Artigo2 12 PDF

Peridico de Divulgao Cientfica da FALS
Ano V - N XII- DEZ / 2011 - ISSN 1982-646X
TCNICAS DE PERCIA FORENSE COMO FERRAMENTAS DE

PREVENO DE INCIDENTES DE SEGURANA
Marcelo Teixeira de Azevedo (ITA-SP)

exemplo@fals.com.br
Ana Lucia Pegetti (ITA-SP/FALS)

exemplo@fals.com.br
Kleyton Maia dos Santos (ITA-SP)

exemplo@fgals.com.br
Resumo: O presente artigo estuda a percia forense aplicada informtica e

suas implicaes para a preveno de acidentes. Para tanto, so apresentados
estudos de caso relevantes, que possibilitaram analisar eventos em que a percia
fez-se necessria e buscar as prticas que elevassem as camadas de segurana
desse sistema, mitigando riscos e possibilitando aes proativas por parte de
seus administradores. Por fim, so identificadas as medidas que possibilitam a
preveno de incidentes de segurana em uma rede computacional. Conclui-se
que, com as prticas estudadas, o profissional de segurana da informao
atuante em grupos de preveno e resposta a incidentes poder aumentar as
camadas de segurana do ambiente computacional e, assim, prevenir incidentes,
sabendo coletar e tratar uma evidncia.
Palavras-chave: Percia forense. Leis e crimes digitais. Ferramentas de

segurana.
Abstract: The present paper studies the forensic skill applied to the computer
science and its implications for the prevention of accidents. For so much,
relevant case studies are presented, which made possible to analyze events in
that the skill was made necessary, and to look for the practices to elevate the
safety layers of that system, mitigating risks and making possible proactive
actions on the part of its administrators. Finally, they are identified the measures
that make possible the prevention of safety's incidents in a computer network. It
is concluded that, with the studied practices, the professional of information
safety active in groups of prevention and attack to incidents can increase the
safety layers of the computer environment, and, like this, to prevent incidents,
knowing how to collect and to treat an evidence.
Keywords: Forensic skill. Digital law and crimes. Safety tools.

1 INTRODUO
1.1 Preliminares
O tema escolhido aborda a percia computacional, que uma das reas de

atuao dos profissionais de segurana da informao, cujo panorama mundial est
diretamente envolvido com o uso da tecnologia e de sistemas informatizados, os quais
precisam ser seguros e garantir disponibilidade, integridade e confidencialidade das
informaes. Entretanto, quando algo de anormal acontece, como se deve proceder?
Como saber, diante do emaranhado de bytes, o que constitui tal anormalidade? E o que
ocorre quando, por trs dessa anormalidade, h uma ao ilcita?
Nesse sentido, os profissionais da rea de segurana precisam, alm de estar

preparados para lidar com essas situaes, ser capazes de ajudar a solucionar um evento,
bem como de instruir as pessoas a seu redor a agir e proteger os dados e as evidncias.
Precisam, alm disso, saber proteger os sistemas de informao, prever as aes de
cibercriminosos e reagir diante de ameaas aos sistemas de informao, para que os
criminosos no se prevaleam de um sistema sob os cuidados de um profissional na
segurana da informao.
1.2 Delimitao do Tema
O tema est delimitado no estudo de tcnicas de percia computacional e suas

formas de atuao. Alm disso, o estudo de caso realizado proporciona visualizar uma
das formas de aplicao das tcnicas e ferramentas da percia, uma vez que tal aplicao
d-se conforme o objetivo do caso, seja ele judicial ou corporativo.
Por fim, apresenta-se uma proposta de mtodos que um profissional na rea de

segurana da informao pode se valer para evitar a efetivao de um crime, no que se
refere a prticas ilcitas nos sistemas computacionais.
1.3 Justificativa para a Pesquisa
O crescente uso e a grande aplicao de sistemas informatizados e da tecnologia

trazem riscos, como o mau uso da tecnologia por parte de pessoas que criam sistemas
motivadores de prticas ilcitas, como tambm por parte daquelas que, mesmo no os
criando, utilizam-se deles. Cabe ressaltar, ainda, que cada nova tecnologia desenvolvida
proporciona a possibilidade de seu uso para prticas ilcitas. Nesse sentido, neste estudo,
ser apresentado o panorama das prticas de percia, com foco principalmente nas
medidas para coibir e prevenir as aes ilcitas nos sistemas computacionais.
1.4 Referencial Terico
Para o desenvolvimento deste trabalho, algumas obras so centrais para embasar

