Forense digital: preservando evidências e investigando incidentes

Depois que um incidente de segurança é contido, uma nova fase começa, e ela responde a perguntas que a resposta imediata não consegue: o que exatamente o atacante fez, por onde entrou, o que acessou, o que levou e desde quando estava dentro. Responder a isso com rigor é o trabalho da forense digital, a disciplina de coletar, preservar e analisar evidências digitais de forma que elas revelem a verdade dos fatos e, quando necessário, resistam a contestação legal.

É importante separar dois papéis que costumam ser confundidos. A resposta a incidentes é o plano de ação que contém o ataque e restaura a operação, com foco em velocidade. A forense digital vem depois, ou em paralelo, com foco em verdade e evidência: entender profundamente o que aconteceu e preservar as provas. As duas se complementam, mas têm objetivos diferentes, e confundi-las leva a um erro caríssimo: destruir evidência valiosa durante a pressa da recuperação. Este guia trata especificamente da forense, da preservação à decisão de acionar peritos e autoridades.

O primeiro erro: contaminar a cena

Em uma investigação forense, o momento mais crítico é o primeiro. Assim como em uma cena de crime física, as primeiras ações determinam se a evidência sobreviverá ou será destruída. E é justamente aqui que a pressa da resposta a incidentes entra em conflito com a forense.

O instinto natural, ao descobrir uma máquina comprometida, é reiniciá-la, rodar um antivírus, apagar o que parece malicioso ou simplesmente desligá-la. Todas essas ações podem destruir evidência irrecuperável. Reiniciar apaga a memória volátil (RAM), que pode conter chaves, processos maliciosos em execução e conexões ativas. Desligar de forma abrupta ou "limpar" a máquina elimina rastros do que o atacante fez. A regra de ouro da forense é: preserve antes de agir. Se há chance de investigação, a coleta da evidência vem antes da remediação.

Preservação: a ordem da volatilidade

A preservação forense segue um princípio técnico chamado ordem de volatilidade: alguns dados desaparecem mais rápido que outros, então se coletam primeiro os mais efêmeros. A hierarquia, do mais volátil ao mais durável:

• Memória (RAM) e estado do sistema: processos em execução, conexões de rede, sessões abertas. Some ao desligar. É a evidência mais rica e mais frágil.
• Dados temporários e de rede: caches, tabelas de conexão, informações de sessão.
• Disco: arquivos, logs locais, artefatos deixados pelo atacante. Mais durável, mas ainda alterável.
• Backups e logs remotos: os mais estáveis, guardados fora da máquina.

A técnica central da preservação é a imagem forense: uma cópia bit a bit exata do disco (ou da memória), não uma simples cópia de arquivos. A imagem captura tudo, inclusive espaço "apagado" e áreas que uma cópia normal ignora. Duas regras a acompanham:

• Trabalhe sobre a cópia, nunca sobre o original. A análise é feita na imagem; o original é preservado intacto. Ferramentas de write blocker garantem que o disco original não seja alterado durante a cópia.
• Prove a integridade com hash. Ao criar a imagem, gera-se um hash criptográfico dela. Comparar o hash depois prova que a evidência não foi modificada desde a coleta.

Cadeia de custódia: a evidência que se sustenta

Uma evidência tecnicamente perfeita perde valor se não for possível provar que ela não foi adulterada entre a coleta e o uso. Esse é o papel da cadeia de custódia: a documentação contínua de quem coletou a evidência, quando, como foi armazenada, e quem teve acesso a ela em cada momento, sem interrupções.

Manter a cadeia de custódia exige rigor documental:

• Registro de coleta: o que foi coletado, de onde, por quem e quando.
• Integridade demonstrável: os hashes que provam que a imagem é idêntica à origem e permanece inalterada.
• Controle de acesso à evidência: cada pessoa que manuseou a evidência fica registrada, e o material é guardado de forma segura e restrita.
• Timestamps confiáveis: relógios sincronizados, para que a linha do tempo seja coerente e defensável.

Sem cadeia de custódia, a evidência pode ser questionada e perder valor probatório em um processo. Com ela, a investigação produz uma narrativa que se sustenta sob escrutínio técnico e legal.

Análise: reconstruindo a linha do tempo

Com a evidência preservada, começa a análise, e o seu produto mais valioso é a linha do tempo (timeline) do incidente. Reconstruir a sequência de eventos responde às perguntas que importam ao negócio e à defesa futura:

• Acesso inicial: por onde e quando o atacante entrou.
• O que ele fez: quais sistemas acessou, quais comandos executou, o que instalou.
• Movimentação: como se espalhou pelo ambiente.
• Impacto: quais dados foram acessados ou exfiltrados, o que é crucial para avaliar obrigações de notificação.
• Persistência: o que ele deixou para trás, que precisa ser removido para o atacante não voltar.

A matéria-prima dessa reconstrução são os artefatos: logs de sistema e de aplicação, registros de autenticação, metadados de arquivos, artefatos de memória e as trilhas de auditoria. É aqui que uma boa trilha de auditoria, construída antes do incidente, faz toda a diferença: ela é a fonte que permite reconstruir a história com precisão. Sem registros, a investigação vira especulação.

Fase forense	Objetivo	Cuidado central
Preservação	Salvar a evidência	Não contaminar; ordem de volatilidade
Imagem	Cópia fiel para análise	Bit a bit, write blocker, hash
Cadeia de custódia	Manter validade da prova	Documentar acesso e integridade
Análise de timeline	Entender o que aconteceu	Correlacionar artefatos e logs

Quando acionar perícia especializada e as autoridades

Nem toda organização tem, nem precisa ter, capacidade forense interna. Saber quando pedir ajuda é parte da maturidade. Vale acionar perícia especializada quando o incidente é grave ou complexo, quando há chance de desdobramento legal, quando faltam a ferramenta ou a experiência para preservar e analisar corretamente, ou quando a imparcialidade de um terceiro é importante. Tentar investigar sozinho um caso sério, sem método, costuma resultar em evidência contaminada e conclusões frágeis.

Quanto às autoridades, o acionamento depende do caso. Incidentes que envolvem crime (extorsão por ransomware, fraude, roubo de dados) podem justificar registro policial. E, quando há dados pessoais envolvidos, a LGPD pode exigir a notificação à ANPD e aos titulares afetados, o que torna a forense também um insumo de conformidade: é ela que estabelece o escopo real do vazamento para uma comunicação precisa. Ter clareza prévia sobre esses gatilhos, dentro do plano de resposta, evita decisões apressadas no calor do incidente.

A verdade de um incidente depende do que você preserva

Forense digital é, no fundo, a disciplina de transformar o caos de um incidente em uma narrativa precisa e defensável dos fatos. Essa narrativa só existe se a evidência for preservada com cuidado desde o primeiro minuto, copiada com fidelidade, protegida por uma cadeia de custódia e analisada com método. O maior inimigo dela não é o atacante, é a pressa mal orientada de quem, tentando ajudar, apaga justamente as pistas que revelariam o ataque. Preservar primeiro, analisar depois: essa ordem é o que separa uma investigação que esclarece de uma que só destrói o que restava.

Na ConstructorTI, apoiamos organizações na investigação de incidentes com rigor forense: orientação de preservação para não contaminar a cena, geração de imagens e análise de disco e memória, manutenção da cadeia de custódia, reconstrução da linha do tempo do ataque e apoio na decisão de acionar perícia e autoridades. Se você passou por um incidente e precisa entender com precisão o que aconteceu, e provar isso, converse com o nosso time de CyberSecurity antes que a evidência desapareça.