oi felipe sou boa noite todos vamos aí para mais uma aula tá eu já obtendo a vida digital e a gente fala sobre analisando na próxima aula tá então vamos focar primeiro ano 99 mesa digital quer fazer é que seguir na nossa agenda né nosso objetivo de fralda de hoje calma que faz a mãozinha de florença aí depois de obter não deve digitar o formato do arquivo da imagem diferença validação captura é memória volátil capturando a memória não vou lá você tá mas na próxima lá e fala sobre a nossa sobrevivência digital tudo bem então vamos lá para escutar falar com ele viu nos começa né e as aulas lá nas aulas semana 13 que aconteceu eu falo né então quando como porque ele 11 aí precisa analisar e responder essas perguntas no procedimento pericial deve ser respondida direito de aumentar ou autorizado pela chefia né se for um caso de resposta a incidentes de empresa tá então você tem que idade oi para o legal né torna sem efeito a gente precisa responder judicialmente né então você pode ser prejudicado a no empresa por exemplo a gente pode acidente caso alguém necessita incomodado com isso você não tiver amparado legalmente para isso tá então aos procedimentos tá então a coleta na primeira fase que aí eu tenho que isola a área comentou isso nas últimas horas na cara das evidências garantem integridade identificar equipament né quem vai aqui a responsável né pela seja feliz pode mitigação identificar tirar tirar fotografias né filmar e balé evidências tais que tais evidências que fazer aquele formulário cadeia de custódia tá depois tem a parte do exame identificar a extrair filtrar tá e aí documentar tudo também né todo quase tem que ser bem documentado tá aí aqui a gente vai pegar a coleta de evidências tá na hora de hoje é só que ia fazer um verificação rápida ali eu poderia ter uma fazia nada né que a gente ficar pessoas locais veículos confeccionados tá pessoas e eventos na reconstruir a cena ali que aconteceu eu comentar tudo também no final a gente tem que fazer né três resultados né que é uma das últimas aulas do nosso treinamento aqui olá tudo bem que a religião logo né o anexo as evidências e demais documentos também bom então vamos lá como é que faz obtendo uma vitor vai vir esse digital então abre a sua tarefa de investigador de computação forense obter mais a imagem da memória e dispositivos de computação tá então a memória ela pode ser tanto volátil quanto não vou laço tudo bem então a imagem referência quanto a gravidez digital se recuperada né e analisadas tá ok bom então a aquisição de imagem do disco rígido não é o outro ali de armazenamento com memória ram ele é muito casa quando de parceiro da investigação tá alguém te viu anteriormente sobre isso né então até que é conhecido como pedra análise e termina aqui diz para sinalizar deve ser clonado obstina em qualquer análises feitas nessa copa né a gente fez muito bem isso né se fazer a obra na imagem diferença só e forma a manter a bíblia analisada integrada tudo bem se não pode mexer na minha risada sempre na copa tá tá ok a imagem deve copiar todos os dados do disco e fui nas partes não utilizavam então eu tenho um dos formatos de imagem que ao que a gente vai falar agora tá são informativo de farmácia de arquivos de uma cópia também e é homem mais diferença ela pode ter diferente formato tá então o raul é uma cópia bit a bit dos dados brutos tá que não entre mais usado eu vou em vantagem disso né aquele ignora aí erro de leitura tá é rápido da diversidade formato facilmente montável ele vai ver como faz isso tá o sítio que eu mando malte do do linux ele já resolveu então é um formato facilmente não dava e depende depende de ferramentas específicas como eu falei então tem muitas formas disponíveis tanto para mim de comando né você ir uma interface control interface gráfica é uma disponível dele tallis tanto para aline que escuto para windows a saída do comando e de no link vai tá muito ruim eu também análise mawer e aí o e desvantagens né não permita compactação tá então quando eu tenho muitos dados isso é difícil mas comentou antes nessa questão da dificuldade ainda há problemas tecnológico a gente tem faltou tecnológica limitante que é se você tem um disco muito grande e aí a seu disco é pequeno para fazer análise objetiva se precisa de