e conduzir aos objetivos propostos. Dentre essas obras, tem-se a literatura relativa rea
de Percia Forense Aplicada Informtica, de autoria de Freitas (2006), que fornece, a
partir de mtodos e ferramentas estudados pelo autor, um embasamento sobre a
evoluo do assunto ao longo da histria.
A obra de Tocchetto e Espindula (2005), por sua vez, utilizada por apresentar
informaes a respeito de prticas e procedimentos metodolgicos para um trabalho na
rea de percia forense, sendo complementado pela literatura de Ng (2007), que informa
os fatores motivadores para uma equipe de percia corporativa, bem como desenvolve
conceitos e prticas para compor um modelo de equipe forense computacional. Alm
disso, responsvel tanto pela interveno nas corporaes ligadas a casos de
investigaes forenses quanto pelas polticas e desenvolvimentos de prticas que
objetivam aumentar a segurana de um sistema corporativo.
Nesse contexto, Farmer e Venema (2005) mostram no s a forma como

informaes forenses podem ser localizadas, como tambm algumas ferramentas
especficas para prticas no sistema UNIX. Alm disso, apresentam uma base de como
as informaes persistem e como podem sofrer com aes deliberadas, atravs de uma
anlise de procedimentos de percia e soluo de problemas.
Ainda, Alberto Filho (2010) expe aspectos da prova pericial e da atividade do

perito durante o processo judicial, alm de apontar as principais modificaes no
ordenamento jurdico, sendo, assim, fonte de informao ao tema associado percia,
prova pericial e atuao do perito.
1.5 Problema
O trabalho de percia tem como dever buscar respostas sobre o que aconteceu em
um incidente. Dessa forma, o perito, com requisitos tcnicos para isso, precisa conhecer
a fundo sua rea de atuao, assim como as ferramentas que tem ao seu dispor. Alm
disso, importante para o perito a organizao de seu trabalho e orientao para
alcanar os objetivos. Por esses motivos, este trabalho no se resume apenas a um
estudo da aplicabilidade e dos mtodos da percia computacional, mas visa a
contextualizar o panorama atual da percia e indicar um mtodo de atuao, a fim de
melhorar a eficcia do trabalho do perito.
Isso porque, mesmo atuando corretamente na percia, o profissional de

segurana da informao precisa saber como prevenir incidentes; evitando,
minimizando e coibindo, assim, os riscos aos sistemas de informao.
Nesse sentido, espera-se que o presente trabalho mostre que em cada incidente
existe uma rica fonte de informao para se analisar e identificar tcnicas ou
ferramentas, com o objetivo de aumentar a segurana de seus sistemas de informao.
2 FUNDAMENTAO TERICA
2.1 Percia
Do latim peritia, o vocbulo definido por Ferreira (2009) como qualidade de

perito, vistoria especializada, alm de ser citado no glossrio do Instituto Brasileiro de
Avaliaes e Percias de Engenharia de So Paulo (IBAPE/SP, 2011) como atividade
incumbida a profissional especializado, legalmente habilitado a esclarecer um fato, ou
seja, descobrir fatores ou estados motivadores, alegaes de direito ou propriedade da

coisa que objeto de litgio ou processo. Alm disso, no direito, a percia produtora de
provas, sendo os peritos qualificados eleitos pelos juzes.
Definida no Cdigo de Processo Civil, Lei n 5.869, de 11 de janeiro de 1973,

art. 420, a prova pericial, por sua vez, consiste em exame, vistoria ou avaliao, sendo
considerada, no decorrer do processo civil, um dos momentos mais cautelosos na
estrutura de composio do texto. Nesse contexto, considerando que o momento de
avaliao classificatrio de valor ao fato ou objeto, a vistoria o momento de anlise
da caracterstica de bem imvel e o exame, referente a bem mvel e pessoas. Para tanto,
o profissional perito na rea em questo utiliza tcnicas e ferramentas desenvolvidas
para tal, fazendo-se necessrio o esclarecimento de detalhes tcnicos.
Cumpre informar que, no presente trabalho, a percia ser abordada no escopo

