 2018, documento on-line).
Tipos de dispositivos de armazenamento
Confira a seguir os tipos de dispositivos de armazenamento.
 � Magnético: são os mais antigos e amplamente usados hoje, permitindo 
armazenar grandes quantidades de dados em um pequeno espaço 
físico, a exemplo dos discos rígidos (HDs). 
Análise em mídias de armazenamento2
 � Meios ópticos: são os mais utilizados para armazenamento de informa-
ção multimídia, como filmes e músicas, mas também para informações 
e programas. Como exemplos, temos CD-ROMs, CD-RWs, DVD-ROMs e 
DVD-RWs. A leitura das informações numa mídia óptica é feita por meio 
de um feixe de laser de alta precisão projetado na superfície da mídia.
 � Eletrônico: são os mais recentes e que oferecem mais perspectivas 
para a evolução do desempenho na tarefa de armazenamento de 
informação. Essa tecnologia também é conhecida como memórias de 
estado sólido ou SSDs (Solid State Drives), pois não têm partes móveis, 
apenas circuitos eletrônicos que não precisam se mover para ler ou 
gravar informações. Como exemplos, temos pen drives e cartões de 
memória para câmeras digitais, além de discos rígidos, que têm certa 
quantidade desse tipo de memória funcionando como buffer (região 
de memória temporária utilizada para gravação e leitura de dados). 
O registro das informações ocorre com materiais utilizados na fabri-
cação dos chips.
Em relação ao tempo de acesso, os dispositivos de armazenamento ele-
trônico ganham vantagem, porque o seu tempo de acesso é muito menor do 
que o tempo dos dispositivos magnéticos, pois não contêm peças móveis. 
No entanto, o principal ponto negativo do eletrônico é o custo muito alto, 
pois ainda são encontrados com pequenas capacidades de armazenamento 
e custo muito alto em comparação aos magnéticos.
Estratégia de análise
Ao iniciarmos uma análise em mídia de armazenamento, devemos planejar 
a estratégia de análise, definindo o algoritmo da perícia. Nunca implemente 
antes de planejar, pois sem um planejamento é muito fácil se perder ou 
levar mais tempo do que o necessário. As ferramentas forenses são meros 
recursos para executar a análise planejada, que pode ser uma tarefa feita 
em conjunto com outros examinadores, sempre definindo uma estratégia 
única para o mesmo caso. Além disso, como os HDs armazenam centenas de 
milhares de informações, é importante ter consciência que ler e interpretar 
tudo é impossível. Por isso, deve-se delimitar bem o escopo de análise e 
reduzir o universo de dados, começando pelo mais simples e mais rápido.
Análise em mídias de armazenamento 3
A análise é como o desenrolar de um novelo: inicialmente, deve-se achar 
um fio solto e, depois, ir puxando até o completo desenrolar do novelo. 
É necessário buscar primeiro as evidências nos locais mais óbvios e, a partir 
da interpretação dessas evidências, seguir para onde elas direcionarem. 
Muitos usuários guardam seus arquivos na pasta Meus Documentos ou no 
Desktop e não empreendem grandes esforços no sentido de apagar seus 
rastros. Por isso, pode-se começar a análise por essas pastas e pela lista de 
arquivos recentes. É uma boa forma de conhecer o usuário e suas preferências 
de arquivos e pastas.
Macroprocesso em análise de mídias
Após o recebimento do material para análise, deve-se checar e registrar o 
material questionado, criando um documento formal de encaminhamento 
do material para a perícia. A integridade dos lacres deve ser conferida, e o 
material deve ser identificado com código de rastreamento único. Além disso, 
é preciso registrar eventuais inconsistências por escrito.