vários discos fazer o bicho de da espera né e aí aí rádio que que você precisa de precisa de pelo menos dez dias fiz dois tela com de de vai ficar você compartilhe tá eu vou conseguir dividir ele tá a só um minuto pessoal ó [Música] bom então ficou bem mas vamos lá voltando então formato de arquivo hall tá desvantagens da pm computação e tava falando né desativar o som muito grande então a gente consegue até dividir ele vai falar mas na frente sobre isso mas não consegue compactar com a caso seja compactado pergunta que tá completação na zip visitar eles não poderão ser montadas essa fala tão arregada que você descomplicado antes de serem montados e usados também então não é possível adicionar dados de investigação direta o arquivo a volta tá tem que criar um arquivo a parte é um transe informações relativas ao caso ou arquivo deve ser armazenadas a parte né em outros dispositivos outros arquivos sabe eu não não monto a facilmente se tiver dividida já que a gente comentou então parece mandar mais coisas gigas por exemplo dividir em 10 pedaços de 5 gb tá uns pedaço eles precisam ser concatenados antes de ir somente após isso pode ser montado então é por exemplo você tem um espaço com 50 gb aí você faz ao da imagem topo você não vai conseguir juntar com olá tudo tá para poder fazer a e para fazer a montagem dele tá tá tranquilo pessoal ficou clarissa então algumas separações são excessivamente lentas em função do tamanho tá então em outros formatos de arquivo na como é fiel advancia diferentes fontes pra ele é o país ouça o suporte a compactação até que dois algo de compactação zelibel lzm a e os arquivos podem ser divididos também tá então imagem pode ser protegida com senha e criptografada o atrás né e eu gostava mas que deu suporte ao uefi é mais uma se forem formas igual tops aí o sf mouse oex mouse ficar image tá eu já extensão fd para imagem e a extensão fm para os metadados daquela imagem bom então outro formado aqui viu é 01 é o formato proprietário da grade soccer quer desenvolvedora do em cases algum grande sobra para imagem forense para coleta para nós e floresta tá trabalho florestão em 15 inclusive eu tenho o nome do é só sabe me xingar são em crise tá então ele pode ser usado para armazenar diferentes tipos de evidência também é compadre tava pesquisar você pode ter os arquivos devido a então extensão normalmente se você dividir vai ter é 01 02 03 04 depende do tamanho também eu não tava a ligação e já falou sobre isso elas anterior já então pro validar precisa de fazer ao meio de um algoritmo resto aqui analisa integridade da informação então a maioria de forma diferente tempo atenção demais já gera isso automático mas caso não ele conseguiu no de de por exemplo a gente tem que fazer isso via mexe tá vou puxar você for do windows então a gente tem mostrado esse exemplo de realmente não bom então no baixar tem um gato firered get on fire red aí bota o o arquivo prefeito captura tá na casa de uma semana na imagem de uma memória e a gente fez fico o algoritmo tá md5 tudo bem e aqui embaixo é do shell na md5 só fechado assim começa olá tudo bem então hoje a bonito são iguais então captura de memória volátil não é o processo de capilaridade da memória rolado é conhecido como damping tá então vou fazer um wd mora hi como congelar não é o estado de memória e salvá-lo em um arquivo também então clone free delivery na memória ram só vou nossa em todos os lares que estavam alocados momento da então você faz o damp você coloca tudo lá é do jeito que tava tá então tá rodando o velho rei da glória tá rodando o chrome firefox se ele vai congela tudo ali para aqueles metade começando a candidatos todos lá e colocar dentro do dentro tá a gente consegue analisar é isso posteriormente entendeu e que que a gente pode encontrar dentro da memória ram tá gente ia comentar isso levemente anteriormente se que é chave de criptografia processo execução só que antes de rir e conexões abertas de rir né que serve aquela tabela de ele tá se o thales está no wade processo em o final terminando fechar a conexão tcp tá é um arquivo nsi. dll descarregado aí para cada processo registros utilizados para cada processo moda do que no sistema operacional mapeamento endereço físico e virtual roteiro descriptografada e coluna se