tecnolgico, uma vez que a crescente e contnua complexidade dos sistemas de
tecnologia exige, cada vez mais, a interveno tcnica para esclarecer a veracidade de
fatos ou circunstncias.
2.2 Forense
Do latim forense, o vocbulo definido por Ferreira (2009) como aquilo que se
refere ao foro judicial, sendo relativo aos tribunais. Dessa forma, a tcnica forense diz
respeito aplicao de recursos cientficos em um processo jurdico, sendo que essas
prticas valem-se da percia para alcanar os objetivos de prova, visto que muitas provas
no so perceptveis a olho nu nem esto disponveis a pessoas desprovidas de
conhecimentos tcnicos necessrios.
Ressalte-se que, com o passar do tempo, a criminologia desenvolve-se cada vez

mais; isso porque, uma vez que os criminosos usam as mais criativas alternativas para
driblar a lei, necessrio utilizar recursos cientficos em busca de uma maior eficincia,
visando a tomar as devidas precaues para o correto julgamento desses casos, mesmo
que, aparentemente, no caso dos meios eletrnicos, no haja pistas nem rastros fsicos.
2.3 A Percia Forense Computacional
A percia forense computacional definida por Freitas (2006) como a aplicao

de conhecimento de informtica e tcnicas de investigao com a finalidade de obteno
de evidncias, alm de, para o autor, ser uma rea relativamente nova e em grande
ascenso; justamente por isso tornou-se uma prtica importante nas corporaes e
polcias, que utilizam resultados cientficos e matemticos estudados na cincia da
computao.
Nesse sentido, a finalidade motivadora da percia forense computacional , com

base nas suas prticas cientficas, coletar e analisar as informaes disponveis no meio
eletrnico, para que tais informaes (antes intangveis) passem a compor a certeza
manifesta dos fatos que sero utilizados como provas. Essas informaes sero de
grande valia, tambm, para o ambiente corporativo e judicial, pois, mesmo que no
exista um processo judicial formal, as prticas da percia forense demonstraro o que
realmente aconteceu e as intenes de um fato que tenha se desenrolado num ambiente
eletrnico.
Ainda, segundo Bustamante (2006), a percia forense pode ser definida como
coleo e anlise de dados de um computador, sistema, rede ou dispositivos de
armazenamento, de forma que sejam admitidos em juzo, sendo que as evidncias que
um criminalista ou expert (tambm chamado perito) encontra geralmente no podem ser
vistas a olho nu, dependendo de ferramentas e meios para a sua obteno. Nesse
contexto, cabe ao profissional de informtica coletar as evidncias e produzir um laudo
pericial com as evidncias e tcnicas abordadas na coleta.
A computao forense continua em crescimento, tendo em vista que, cada vez

mais, a sociedade faz uso dos computadores, exigindo profissionais nas esferas
corporativas e judiciais, nas quais esto presentes questes sobre procedimentos ilegais
em computadores. Atualmente, a busca por evidncias nos ambientes computacionais
tem se tornado imprescindvel para a fora policial, pois pode esclarecer muitos crimes
efetuados via computador.
A cada dia, os dispositivos de armazenamento e acesso internet esto se

tornando menores, mais baratos, mais rpidos, com maior portabilidade e com uso
amplamente difundido. Desse modo, na internet, no h como simplesmente isolar o

local do crime, tampouco identificar de imediato a origem e autoria do crime, ou seja,
possvel identificar a data e hora do evento, bem como alguns rastros de conexes em
logs, mas no o autor do crime, como seria possvel com um exame de DNA. Isso se
justifica devido natureza dinmica da rede, de modo que um local usado na internet
para cometer crimes pode ser diferente ou ausente no dia seguinte. Assim, no se pode
tomar concluses baseadas apenas em dados colhidos atravs de softwares.
3 ESTUDOS DE CASO
3.1 Invaso a Servidor Empresa ACME
3.1.1 Descrio
Neste estudo de caso, ser apresentada uma situao simulada, baseada nos
casos referentes a ssh do Projeto Honeypots da Honeynet (HONEYNET, 2010), que
uma organizao de pesquisa lder em segurana internacional, dedicada a investigar os
recentes ataques e a desenvolver ferramentas open source para melhorar a segurana na
internet.
Assim, considerar-se- que foi detectado, pelos administradores de rede da

empresa fictcia ACME, comportamento instvel do servidor Domain Name Server
(DNS) primrio, alto trfego de rede do servidor na porta do servio Secure Shell (SSH)
e um anormal consumo de processamento do servidor.
3.1.2 Procedimento de anlise
Feita a fase de levantamento e identificadas as tarefas do servidor no contexto da