Na fase de coleta de dados, o foco é a identificação de possíveis fontes 
de dados, como computadores, notebooks, pendrives, CDs, DVDs, dispositivos 
de armazenamento em rede, máquinas fotográficas, etc. (SAMPAIO, 2007), 
embora locais fora dos domínios físicos da cena investigada também sejam 
averiguados (NEUKAMP, 2014). Durante todo o processo, independentemente 
do tipo de armazenamento digital de dados, há a preocupação em garantir a 
integridade do conteúdo desses materiais, desde a aquisição dos dados até 
a conclusão do caso. Para isso, é comum a utilização da função hash, que 
gera uma sequência de caracteres hexadecimal de tamanho fixo a partir de 
uma entrada de conteúdo de tamanho variável. As funções hash são consi-
deradas unidirecionais, pois não é possível obter o valor original a partir do 
valor resultado da conversão. Segundo Eleutério e Machado (2011, p. 128-129):
[…] como o tamanho da sequência de bits gerada é limitado, muitas vezes, não 
passando de 512 bits, existem colisões (valores hash iguais para informações ori-
ginais diferentes), uma vez que a variedade de informação de entrada é ilimitada. 
Assim, quanto maior a dificuldade de se encontrar colisões, melhor é o algoritmo. 
Os algoritmos de hash mais usados atualmente são: o MD5 (128 bits), o SHA-1 (160 
bits), o SHA-256 (256 bits) e o SHA-512 (512 bits).
Análise em mídias de armazenamento4
Outra etapa é a cadeia de custódia, que deve ser seguida durantetodo o 
processo e, dependendo da etapa em questão, atitudes diferentes deverão 
ser tomadas. Inicialmente, durante a coleta dos dados, devem ser tomados 
cuidados físicos, principalmente com materiais apreendidos. Durante a etapa 
de análise, o cuidado maior deve ser em não alterar logicamente nenhum 
dado armazenado nos dispositivos coletados. 
A cadeia de custódia é uma das principais obrigações dos peritos e deve 
ser sempre garantida por eles. Ela documenta todo o processo aplicado à ma-
nipulação das evidências, visando a garantir sua autenticidade. A idoneidade 
e proteção da prova devem ser sempre asseguradas, a fim de evitar futuros 
questionamentos quanto à integridade dos equipamentos, correndo o risco 
de anular totalmente o laudo dos peritos. Por isso, é necessário sempre fazer 
declaração, inspeção visual e descrição do material questionado (registro 
fotográfico), determinando características individuais.
A retirada das mídias de armazenamento computacional do material 
questionado deve ser considerada diante do procedimento a ser utilizado 
para geração da imagem forense, tendo sempre registradas sua identificação 
e sua descrição. Confira os passos a seguir.
 � Gere uma imagem forense das mídias de armazenamento computacional 
do material questionado.
 � Para a recolocação das mídias de armazenamento computacional no 
material questionado, refaça a lacração desse material e guarde em 
depósito apropriado.
 � Verifique e prepare o sistema de análise, configurando a ferramenta fo-
rense de análise de mídia e determinando as configurações necessárias 
de processamento (caso em análise, tipo de exame, tempo disponível).
Feitos esses passos, pode-se dar início ao processamento das mídias 
de armazenamento computacional do material questionado e à análise do 
conteúdo das mídias de armazenamento computacional processadas. Depois, 
é gerado o relatório digital e confeccionado o laudo pericial, normalmente 
a partir de modelos predefinidos. A entrega do laudo pericial deve ser feita 
com o material questionado de maneira formal, mediante recibos (cadeia 
de custódia) e finalizando com a apresentação do laudo pericial, seja ao 
requisitante dos exames, seja em audiência judicial. O laudo pericial deve 
ser de fácil interpretação e ter as seguintes seções: finalidade da investi-
gação, autor do laudo, resumo do incidente, relação de evidências analisa-
das e seus detalhes, conclusão, anexos e glossário. Deve constar, também, 
Análise em mídias de armazenamento 5
a metodologia, as técnicas, os softwares e equipamentos empregados. Com 
essas informações redigidas, torna-se mais clara a reprodução das fases da 
investigação (SAMPAIO, 2007).
Não se deve fazer a cópia lógica dos dados, ou seja, o conteúdo 
visível pelo usuário e o sistema operacional. Uma cópia desse tipo 
não permitiria ao perito analisar áreas do disco onde houvesse vestígios de 
arquivos inacessíveis pelo sistema operacional, como os arquivos excluídos ou 
o log da partição de disco.