tem uma uma reza por exemplo é a ele cripta é possível que a chave de seja dentro da memória ram tá então é por isso que é aconselhável desligar a máquina do serviço e sofre um ataque de regência por exemplo então você alguns lava desligar o ela diz plugar o cabo de rede né para quem não possa se propagar e vocês ficaram mais tá ligado ali esperando para uma análise tá e aí põe lá o arquivo o pen drive fazer a cópia da memória ram tá então quando escrito grafada e também falou sobre o lixo lá no caso de discos eu desligo e deixa que eu tô gravando se não consegue pegar as imagens tá então um arquivo teste de imagem pode estar lá da memória ram blog da navegação na web sem ele encontra internet o que cavalo de tróia e faraós bailes mal nesse ismar sem arquivos começou a crescer muito nos últimos anos já então é uma hora que ele não é instalar no seu e o seu hd né não está no seu sistema tá ele a fica na memória ram tá faz o download aqui eu estou na memória e você nem percebe no móvel mexe nada nos seus arquivos tá seu disco oi e aí se eu ainda estiver bloqueado você fazer essa coleta né como é que ocorre você fez tema de uma palestra é isso eu acho que eu acho que esse romero feliciano e não tinha falar tinha total que sai que táxi de joão pessoa então existe equipamento né que é não é para te fazer mais antigos mas existe hoje se fosse uma tatuagem para isso né que é o capítulo guarda guetta para acessar e aqui a gente tem um videozinho e eu quero te guarde game you on a xp vista e windows 7 tá então sem senha e sem precisar resultar tá então no xp e vai lá fora cartãozinho ele chamado dna direct mesmas então ele vai direto na memória lá pega sua senha e aplica tá então já libera o windows vista e o senha no cartão e aí e aí acessa lá ó e quem windows serve a mesma coisa tá o rober versão do windows ele vai lá já que lembranças dna60 memória pegar aquela informação e faz login tá oi e aí que quiser comprar aí os contatos tá windows desculpe e aí oi e aí toda ferramenta né ela vai deixar algum racha quando você em relação a memória ram tá então depois a gente fala do máximo de cuidado que deve ser quando for fazer uma colega né quando se for chegar na nossa quente você tá ligado então quanto menos intrusivo você for melhor porque vai deixar nem rastro nada coisa que você mexeu e para trabalhar investigação outra coisa que toda modificação é tudo que você fizer deve estar registrado tá então você deve documentar todo o processo e fiz a minha calça utilizou que horas chegou para que aquela alterações que você fez ali não entre na parte da nasa vamos assim dizer também então as modificações que ocorrem anualmente quando você é esperta o pendrive por exemplo né com usb para fazer análise então vai modificar seu registro a entrada de memória e pode levar para caridade unidade de disco então você vai botar lá para utilizar os seus falsos para fazer a captura da memória tá e algumas só faz conhecido de quem tem ah tá você não consegue essa por esse link tá ele tentando pelo menos 32 64 n64 você faz um pequeno cadastro lá ela vai para o projeto então você consegue fazer o download do dá para ele bate aqui você grava é isso não no seu pen drive e leva para local chega ao local você dá dois cliques da porque pontas x era aqui em cima a ele vai perguntar qual é a memória né já da manhã veio perguntar ele vai mostrar aqui cobra agora do seu rosto e nem me a data tá o horário e poder mp aí eu compro também você confirma aí já vai começar a capturar tudo também da memória daquele pc tranquilo tô bem de boa aí então assim da captura ver a dois arquivos é o ponto de mp é o controle da memória ram e o ponto de ison com só informações técnicas sobre a memória tá aqui já vai estar aqui a tipo de arquitetura o nome da máquina a o tamanho máximo da memória fixa joseney versão do sistema operacional também então eles só vão tá x aí o pen drive né e que tem a passar o suficiente para saudável e completa da memória se você tá lá precisa fazer da memória e eu te diga né então você vai lá com o pen drive no mínimo 16 gb por que deseja que é o milho mas não tem um pedaço de 10 gigas né 9gb então você vai acontecer diga a seu arquivo lá ele é pequena que eu não lembro tamanho mas é coisa de carro é o mega os megas assim então