rede atual, concluiu-se que algo de errado estava ocorrendo, de modo que foram
coletados os materiais necessrios para a percia atravs de um conjunto de discos com
os softwares de coleta e anlise e uma unidade externa devidamente sanitizada para a
coleta da imagem de disco do servidor. Cabe ressaltar que o acesso fsico ao servidor foi
limitado apenas ao tcnico que iria efetuar a percia e que no foram necessrios
registros adicionais, como fotos, pois a percia foi realizada internamente; porm, em
um caso oficial, esses procedimentos so impreterveis.
A duplicao da unidade de disco do servidor foi feita com a ferramenta dd,

utilizando o comando dd if=/dev/sdb1 of=/media/3268509868505ca3/imagem.dd, no
qual if= representa a unidade de origem a ser copiada e of=, o arquivo de imagem
que ir conter as informaes do disco bit a bit. Para melhor visualizao, a sada do
comando dd pode ser verificada na Figura 1.
Figura 1 Sada do comando dd.
Uma vez feita a cpia, foi necessrio calcular o hash para garantir uma forma de
validar a evidncia, comprovando que ela no foi alterada. Para tanto, foi utilizada a
ferramenta sha512sum, com a qual possvel calcular o hash em sha 512 bits. Na
Figura 2, so apresentados o comando e a sada, obtendo como resultado o valor de
hash calculado para o arquivo imagem.dd, localizado na unidade
/media/3268509868505CA3/; tal valor deve ser armazenado para futuras comparaes
entre o disco original e a evidncia para garantir a integridade.
Figura 2 Sada do comando sha512sum.
J na fase de coleta, iniciou-se a captura do trfego com a ferramenta Wireshark,

o que no auxilia muito no diagnstico, pois, durante uma seo de conexo via ssh,
todo o contedo trafega de forma criptografada. Contudo, como resultado do uso dessa
ferramenta, na Figura 3, possvel identificar a seo estabelecida e dados como:
origem, destino protocolo e porta de comunicao.
Figura 3 Trfego de rede da seo ssh.
Por fim, aps a captura, foi interrompido o servio ssh, com objetivo de cessar o
alto trfego de rede e a carga de processamento no servidor. Foram coletados, tambm,
logs dos servios de ssh e autenticao, bem como foi identificada uma conexo remota
estabelecida no servio de ssh que no era esperada.
3.1.3 Diagnstico
Na fase de anlise, detectou-se a explorao do servio de ssh para acesso e

troca de informaes e comandos com o servidor vtima; considerando que o acesso foi
consumado com uma conta administrativa de root.
Nesse sentido, a Figura 4 demonstra o resultado do comando tail para listar o

final do arquivo de log, sendo possvel analisar as vrias tentativas de autenticao no
servio ssh com usurio administrativo oriundas do mesmo endereo atacante.
Figura 4 Trecho de contedo arquivo de log /var/log/secure.
J a Figura 5 mostra intervalo do log, atravs do comando tail, no qual a

conexo com o servio foi bem-sucedida, ou seja, momento em que o ataque obteve
sucesso.
Figura 5 Log em destaque com conexo em /var/log/secure.
Identificada a intruso no sistema, foram analisados os arquivos criados ou

alterados pelo atacante. Para tanto, foi feita a anlise dos mactimes com as ferramentas
mac-robber e mactime, sendo necessrio gerar a base de dados para anlise com a
ferramenta mac-robber, atravs do comando mac-robber /root/exploit >
exploit.mactimes, no qual /root/exploit representa o diretrio a ser analisado e
exploit.mactime, o arquivo de destino dos dados de mactimes, formando uma base de
dados para ser processada pela ferramenta, a qual ir compor a linha de tempo dos
arquivos, conforme demonstrado na Figura 6.
Figura 6 Sada da linha de tempo do comando mactime.
Analisando todos os arquivos de imagem com a ferramenta autopsy (Figuras 7 e

8), verificou-se que os arquivos da pasta /root/exploit foram os nicos criados e
alterados aps o ataque; essa pasta continha alguns arquivos de scripts maliciosos, que
seriam posteriormente utilizados pelo atacante, porm a invaso foi frustrada antes que
isso ocorresse, o que foi comprovado pelo fato de os atributos de execuo desses
scripts ainda no terem recebido marcao.
Figura 7 Tela inicial da ferramenta autopsy.