Ferramentas e métodos utilizados 
na análise
A plataforma principal de análise a ser usada deve ter tipicamente as funcio-
nalidades de interpretação dos sistemas de arquivos da mídia, recuperação 
de arquivos apagados, categorização de arquivos (análise por assinatura), 
filtragem por metadados, cálculo de hash e identificação por HashSets, busca 
de palavras-chave (opção de indexação e RegEx), criação de bookmarks 
(marcadores ou tags) e geração de relatórios. Confira alguns exemplos das 
ferramentas usadas.
Para análise de mídias:
 � IPED;
 � Autopsy;
 � Opentext EnCase Forensic;
 � AccessData FTK;
 � Magnet AXIOM;
 � Belkasoft Evidence Center.
Para virtualização:
 � Oracle VM VirtualBox;
 � Windows Forensic Environment LiveCD;
 � Windows Change Password/Registry Editor/Boot CD.
Análise em mídias de armazenamento6
Para aquisição e montagem de imagem forense:
 � FTK Imager.
Para análise do Windows Registry:
 � AccessData Registry Viewer;
 � Registry Explorer.
Para análise de Thumbcache:
 � Thumbcache Viewer.
Para análise de histórico de navegação:
 � Browsing History View;
 � Mozilla History View;
 � Mozilla Cache View;
 � My Last Search;
 � Password Fox.
Espelhamento de mídia
O espelhamento de mídia é a cópia exata do conteúdo de um dispositivo 
computacional de armazenamento de dados em outro dispositivo similar. 
É, portanto, o espelho do estado real do dispositivo de armazenamento 
computacional, também conhecido como clonagem. A cópia é feita bit a bit 
para um dispositivo de armazenamento de destino.
Para efetuar um espelhamento, devem ser seguidos os seguintes 
procedimentos:
 � criar um hash do dispositivo a ser espelhado;
 � fazer uma cópia exata da mídia (incluindo erros e arquivos apagados);
 � criar o hash do clone/mídia espelho;
 � provar que é uma cópia exata comparando os hashes calculados 
(MD5, SHA1, SHA256).
Análise em mídias de armazenamento 7
Sempre que necessário, os dados devem ser adquiridos utilizando a ca-
mada mais baixa possível. Existem os dois métodos de trabalho a seguir 
para o espelhamento.
1. Aquisição estática: o espelhamento de disco é realizado com o sistema 
desligado. Costuma ser o método padrão de trabalho. Não altera dados 
e é repetível.
2. Aquisição livre: a cópia de dados é realizada com o sistema ligado. 
Atualmente, é desejado o método de criptografia de disco. Não é re-
petível (altera dados). É feito o espelhamento da memória.
Por sua vez, os métodos para aquisição de dados pelo espelhamento são 
os seguintes:
1. fluxo de dados (bit stream) disco a disco;
2. fluxo de dados disco a arquivo de imagem;
3. lógico (logical);
4. áreas não alocadas (sparse).
Bloqueadores de escrita
Os bloqueadores de escrita são tecnologias que monitoram os comandos 
enviados ao disco rígido, impedindo que dados sejam escritos na mídia. Não 
permitem que a mídia seja montada com permissões de escrita, somente com 
comandos read-only. Confira a seguir exemplos de bloqueadores de escrita 
via hardware e, na Figura 1, um modelo.
 � Tableau T3458is Forensic SATA/SCSI/IDE/USB Combo Bridge.
 � Tableau T35es-R2 Forensic eSATA/IDE Bridge.
 � UltraBlock Firewire.
Análise em mídias de armazenamento8
Figura 1. Modelo de bloqueador de escrita.
Fonte: Aranha (2015, documento on-line). 
Imagem de disco
A imagem de disco consiste em duplicar as informações de um dispositivo 
de armazenamento (de forma semelhante ao espelhamento), mas o destino 
de gravação dessas informações é um arquivo e não o disco inteiro. Confira 
a seguir as vantagens que essa técnica, de modo geral, apresenta em relação 
à técnica de espelhamento.
 � Possibilidade de copiar todo o dispositivo de armazenamento interno 
ou apenas uma partição.
