Questões de Concurso sobre Computação Forense

Analise as afirmativas abaixo com relação à computação forense.

1. Dois tipos de dados podem ser coletados: dados persistentes armazenados no disco rígido local de um dispositivo e dados voláteis localizados na memória ou em trânsito (por exemplo, registros, cache e memória de acesso aleatório (RAM). Os dados voláteis devem ser manuseados com atenção, pois são efêmeros e podem ser perdidos se o dispositivo desligar ou perder energia.

2. Quando processos da computação forense e da resposta a incidentes (a detecção e mitigação de ataques cibernéticos em andamento) são conduzidos de forma independente, eles podem interferir uns com os outros, com resultados negativos para uma organização.

3. A coleta de dados forenses ocorre juntamente com a mitigação de ameaças. As equipes de resposta a incidentes usam técnicas de computação forense para coletar e preservar dados enquanto contêm e erradicam a ameaça, garantindo que a cadeia de custódia adequada seja seguida e que evidências valiosas não sejam alteradas ou destruídas.

Assinale a alternativa que indica todas as afirmativas corretas.

Ao chegar em um local de crime digital, incluindo suas várias fontes de dados, o perito deve começar sua investigação na ordem correta definida por boas práticas forenses ao chegar no local de um incidente.

1. Coleta

2. Exame

3. Analise

4. Reporte

A sequência correta segundo padrões internacionais é

A computação forense desempenha papel essencial na atividade policial moderna, permitindo a identificação, recuperação e análise de vestígios digitais presentes em computadores, celulares e outros dispositivos eletrônicos. Esses procedimentos técnicos são fundamentais para reconstruir ações criminosas, preservar a cadeia de custódia e fornecer evidências confiáveis que auxiliam investigações, perícias e decisões judiciais.

No âmbito da computação forense, assinale a opção que, corretamente, explicita o produto de um processo de "carving":

Após uma invasão generalizada em uma empresa, um perito precisa classificar corretamente os tipos de fontes de vestígio encontrado no local digital do crime para poder utilizar as ferramentas apropriadas de análise.

1. Volátil

2. Não Volátil

3. Fisicos

4. De Rede

Associe corretamente o tipo de vestígio digital ao seu exemplo.

Um analista de segurança da informação de uma Assembleia Legislativa Estadual atende a um incidente no qual um servidor público suspeito de desviar recursos públicos teve seu notebook apreendido em sua sala. O equipamento está ligado e com a sessão de usuário aberta, exibindo uma planilha e um terminal de acesso a um sistema interno não autorizado. O analista precisa coletar evidências para uma investigação criminal, garantindo a integridade dos dados originais. Considerando as boas práticas de forense computacional, a conduta inicial mais adequada do analista é

Considere que certo analista de segurança da informação tenha detectado uma atividade anômala em determinado servidor de banco de dados crítico, caracterizada por múltiplos acessos falhos seguidos por uma extração de dados bem-sucedida para um endereço IP externo não reconhecido. Nesse contexto, assinale a alternativa que corresponde ao próximo passo mais adequado e imediato a ser dado, segundo as melhores práticas de gestão e resposta a incidentes, como as descritas pelo NIST SP 800-61.

Considerando as práticas e objetivos da computação forense digital, assinale a alternativa que descreve corretamente uma de suas finalidades principais.

A criptografia ponta a ponta inviabiliza completamente a extração de qualquer vestígio útil em uma análise forense.

O procedimento forense denominado carving, que consiste em algoritmos de reconstrução de arquivos com base na recuperação de fragmentos e reconhecimento de conteúdos típicos, é oferecido em muitas ferramentas forenses.

Sobre esse procedimento, o analista forense deve considerar que:

A mera visualização de arquivos realizada por perito diretamente no material suspeito e antes de uma cópia pericial não interfere na cadeia de custódia da evidência.

Em um procedimento de análise forense de sistemas, foi solicitada a análise de dados armazenados em notebook apreendido em operação oficial de busca e apreensão.

A respeito do processo, analise as seguintes informações descritivas, documentadas sequencialmente:

I. No momento da operação, o computador estava desligado e foi armazenado de forma adequada após a retirada da bateria, tendo sido, posteriormente, realizada a cópia completa do disco do equipamento, conforme registro cronológico de toda a movimentação;

II. O processo de análise foi realizado no disco original, uma vez que a cópia obtida por duplicação “mídia para arquivo-imagem” havia sido adequadamente armazenada no cofre, para preservação dos dados e da autenticidade;

III. A perícia foi realizada a pedido da autoridade competente, por servidora concursada plantonista, que é uma profissional experiente e capacitada, com formação de nível médio e portadora de Certificação em Computação Forense de instituição de elevada credibilidade.

Está correto o procedimento descrito em:

Uma das etapas no contexto da computação forense tem como objetivo garantir que os dados e informações pre sentes nos equipamentos apreendidos não sofram adulterações ou extravios.

Essa etapa é conhecida como

De acordo com a RFC 3227, que define diretrizes para coleta e arquivamento de evidências, a ordem de volatilidade das evidências deve ser considerada em uma coleta, iniciando-se pela mais volátil e seguindo até a menos volátil.

Segundo essa RFC, a ordem deve ser:

Em computação forense, a esteganografia reversa

A computação forense pode ser dividida em quatro etapas principais: coleta, exame, análise e relatório.

É recomendável que, em exercícios de ataques cibernéticos, haja, entre os membros do blue team, pelo menos um especialista em forense computacional.

Um analista de segurança foi nomeado para realizar a perícia forense em um dispositivo de armazenamento de dados do tipo HardDisk (HD). Para trabalhar nessa perícia ele realizou a duplicação forense dos dados existentes nesse HD.

A duplicação forense de mídias computacionais é realizada na seguinte fase do exame pericial

Relacione as etapas mais comuns para a realização de uma avaliação completa e competente de uma investigação forense computacional listadas a seguir, às suas definições.

( ) Preparação

( ) Preservação

( ) Levantamento

( ) Exame

1. Gerar um plano de ação para conduzir uma estratégia digital eficaz de investigação e obtenção de recursos e materiais de apoio.

2. Encontrar potenciais fontes de evidências digitais, por exemplo, em uma cena do crime dentro de uma organização ou na Internet. O processo pode ser mais claramente descrito como aquisição de provas.

3. Cautela para evitar alterações de evidências digitais in situ, incluindo isolamento do sistema da rede, proteger arquivos de log relevantes e coletar dados voláteis que seriam perdidos quando o sistema for desligado.

4. Buscar e interpretar vestígios de evidências.

Assinale a opção que indica a relação correta, na ordem apresentada.

Em um ambiente Windows que havia sido comprometido, um perito forense precisava verificar quais pastas foram acessadas por um determinado usuário. Essa informação pode ser obtida por meio de ferramentas forenses que analisam

Um servidor Linux foi comprometido por uma invasão; durante a análise forense, o perito precisou tentar recuperar arquivos de log apagados de um sistema de arquivos ext3.

Para realizar essa tarefa de recuperar arquivos apagados, uma ferramenta forense apropriada seria