Figura 8 Pesquisa por arquivos de log em Keyword Search da ferramenta autospy.
3.1.4 Resultados
Com a anlise, foi possvel diagnosticar uma tentativa bem-sucedida de acesso

ao servidor atravs do servio ssh, por uma tcnica chamada fora bruta, definida pelo
Centro de Atendimento a Incidentes de Segurana (CAIS) da Rede Nacional de Ensino
e Pesquisa (RNP, 2010) como sucesses de tentativa e erro utilizando um conjunto de
duplas usurio/senha para tentar obter acesso ao servio.
Para melhor entendimento e anlise dos resultados, simulou-se o ataque

utilizando o seguinte script atravs da distribuio Linux Fedora Security:
#!/bin/bash
ARQSENHAS=senhas.txt
BINSSH=/usr/bin/ssh
BINPASS=/usr/local/bin/sshpass
j=0
#
for i in `cat $ARQSENHAS`;
do
$BINPASS -p$i $BINSSH root@0.0.0.0 "echo 'Conexao bem sucedida'"

j=$((j+1));
echo $j;
done
#
Nesse script, foram utilizadas duas ferramentas para conexo: o sshpass e o

cliente de conexo remota ssh. A primeira destinada a prover senha para uma
autenticao no interativa em uma ferramenta que necessite de uma autenticao
interativa, como no exemplo; ou seja, quando se necessita de uma entrada via teclado
para a autenticao, o sshpass simula essa entrada, possibilitando a automao da tarefa
de tentativa de login. Assim, atravs do uso desse script, foi possvel testar vrias
senhas para o mesmo usurio e servidor, sem interveno humana, agilizando a tarefa
de tentativa e erro no login.
Na Figura 9, possvel verificar as vrias tentativas de login, sendo que, na de

nmero 10, a conexo foi bem-sucedida, possibilitando utilizar a senha presente no
arquivo senhas.txt, na linha 10, para o acesso remoto via ssh. interessante ressaltar
que esse arquivo deve conter as possveis senhas e ser gerado atravs de uma ferramenta
de dicionrio de senhas, para melhorar as tentativas do acesso.
Figura 9 Sada do script de fora bruta no ssh.

J na Figura 10, so apresentados os logs do servidor vtima, nos quais as

tentativas so registradas pelo servio de conexo remota sshd. Na ltima linha, tem-se
o momento da conexo bem-sucedida no servio durante o teste.
Figura 10 Log do servidor sshd.
Uma vez que a tentativa foi bem-sucedida, conclui-se que o servidor vtima
estava de fato vulnervel a esse tipo de ataque, com uma senha fraca, descoberta no
processo de tentativa e erro.
Cumpre informar que, nessa fase, o perito deve compor um laudo expondo o
parecer tcnico e apresent-lo a quem for necessrio, seja para a autoridade judicial ou
os responsveis pela empresa ou setor.
4.2 Prevenindo Incidentes com Base no Estudo de Caso
4.2.1 Prevenes no caso de invaso de servidor
A preveno de incidentes em sistemas que provem acesso remoto requer uma

anlise detalhada da infraestrutura de rede, com o intuito de configur-la corretamente
para atender aos requisitos mnimos de segurana e funcionalidades do servio. Para
tanto, os principais itens a serem considerados na anlise so: as questes de proteo e
configurao correta do servidor que hospeda o servio de acesso remoto; a proteo
dos dados que trafegam na rede, com uso de sistemas de firewalls e IDS/IPS/NIPS; e os
mtodos de autenticao e identificao da identidade dos usurios que logam no acesso
remoto. A seguir, sero apresentadas algumas questes para a preveno desses
incidentes.
4.2.1.1 DMZ
O modelo DMZ, sigla para de DeMilitarized Zone ou zona desmilitarizada,

implementa na rede uma zona separada da rede externa (internet Wan) e da rede
interna (rede local Lan). Esse termo, de origem militar, classifica uma regio sem
atividades militares de defesa ou ataque, por vezes entre dois territrios em conflito;
aplicado a redes, considera que ela contm servios com exposio internet, como de
acesso remoto, correio, sites e protocolo de transferncia de arquivos FTP, os quais
devem ficar separados da rede local. Assim, quando um ataque for bem-sucedido nesse
ambiente, est confinado rede DMZ e no ir impactar em toda a rede da organizao.
Esse conceito tambm aplicado para separar setores e usurios-chave em

diferentes nveis de proteo, alm de ditar que a rede possui um nvel de segurana
intermedirio, o qual, entretanto, no a colocaria como nica para armazenar dados
crticos para a empresa, devendo, dessa forma, ser estudada e bem projetada antes de
sua implementao.
Normalmente, o conceito de DMZ aplicado utilizando firewalls e suas polticas