 � O dispositivo de destino pode ser utilizado para armazenar as infor-
mações de mais de um dispositivo de origem, otimizando o uso.
 � Possibilidade de compactar o conteúdo do arquivo de imagem, com 
a ressalva de atentar aos métodos de compactação utilizados, para 
que não alterem as informações dos dados originais.
Data Carving
Para recuperar arquivos apagados, o método mais utilizado é a busca baseada 
em assinaturas de arquivos. É uma técnica utilizada para recuperação de 
arquivos excluídos por meio da assinatura do tipo de arquivo. Quando um 
arquivo é excluído, apenas o seu índice é removido; os seus dados persistem 
gravados no disco até que estes sejam sobrescritos. É utilizada quando não 
é possível identificar ou extrair um dado da mídia por vias normais. Muitas 
vezes, isso ocorre porque o sistema de arquivos não tem mais a identificação 
dos setores que pertencem ao arquivo ou dado.
Análise em mídias de armazenamento 9
Cada tipo de arquivo tem uma assinatura hexadecimal que o define. 
Assim, os diversos softwares podem lê-los e interpretá-los. Para isso, o início 
do arquivo, local onde reside a assinatura dele, ainda deve estar presente. 
Além disso, a assinatura não pode ser tão comum a ponto de aparecer em 
muitos outros arquivos, o que criariafalsos positivos. Por fim, o arquivo 
identificado deve estar gravado de forma contínua e não fragmentada no 
disco (DICKERMAN, 2006).
Sleuthkit
O Sleuthkit é um framework de ferramentas voltadas à análise forense com-
putacional. Nele, somente entram ferramentas Open Source. O Sleuthkit inclui 
as seguintes ferramentas: BLKCAT, BLKLS, BLKSTAT, BLKCALC, DISK_STAT, FFIND, 
FLS, DISK_SRESET, FSSTAT, HFIND, ICAT, IFIND, ILS, IMG_CAT, IMG_STAT, ISTAT, 
JCAT, JLS, MMLS, MMSTAT, MACTIME, MMCAT, SIGFIND e Sorter.
Autopsy
A Autopsy é considerada a principal ferramenta com interface gráfica que 
utiliza o TSK (disponível para o mundo), tornando os comandos do TSK bas-
tante simples de usar, de forma transparente, amigável e intuitiva. Permite 
análise com visualizadores integrados. Permite categorizar por tipo, data e 
tamanho, mostra os principais eventos ocorridos no dispositivo em linha do 
tempo, contém filtro de hash, busca por palavras-chaves e expressões regu-
lares (indexação), separa arquivos de interesse em categorias (bookmarks) 
e gera de relatórios.
No entanto, devem ser tomadas algumas das precauções. Se o computa-
dor não estiver ligado, não se deve ligá-lo e, caso esteja ligado, não se deve 
desligá-lo. Essas ações alterariam as datas de último acesso, modificação e 
criação de alguns arquivos. Além disso, não se pode conectar os dispositivos 
USB apreendidos sem que a escrita seja bloqueada neles. A rede não pode 
estar conectada a nenhum dos dispositivos apreendidos. Por fim, é necessário 
utilizar técnicas que envolvam cópias fiéis das possíveis evidências para a 
realização das análises.
Análise em mídias de armazenamento10
Pontos críticos durante a análise
Durante todo o processo de análise em mídias de armazenamento, desde a 
etapa de recolhimento dos equipamentos para exames até a fase de análise 
dos dados encontrados, alguns desafios podem atrapalhar ou impossibilitar 
a apuração dos fatos. Quando impostos explicitamente pelos usuários, são 
conhecidos pelo termo “antiforense”. Consistem em métodos de remoção, 
ocultação ou subversão de evidências com o objetivo de mitigar os resultados 
de uma análise forense computacional.