você chega lá com o dan pedir acesso aí já avisou para o seu a seu pendrive aí você pode colocar os pen drive posso beijar posso mas tipo assim você vai tá modificando adicione mais um dispositivo tá tão interessante que você ponha ao seu pendrive lá que tem o espaço de centro memória tá se for um a um servidor aí vai complicar né você tem um servidor ele 124 gb de ram aí pegou nessa vai dizer difícil você vai ter um pendrive com essa capacidade agora né então é possível também mas a aí você mais outra maneira né tá bem vindo ao produzir precisar não tem jeito antes de colocar o dispositivo a outra ferramenta é a da belkasoft tá tchau capsule hard a lilian tá é a capa dos autos e também faz o download tem que fazer um pequeno cadastro sei lá também é você vai lá baixa o seu mel casal sullivan capturar então aqui ainda dois cliques não precisar também ele vai a perguntando você quer salvar tá então ele vai pegar na memória ram é que a memória ram 512 tá bem de boas que laboratório então vai lá você vai lá captura e começa a salvar quando termina ele vai como um meio ponto falho tá esse dll aqui desk são alçam para ele poder rodar o recaptura tá então eu mandei rodar esse precisa desses arquivos também da mesma forma você coloca ele tem uma pasta no pendrive e sabem outra ferramenta de cabelo de hum os ficar ninja tá ele é gratuito também você faz o cadastro no site da receita então depois faz o cadastro de limão dá um link para download está então você consegue a montar imagem somente leitura obrigação do conteúdo é mais forense importação dos arquivos parte a imagem cabelo e registro recuperação de arquivos excluídos para fazer a coleta de ele é bem simples já abri o problema não é que se deita é fiz e cair ninja você vem aqui nesse símbolo clica aqui já vai coletar que tá perguntando onde é que você quer fazer o download do ponto mesmo tá aqui tem que ir depois de fora né que são arquivo de paginação tá do windows que construção suave né comprar documentos tudo bem e aqui farmácia e criar o formato a deu e aí oi e aí eu tenho 1 m também na online ainda com os mesmos inspector quer para fazer um modo kernel do linux carregavam na que permite você adquirir aqui a obter a memória enrolada em um único só o dispositivo em bases adelino então eu tenho aqui ela vai ver quando ele esta tá aqui ou lá em emoji pode ser tem uma do inss muda né win certo modo certo modo bota o modo ponto caoa que anda a alarme 44021 o perfume eu quero salvar eu formato que eu quero salvar tá acabou o mouse aqui então foi uma buscar essa vao. do de curral né que a gente viu então você falar ele executa cd daí eu botei lá atrás ele é barba ter desculpa o atraso atrasa ls está aqui menos traz 36 4.
6 né aqui os 64 quanto mesmo tá então execute o md5 só para validar bela bem sempre a então capitania de imagem não vô lado né tem uma memória não-volátil tá começar a principal parte da investigação geral tinha falado sobre isso porque aqui eu não consigo carregar o meu qualidade de sócio é vital meus pdf onde vai tá hoje pdf infectado né vai tal os arquivos as planilhas de sonegação fiscal o photoshop que fez a classificação tá do documento e aí é aqui é onde você normalmente que se concentra a maioria dos dados a indexação tá ou de defesa então se deve se proteger deve se proteger o desrespeito com a gravação então vamos fazer a captura mas aí comentou sobre isso anteriormente eu tenho rádio específico para isso que deus sofre e chamas operário específicos para que quando você monte né o pode ser plug né esse cabo depois da fazer a com a duplicação né de duplicação policial você não monte isso tá bom negócio é muda você altera ele leva no mac time então quando você faz a duplicação e eu plugo de companhia plugo o e o hd externo por exemplo né hd externo dentro da minha marca se for ruim você vai mudar logo de cara se você tiver um preparação antes tá e com o caio deve se não acontece isso tá e o se você também então aquisição de mais de disco rígido né o outro amigo armazenamento era muita ponto de partida da investigação tá então eu tenho alguns tipos tá de captura de imagem como a física é conhecida como a imagem de fluxo de ibititá tem uma cópia do disco rígido acertou acertou então eu tenho mercado sistema aqueles excluídos fragmentos