para separar os trfegos entre as redes, sendo as seguintes regras e polticas de
segurana aplicadas:
comunicao da rede externa para DMZ aceita;
comunicao da rede externa para a rede interna negada;
comunicao da rede interna para DMZ aceita;
comunicao da rede interna para a rede externa aceita;
comunicao da DMZ para a rede interna negada;
comunicao originada na DMZ para a rede externa negada.
Cabe ressaltar, ainda, que uma DMZ previne um incidente mais abrangente,
pois, se um servio for comprometido nela, existem outras barreiras a transpassar antes
de se alcanar os demais servios da rede. No contexto do estudo de caso, o servio ssh,
uma vez violado, ficaria com o acesso isolado somente quela rede DMZ, dando uma
melhor possibilidade de combate e proteo.
4.2.1.2 Servidor de log
Em redes que crescem em sistemas e equipamentos, o gerenciamento de logs de

forma descentralizada ir demandar cada vez mais tempo e recursos, uma vez que cada
log, com suas particularidades e seu local de alocao, complica ainda mais o processo
de anlise e monitoramento. Para resolver esse problema, utiliza-se a centralizao dos
logs, que so arquivos com registros sobre servios ou mquinas e que auxiliam na
administrao dos recursos, com informaes sobre acessos, problemas, avisos, alertas e
demais informaes para a administrao do ambiente.
O conceito consiste em definir um servidor responsvel por armazenar todos os

logs, configurando as demais mquinas da rede para que seus logs sejam enviados para
esse servidor. Essa funo de centralizao pode ser aplicada para vrios fins, como, por
exemplo, auditoria ou proteo de logs de alguma invaso; ainda, no servidor de logs,

possvel obter uma melhor anlise da informao, para estudar o desempenho e o
dimensionamento das mquinas, analisando, por exemplo, o servio que recebe mais
acessos e precisa ser equilibrado. Para tanto, utilizada a ferramenta Linux Rsyslog, que
coleta e centraliza os logs de mquinas Linux e Windows.
Para uma ao de preveno de incidentes, muito importante que as

informaes de logs e os registros estejam preservados e acessveis para anlise e
percia, pois necessrio saber o que est ou estava acontecendo durante uma ao
maliciosa; a tentativa de apagar ou encobrir rastros ir afetar os logs e registros, porm
se esses registros forem tambm armazenadores em outro local, como no servidor de
logs, isso preservar as evidncias, contribuindo para uma coleta de informaes sobre
os eventos de forma eficaz.
4.2.1.3 Restrio e controle de acesso remoto
Neste item, analisa-se tanto as medidas para uma correta configurao que,
aplicadas ao servidor sshd, oferecem maior segurana e robustez ao servio, quanto
outras alternativas. importante destacar que os conceitos podem ser aplicados a outros
modelos de servio para acesso remoto, como Remote Desktop, Vpn, Logmein,
Teamviewr e afins, bastando saber a forma de configurao destes.
No caso do servio sshd, as configuraes devem ser feitas no arquivo

/etc/ssh/sshd_config, no qual se encontram os parmetros de funcionamento do
servio, lembrando que, aps qualquer alterao, deve-se recarregar o servio, para que
as alteraes tenham efeito. Tambm, recomendada a troca da porta-padro de acesso
do servio de acesso remoto, pois ataques automatizados vo explorar justamente essa
porta; no ssh, a porta-padro a 22, que pode ser alterada atravs do parmetro Port
XX, onde xx representa o nmero da porta em que o servio ir aguardar a conexo.
Caso se utilize um firewall, nele tambm haver uma regra permitindo a essa porta
comunicar-se.
Alm disso, devem ser verificadas as seguintes recomendaes:

no permitir autenticao com usurio sem senha, ativando o seguinte

parmetro na configurao do sshd: PermitEmptyPasswords no;
usar senhas fortes, complexas e com comprimento mnimo de 15 caracteres,

ativando a opo de utilizar o pacote Pluggable Authentication Module
(PAM), que auxilia nas regras de autenticao, exigindo requisitos de senhas
e tentativas limitadas, atravs do parmetro UsePAM Yes;
limitar a quantidade de tentativas de senha errada, derrubando a conexo