Segundo Harris (2006), existem métodos antiforense que têm por objetivo 
eliminar, ocultar ou modificar as evidências existentes em um sistema, dificul-
tando o trabalho dos peritos. Para dificultar na recuperação de informações, 
os invasores usam materiais para eliminar os dados, para que não restem 
suspeitas, como:
[…] ferramentas (conhecidas como wiping tools) para remoção dos dados, tais como: 
wipe, secure-delete, pgp wipe e The Defiler's Toolkit. Essa categoria de ferramentas 
emprega uma variedade de técnicas para sobrescrever o conteúdo dos arquivos, 
por exemplo, gravar dados de forma randômica e sobrepor o conteúdo dos arquivos 
com bytes nulos. Essas ferramentas também alteram o inode dos arquivos o que 
torna a tarefa de recuperação dos arquivos ainda muito complexa, embora seja 
possível (PEREIRA et al., 2007, p. 31).
Podemos citar como exemplos desse tipo de prática a criptografia, a exis-
tência de senhas e o uso do wipe e da esteganografia. Além dessas complica-
ções, existem outras que surgem de acordo com o avanço da tecnologia, como 
o aumento da quantidade de arquivos. Por último, há os entraves impostos 
pela falta ou deficiência de legislação que apoiem e sirvam de sustentação 
para o trabalho das autoridades investigativas, dos peritos e dos juízes. Sem 
uma regulamentação que tipifique todas as transgressões cometidas no meio 
virtual e um acordo de colaboração mundial, criminosos ficam impunes e 
vítimas não têm o seu dano reparado. A capacidade de armazenamento de 
dados dos dispositivos atuais vem crescendo vertiginosamente. Em alguns 
casos, dispositivos com capacidade inferior a 100 GB podem ter mais de um 
milhão de arquivos. Manipular e encontrar as evidências desejadas nessa 
quantidade exorbitante de dados é um desafio e tanto.
A aplicação de filtros como RDS e a procura por palavras-chave ajudam 
a minimizar esse trabalho. Entretanto, é praticamente inviável analisar in-
dividualmente todos os arquivos contidos nas mídias de hoje em dia. Dessa 
forma, para a realização de exames com maior rapidez, é fundamental ter 
conhecimento da investigação, sabendo exatamente o que deverá ser procu-
Análise em mídias de armazenamento 11
rado. Os quesitos da solicitação de elaboração do laudo devem ser específicos 
e claros, evitando-se indagações genéricas. Portanto, é fundamental que a 
autoridade solicitante tenha um escopo bem delineado sobre o que perguntar. 
Durante a realização de exames, é comum se deparar com arquivos e 
programas protegidos por senha, que podem ocultar possíveis evidências. 
Assim, é necessário o conhecimento de técnicas para transpor essa barreira. 
Há algumas ferramentas que permitem a criação de um domínio de checa-
gem, definindo o número mínimo e máximo de caracteres e a utilização de 
letras maiúsculas, minúsculas, números, caracteres especiais e máscaras. 
O uso desses parâmetros é importante para tentar minimizar o número de 
combinações a serem testadas.
Criptografia, que em grego significa “escrita escondida”, é uma técnica 
utilizada para escrever em códigos. Com o uso de algoritmos matemáticos, 
transforma a informação em sua forma original e legível para um texto incom-
preensível, procurando garantir a privacidade do dado original. É importante 
sempre buscar por programas instalados no equipamento analisado que 
executem essa tarefa, pois, dessa maneira, pode ser possível determinar o 
algoritmo utilizado ou manipular o próprio software para decodificar o con-
teúdo do arquivo e/ou sistema. É fundamental ter conhecimentos avançados 
sobre esse assunto, a fim de descobrir possíveis códigos criptografados no 
dispositivo examinado e buscar por ferramentas capazes de recuperar a 
informação original.
Já a esteganografia, que em grego significa “escrita encoberta”, é o estudo 
e uso de técnicas para fazer com que uma forma escrita seja disfarçada 
em outra a fim de mascarar o seu verdadeiro sentido. A principal diferença 
entre a criptografia e a esteganografia está em seus propósitos: enquanto a 
primeira tenta codificar o conteúdo, a segunda tenta camuflar a existência 
de uma mensagem dentro de outra. Durante a análise dos dados contidos em 
um disco rígido, é fácil para o perito caracterizar a existência de informações 
criptografadas. Após isso, acaba tendo toda a sua atenção e esforço focados 
para decodificá-las; afinal, os usuários não se preocupariam em proteger o 
conteúdo de arquivos irrelevantes. A mensagem pode estar escondida dentro 
de arquivos considerados comuns para o uso convencional do computador, 
como documentos, imagens, vídeos, etc. (FISZMAN, 2015). 