aquilo excluído então ele pega o óleo é ver que tem ali dentro e falou sobre o zac zac space naquele espaço ali entre um juiz lote né a gente falou lembra que falou sobre isso é o meu leque space avisa o grave ali então os ativo estão alocados né então você escolher alguma coisa o seu chama de aqui mina louca algum documento ali né algum arquivo a grande tá então ao tipo fiz ele é uma cópia exata então eu descobri eu copio é todo fluxo evite também é preciso a boca de gravação quando tem problema e nesse nessa captura mais difícil que eu tenho dois tipos ainda não se o fluxo de bile de disco para arquivo da imagem então os dados armazenados em um arquivo de imagem então aguenta mais usado tá então permita cópia exata da unidade de origem entendeu flexibility the disco para disco eu coloco os discos para copiar entre sim tá então desculpa algumas ferramentas fiquei consegue ajustar geometer unidade de disco rígido nova para atividades campeonato ficar exatamente no mesmo local também para nós estava na hora de suspeita então ela tem aquele gravadores de errado pois descolar eles fazem essa cópia também e aí e lá a acabou de imagem não vou lá tipo lógico agora eu tenho que ficar preso conjunto será finalidades ativos tá apenas que a gente pode ver ali que tá disponível é um espaço não alocado não são capturados tá então é como você pegasse a dá soco do espaço senão usados não são comprados também então é só aquele consegue veio aquelas partes de vitória estão aqui tá então 500 diga a diga baixo no disco do suspeito ele pode tirar a imagem apenas 6 gigas por exemplo tá porque eu só tenho 16 giga utilizado ali também então em outro economizado suspeita muito grande as histórias e diz que raiva tô aqui num coletto né espaço não alocado está a memória do tipo espaço né semelhante a captura lógica a captura somente a captura somente aqueles especificados colocado investigado mas no caso da captura espaço eu consigo capturar dados excluídos de fragmentos obtidos tá então eu escolhi uma região assim dali do lixo e aí você fazer essa captura tá então é o método usado para o estado que a gente chama raiva ou quando um espelho não sabe usar a técnica antes florença avançada e com ferramenta efeito fazer capítulo imagem não-volátil de memória não-volátil é a que você cai meio já estão bem tal em 15x way florêncio de de cfd cfld de tal então aqui eu tenho um específico gravador tá é um forex hdd smart lock duplicator e recomenda-se usar o bloqueador de freitas agradeço a serem criados semana srr1000 da fast memory tá chovendo aqui no brasil mercadolivre você encontra lá na ufrr sem das sete memory então para fazer cabelo mais eu vou lá tem que fazer um passo a passo aqui tá deve ter cá imagina se fosse um reproduzir aí quando precisar então tem o que falar eu criei diz que meio é você tem um tipo aqui você quer escolher a que comentou rapidamente na e comentou antes então eu tenho face ele vai ser isso que eu fiz não é mais usada capilar todo aquele risco logical drive é uma pasta específica tá uma passam loja a o que você só passam longe que tá fazer o cara sobre mora lá em vez de falha um arquivo demais porque eu tô naquele mais ou tentados fundo é né que é o tipo de coleta lógica excesso uma pasta como origem tá e o fênix ele vai se resolver mais diferença de várias origens então você vai lá é de escolheu altamente não física o driver é que eu vou escolher qual o seu disco tá que ele dá para o gado tudo bem e agora é a gente coisa aqui a imagem sou se tá e se você quiser adicionar o destino tá quando você vai adicionar então em vez deste nation eu vou salvar onde você hd externa falar aí pergunta qual o formato que você deseja né o hall é mais de vida ver que ele conversou nessa compressão o esmalte foi sobre os momentos paralímpicos a inicialmente paralímpicos que adquiri pela empresa permite fazer cópia florença comprimido ou não comprimida né e sempre demais não é mais utilizado pois eu tenho é 1001 tá que a gente falou né brinquedo é fazer mais forense forma gente tá então escolher o tempo real até aqui o e 01 e o ff olá tudo bem então a gente aqui depois ele passa essa fase escolhe o hall ele aonde qual é o número do caso você pode escolher aqui a o número de evidência também que você coletou lá se deixa uma descrição única que você queria colocar aí o nome de examinador e que se ela tava fazer alguma alguma no notebook bom então eu tenho que estar na página destino né no final do quero só vai aqui que eu salvo hd externo tá bem escolha o tamanho caso queira fragmentar aí vamos pra que vai estar em espaço de 1. 