aps a tentativa, ativando a opo: MaxAuthTries 3. Nesse exemplo, limitar a
trs as tentativas de senhas; caso, na terceira, a senha esteja errada, a conexo
finalizada e ter de ser reiniciada;
no permitir que o usurio root ou outro que faa parte do grupo root efetue
o login diretamente. conveniente, nesse caso, que se logue como usurio
restrito, utilizando o comando su para elevar o privilgio como root, caso
seja necessrio, pois tarefas simples e testes de funcionalidades podem ser
executados como usurio comum, no afetando e alterando nada. Utilizar os
seguintes parmetros: PermitRootLogin no, AllowUsers usuraiocomum1
usuariocomun2, AllowGroups gruposshdousuariocomun;
utilizar apenas a ltima verso do protocolo ssh, que, atualmente, a 2,

ativando o parmetro: Protocol 2;
utilizar regras de firewall para permitir conexo na porta do servio de

acesso remoto apenas por IPs conhecidos e para restringir ainda mais o
servio de acesso remoto.
5 CONCLUSO
Com este trabalho, foi possvel analisar a aplicao da percia forense

informtica, em que cada caso representa um desafio mpar, devido crescente
evoluo dos ambientes computacionais. As dificuldades para os peritos e suas percias
tambm se elevam com o panorama atual da legislao brasileira, que abrange, em
parte, as tecnologias atuais. Sobre isso, Marco Aurlio Greco (2000) conclui que o
direito vem sofrendo igualmente os reflexos das modificaes profundas no mundo por
conta dos avanos tecnolgicos e da globalizao.
As novas tecnologias, cada qual com seus padres e dignas de um estudo

individual, aparentam representar um volume de informao muitas vezes maior do que
os recursos e ferramentas da percia forense computacional, porm possvel identificar
que o mtodo proposto, seguindo uma sequncia lgica e organizada, possibilita ao
perito atuar de forma mais eficiente e eficaz.
Alm disso, importante ressaltar que os meios eletrnicos ainda despertam

uma falsa sensao de anonimato e impunidade, sentimento confirmado pelo
crescimento dos crimes eletrnicos nas pesquisas, mesmo margem de grandes
dificuldades em torno de legislaes e tecnologias.
Nesse contexto, este estudo demonstrou que os poderes competentes e as

organizaes tm alternativas para buscar a segurana para seus ambientes
computacionais. Com as prticas aqui estudadas, o profissional de segurana da
informao atuante em grupos de preveno e resposta a incidentes poder aumentar as
camadas de segurana do ambiente computacional e, assim, prevenir incidentes,
sabendo coletar e tratar uma evidncia.
Por fim, o caso apresentado constitue rica fonte de informao para uma anlise
objetivando a preveno de incidentes, uma vez que trazem tona aspectos relevantes,
tais como: os ambientes de rede precisam ser organizados e estruturados, ter
redundncia e dispor de acompanhamento, monitoramento, manuteno e segurana
adequada. Tambm, revelam que os sistemas precisam ser testados, atualizados e
corrigidos, sendo, para tanto, utilizada uma gama de tcnicas, metodologias,
procedimentos e ferramentas, a fim de prevenir incidentes e riscos segurana dos
ambientes computacionais.
REFERNCIAS
FREITAS, Andrey Rodrigues. Percia forense aplicada informtica. Rio de Janeiro:
Brasport, 2006.
ALBERTO FILHO, Reinaldo Pinto. Da percia ao perito. Niteri: mpetus, 2010.
BUSTAMANTE, Leonardo. Computao forense: preparando o ambiente de trabalho.

Uol, julho, 2006. Disponvel em:
<http://imasters.uol.com.br/artigo/4335/forense/computacao_forense_-
_preparando_o_ambiente_de_trabalho/>. Acesso em: 04 maio 2009.
FARMER, Dan; VENEMA, Wietse. Percia forense computacional: teoria e prtica

aplicada. So Paulo: Prentice Hall, 2005.
GRECO, Marco Aurlio. Internet e direito. 2. ed. So Paulo: Dialtica, 2000.
HONEYNET. Projeto Honeypots. Disponvel em: <http://www.honeynet.org>. Acesso

em: 20 mar. 2010.
NG, Reginaldo. Forense computacional corporativa. Rio de Janeiro: Brasport, 2007.
REDE NACIONAL DE ENSINO E PESQUISA (RNP). Centro de Atendimento a

Incidentes de Segurana (CAIS). Disponvel em: <http://www.rnp.br/cais/>. Acesso
em: 29 mar. 2010.
TOCCHETTO, Domingos; ESPINDULA, Alberi. Criminalstica procedimentos e

metodologias. Porto Alegre: Cleusa dos Santos Novak, 2005.