Essa técnica tem sido muito utilizada por empresas para proteger arqui-
vos próprios que têm direitos autorais. Quando reveladas, podem provar 
e demonstrar que a propriedade intelectual de determinado arquivo lhe 
Análise em mídias de armazenamento12
pertence. Esse tipo de aplicação é conhecido como marca d’água digital. Além 
disso, números seriais podem ser inseridos em mídias de fácil reprodução 
no meio digital, como vídeos e músicas. Assim, caso uma mesma cópia seja 
distribuída de forma indiscriminada e ilegalmente, é possível identificar a 
origem do vazamento. Esse tipo de técnica é comumente conhecido como 
impressão digital. 
Existem atualmente várias outras técnicas de esteganografia mais simples 
ou mais complexas do que as apresentadas aqui, o que acaba dificultando 
o trabalho do perito. Caso não descubra o tipo utilizado para ocultar a men-
sagem, uma alternativa é verificar se há softwares específicos instalados 
no dispositivo examinado, pois, desse modo, pode ser possível determinar 
a técnica praticada ou usar o próprio software para descobrir o conteúdo 
do arquivo.
Referências
ARANHA, O. Queira o Sr. Perito detalhar o procedimento de cópia forense. [S. l.]: Queira 
o Sr. Perito, 2015.Disponível em: https://qperito.wordpress.com/2015/08/05/queira-o-
-sr-perito-detalhar-o-procedimento-tecnico-para-realizacao-de-uma-copia-forense/. 
Acesso em: 22 jul. 2021.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais 
(LGPD). Brasília, DF: Presidência da República, 2018. Disponível em: http://www.planalto.
gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 6 jul. 2021.
DICKERMAN, D. Advanced data carving. IRS Criminal Investigation - Electronic Crimes 
Program, 2006.
ELEUTÉRIO, P. M. S.; MACHADO, M. P. Desvendando a computação forense. São Paulo: 
Novatec, 2011. 
FISZMAN, G. O que é esteganografia? [S. l.]: Techtudo, 2015. Disponível em: https://
www.techtudo.com.br/noticias/noticia/2015/07/o-que-e-esteganografia.html. Acesso 
em: 26 jun. 2021.
HARRIS, R. Arriving at an anti-forensics consensus: examining how to define and control 
the anti-forensics problem. Digital Investigation, v. 35, p. 544-549, 2006. Disponível em: 
https://www.academia.edu/687738/Arriving_at_an_anti-forensics_consensus_Exami-
ning_how_to_define_and_control_the_anti-forensics_problem. Acesso em: 22 jul. 2021. 
NEUKAMP, P. A. Minicurso forense digital. [S. l.]: FDTK, 2014. Disponível em: http://fdtk.
com.br/wp-content/uploads/2014/10/Minicurso-Forense-Digital-2014.pdf. Acesso 
em: 26 jun. 2021.
PEREIRA, E. D. V. et al. Forense computacional: fundamentos, tecnologias e desafios 
atuais. In: SIMPÓSIO BRASILEIRO EM SEGURANÇA DA INFORMAÇÃO E DE SISTEMAS 
COMPUTACIONAIS, 7., 2007, Rio de Janeiro. Anais [...]. Rio de Janeiro: Faperj, 2007.
SAMPAIO, C. Forense computacional. In: SEGURANÇA COMPUTACIONAL, 3., 2007, Recife. 
Anais [...]. Recife: [s. n.], 2007. p. 12-24.
Análise em mídias de armazenamento 13
Os links para sites da web fornecidos neste capítulo foram todos 
testados, e seu funcionamento foi comprovado no momento da 
publicação do material. No entanto, a rede é extremamente dinâmica; suas 
páginas estão constantemente mudando de local e conteúdo. Assim, os editores 
declaram não ter qualquer responsabilidade sobre qualidade, precisão ou 
integralidade das informações referidas em tais links.
Análise em mídias de armazenamento14