ronutz

Os Papéis · Quem defende

Analista forense digital

Escrito a partir de fontes publicadas

O analista que reconstrói o que aconteceu a partir do que restou. Onde o respondedor decide o próximo passo, a perícia estabelece o que já ocorreu — de imagens de disco, memória, registros e captura — e a diferença entre observação e inferência precisa sobreviver a alguém contestando as duas.

Como é o dia

  • Adquirir evidência de um jeito que a preserve, o que decide tudo o que vem depois.
  • Montar uma linha do tempo (timeline): o que executou, o que foi escrito, o que foi enviado, e em que ordem.
  • Recuperar o que alguém tentou remover, que é frequentemente onde a intenção fica visível.
  • Separar o que a evidência mostra do que ela sugere, e escrever as duas coisas de formas diferentes.
  • Documentar a manipulação continuamente, para que um achado siga admissível além de verdadeiro.

Pelo que responde

  • A integridade da evidência a partir da aquisição, e o registro que a comprova.
  • Achados que decorram dos artefatos, com a inferência declarada como inferência.
  • Uma linha do tempo que outro perito consiga reproduzir a partir do mesmo material.

Como é medido

  • Casos concluídos, e achados que sobrevivem à revisão.
  • Tempo até uma resposta defensável, já que a investigação corre ao lado de um negócio esperando para voltar.
  • Relatórios aceitos por quem os pediu, inclusive fora da organização.

De quem recebe

A resposta a incidentes
Escopo, prioridade, e os sistemas que se acredita estarem envolvidos.
Os times de infraestrutura
Imagens, logs e acesso às máquinas que ainda guardam evidência.
O jurídico
O padrão que o trabalho tem de atender — definido antes da aquisição, não depois.

A quem serve

A resposta a incidentes
O que de fato aconteceu — o que delimita a contenção.
Jurídico, regulatório e seguros
Achados que ficam de pé sob o exame de gente paga para testá-los.
Engenharia e operações
A fraqueza específica que foi usada — que é a que vale consertar.

Quem mais tem interesse

  • As pessoas cuja atividade aparece na evidência, e cujos interesses merecem cuidado.
  • Tribunais, reguladores e seguradoras, para quem o registro de manipulação é parte do achado.
  • A organização, cujo relato do incidente se apoia neste trabalho.

O que exige

  • Método mantido sob pressão, já que os atalhos disponíveis no começo destroem as opções disponíveis depois.
  • Profundidade em sistemas de arquivos, memória, sistemas operacionais e logs de rede.
  • Escrita que distinga observação de inferência em cada frase que precise disso.
  • Discrição, porque o material inclui rotineiramente coisas alheias à investigação.

Do que o trabalho depende

A primeira hora decide o caso. Uma aquisição feita na ordem certa preserva a evidência volátil que responde às perguntas interessantes; a mesma hora gasta em restaurar o serviço primeiro deixa a investigação trabalhando com o que sobrou por sorte. As equipes forenses conquistam sua posição antes do incidente, na conversa em que se combina quem decide essa ordem — e essa conversa raramente acontece durante.

As fontes publicadas

Para onde leva

O trabalho em si

A Prática cobre como este trabalho é feito — triagem, escalação, evidência, passagem de bastão — em todo o corpus.

Ler A Prática