Artigo2 12 PDF

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Artigo2 12 PDF

Enviado por

Direitos autorais:

Formatos disponíveis

Peridico de Divulgao Cientfica da FALS

Ano V - N XII- DEZ / 2011 - ISSN 1982-646X

TCNICAS DE PERCIA FORENSE COMO FERRAMENTAS DE

Marcelo Teixeira de Azevedo (ITA-SP)

Ana Lucia Pegetti (ITA-SP/FALS)

Kleyton Maia dos Santos (ITA-SP)

Resumo: O presente artigo estuda a percia forense aplicada informtica e

Palavras-chave: Percia forense. Leis e crimes digitais. Ferramentas de

Keywords: Forensic skill. Digital law and crimes. Safety tools.

O tema escolhido aborda a percia computacional, que uma das reas de

Nesse sentido, os profissionais da rea de segurana precisam, alm de estar

1.2 Delimitao do Tema

O tema est delimitado no estudo de tcnicas de percia computacional e suas

Por fim, apresenta-se uma proposta de mtodos que um profissional na rea de

1.3 Justificativa para a Pesquisa

O crescente uso e a grande aplicao de sistemas informatizados e da tecnologia

1.4 Referencial Terico

Para o desenvolvimento deste trabalho, algumas obras so centrais para embasar

Nesse contexto, Farmer e Venema (2005) mostram no s a forma como

Ainda, Alberto Filho (2010) expe aspectos da prova pericial e da atividade do

Isso porque, mesmo atuando corretamente na percia, o profissional de

Do latim peritia, o vocbulo definido por Ferreira (2009) como qualidade de

seja, descobrir fatores ou estados motivadores, alegaes de direito ou propriedade da

Definida no Cdigo de Processo Civil, Lei n 5.869, de 11 de janeiro de 1973,

Cumpre informar que, no presente trabalho, a percia ser abordada no escopo

Ressalte-se que, com o passar do tempo, a criminologia desenvolve-se cada vez

2.3 A Percia Forense Computacional

A percia forense computacional definida por Freitas (2006) como a aplicao

Nesse sentido, a finalidade motivadora da percia forense computacional , com

A computao forense continua em crescimento, tendo em vista que, cada vez

A cada dia, os dispositivos de armazenamento e acesso internet esto se

amplamente difundido. Desse modo, na internet, no h como simplesmente isolar o

3.1 Invaso a Servidor Empresa ACME

Assim, considerar-se- que foi detectado, pelos administradores de rede da

3.1.2 Procedimento de anlise

Feita a fase de levantamento e identificadas as tarefas do servidor no contexto da

A duplicao da unidade de disco do servidor foi feita com a ferramenta dd,

Figura 1 Sada do comando dd.

Figura 2 Sada do comando sha512sum.

J na fase de coleta, iniciou-se a captura do trfego com a ferramenta Wireshark,

Figura 3 Trfego de rede da seo ssh.

Na fase de anlise, detectou-se a explorao do servio de ssh para acesso e

Nesse sentido, a Figura 4 demonstra o resultado do comando tail para listar o

Figura 4 Trecho de contedo arquivo de log /var/log/secure.

J a Figura 5 mostra intervalo do log, atravs do comando tail, no qual a

Figura 5 Log em destaque com conexo em /var/log/secure.

Identificada a intruso no sistema, foram analisados os arquivos criados ou

Figura 6 Sada da linha de tempo do comando mactime.

Analisando todos os arquivos de imagem com a ferramenta autopsy (Figuras 7 e

Figura 7 Tela inicial da ferramenta autopsy.

Figura 8 Pesquisa por arquivos de log em Keyword Search da ferramenta autospy.

Com a anlise, foi possvel diagnosticar uma tentativa bem-sucedida de acesso

Para melhor entendimento e anlise dos resultados, simulou-se o ataque

$BINPASS -p$i $BINSSH root@0.0.0.0 "echo 'Conexao bem sucedida'"

Nesse script, foram utilizadas duas ferramentas para conexo: o sshpass e o

Na Figura 9, possvel verificar as vrias tentativas de login, sendo que, na de

Figura 9 Sada do script de fora bruta no ssh.

J na Figura 10, so apresentados os logs do servidor vtima, nos quais as

Figura 10 Log do servidor sshd.

4.2 Prevenindo Incidentes com Base no Estudo de Caso

4.2.1 Prevenes no caso de invaso de servidor

A preveno de incidentes em sistemas que provem acesso remoto requer uma

O modelo DMZ, sigla para de DeMilitarized Zone ou zona desmilitarizada,