500 mega a ordem cristã você quiser usar quitação para o pré ficar tá então with i made a free artrite né isso aqui ele vai verificar e fazer o desculpa o o resto né já verificar o resto esse de fato porque a forma correta tá então que tem imagens ou se abre mais de deste nicho né que ele vai salvar o tempo real e verify e-mail ao ser day trade quem e aí guardar banda pai falou que ia guardar finalizar a criação da imagem tá ah depende do tamanho pode ser um pouco mais rápido com um pouco mais lento ok então vamos aqui a captar imagens de dados à venda nova com o dedo de deus data do pleito tá é mais o padrão hall pode ter disponível para linux windows mac e bsd android é o limite nativa em todas as partes principais distribuições para o esteja lá do coração home. net e faz logo tá então até a lista partições de exu ori gem of the shirt afetou a copa da origem do iis groff destino tá bom então um dispositivo de armazenamento humilha na hd a quando faço o dispositivo as partes são porque eu posso fazer a cópia do disco completo ou a cópia somente em uma partição tá mãe falou ali neve pegar então a participação no disco opção tabela interna que liga com o disposição dividindo as partições falou sobre isso nas aulas passaram se fosse obg rg pt né então você nem sempre agradáveis possui apresentação mais é possível que no pendrive aí tem a partição a dividida na verdade tem a será dividido eu tenho passe só que não seja linda inclusive para o windows né se eu tiver um mestre 2 achei quatro e não fazendo ele somente com ntfs os fatos lá atrás tá então bichos porém o momento eu passar informações a melhor armazenamento de arquivos é uma imagem de partição é uma imagem referência de uma partição apenas né tá então imagem de desconto em todas as funções do bispo mais a tabela de partições tá eu por exemplo se temos um hd tá ou 3 portas a máquina colinas carregar esse hd como dispositivo device é o hd a por exemplo teria como diz possível barra deve barra h a gente tem partições tem um barra deve barra hda1 barra deve barra hd hero2 ou hd 3d poder cuidar de partições que tem aquele disco tá eu posso fazer como estou explicando aqui eu passo aí tanta a obtenção né a coleta aqui deu disco inteiro tá quanto me parte sonho daquele bicho tá ok esse é um exemplo de aplicação dispositivos até o the the if barra deve da sdc isso aqui é o que dispositivo inteiro eu tô coletando todas as partições aqui dentro lá e aí eu boto aqui no destino é o igual a deita traz o ponto mg ponto hall ia sempre de duplicação de parte sonora de the e ficou a deve barrar sdd1 então eu escolhi não passam de específico também e vou salvar a barra deita tá assim mg.
ao 2. ao tá ok beleza só dúvidas escreve aí então captura de imagem de dados não vou lá te com dcfldd então o dcfldd ele possui um blog de toda a operação tá e faz a divisão de imagem é um bebê avançado dele e customizados de de gourmet está na bola e aí ele permite verificar ele também tem que verdade das operações através de vários arquivos de resto por exemplo que eu dcfldd e a origem é igual é que tem uma resto hoje é um hash md5 hash sha-256 qual a janela do resto é a cada um giga bom então eu tenho um versículo logo eu vou salvar esse resto md5 ele tava o resto 256 deve ter-se arquivo parece que vai acontecer a gente começou a ser depois que eu faço a divisão eu vou fazendo isso tá é que combinou eu né não é não para cada caso encontre o erro tá assistindo é desculpa assim que tá então vai por aqui é sim que se encontra erro preenche com 10 tá é o tamanho máximo de cada arquivo né vou explicar 1 giga é a cada um giga né eu vou fazer a divisão eu vou fazer um resto e vou arrumar nada que dizer sempre as inconsistências ter o chá pronto já deixei para poder descer ta o espírito de forma até o ar então quando eu fizer a imagem de emails de tá aqui embaixo aí mes. de de o meu nome aqui ó fiz em vez de com o dedo então tem mês de conceder ponto a a beijo com de de.
