Você está na página 1de 49

UNIVERSIDADE TECNOLÓGICA FEDERAL DO PARANÁ

COORDENAÇÃO DE INFORMÁTICA
CURSO SUPERIOR DE TECNOLOGIA EM SISTEMAS PARA INTERNET

GUILHERME ZANINI DE SÁ

ESTUDO E AVALIAÇÃO DE TÉCNICAS ANTIFORENSES COMPUTACIONAIS


APLICADAS A LOGS DE SISTEMAS LINUX E WINDOWS

PROJETO DE TRABALHO DE CONCLUSÃO DE CURSO

CAMPO MOURÃO
2010
GUILHERME ZANINI DE SÁ

ESTUDO E AVALIAÇÃO DE TÉCNICAS ANTIFORENSES COMPUTACIONAIS


APLICADAS A LOGS DE SISTEMAS LINUX E WINDOWS

Projeto do Trabalho de Conclusão de Curso de


graduação, apresentado à disciplina de Trabalho de
Conclusão de Curso, do Curso Superior de Tecnologia
em Sistemas para Internet da Coordenação de
Informática da Universidade Tecnológica Federal do
Paraná – UTFPR, como requisito para aprovação na
disciplina.

Orientador: Prof. Me. Rodrigo Campiolo

CAMPO MOURÃO
2010
À Deus, que me concedeu a Sua Graça,
favor imerecido e benevolente para com os
homens.

À memória de Élcio de Sá, cujos sábios


conselhos me serviram a vida toda e por
sua dedicação com a família que
expressaram o que é amar.

À Djanira Zanini de Sá, não somente mãe,


mas guerreira e refúgio nos momentos de
dor, um presente de Deus para nós.

À Francisco Mineiro Junior e Deise


Mineiro, que conduziram e incentivaram
minha educação formal, que me amaram e
me ampararam em momentos difíceis.

À Tais, Cintia e Ronaldo, meu irmãos os


quais amo.

À todos meus amigos, que me ajudaram,


me incentivaram e foram pacientes
comigo.
AGRADECIMENTOS

Certamente estes parágrafos não irão atender a todas as pessoas que fizeram
parte dessa importante fase de minha vida. Portanto, desde já peço desculpas àquelas que
não estão presentes entre essas palavras, mas elas podem estar certas que fazem parte do
meu pensamento e de minha gratidão.
Reverencio o Professor Me. Rodrigo Campiolo pela sua dedicação e pela
orientação deste trabalho e, por meio dele, eu me reporto a toda a comunidade da
Universidade Tecnológica Federal do Paraná (UTFPR) pelo apoio incondicional.
A todos os colegas da Universidade gostaria de externar minha satisfação de poder
conviver com eles durante a realização deste curso, pelos momentos de estresse, pelas
muitas conversas nas salas de aula, pois são como alavancas para o convívio sadio perante
a sociedade e pela grande paciência comigo.
Agradeço aos pesquisadores e professores da banca examinadora pela atenção e
contribuição dedicadas a este estudo.
Reconheço também o carinho da minha família, pois acredito que sem o apoio
deles seria muito difícil vencer esse desafio. E por último, e nem por isso menos importante,
agradeço a minha namorada pelo carinho, amor e compreensão.
RESUMO
SÁ,Guilherme Zanini de. Técnicas Antiforense em Arquivos de Log. 2010. 49 f.
Trabalho de Conclusão de Curso (Tecnologia em Sistemas para a Internet) – Programa de
Graduação em Tecnologia em Sistemas para Internet, Universidade Tecnológica Federal de
do Paraná. Campo Mourão, 2010.
Esta pesquisa apresenta uma abordagem teórico-conceitual de técnicas antiforense
computacional, com foco nos em arquivos de registro, conhecido como logs. Discute os
conceitos do especialista forense, bem como suas técnicas de procura de evidências
criminais em computadores. Apresenta conceitos de logs, ambiente propício e obstáculos à
gestão do conhecimento nos mesmos registros. Discute o principio de volatilidade da
informação no computador, com base na literatura pertinente ao tema. Complementado por
uma aplicação prática na demonstração das principais técnicas antiforenses, o estudo
verificou a dificuldade tanto para o invasor em esconder seus rastros, como para o perito em
descobrir evidências. Traz como resultado do estudo uma demonstração dos conceitos
forenses e técnicas antiforense para ocultação dos rastros nos arquivos de registro.

Palavras-chave: Antiforense Computacional. Logs. Forense Computacional.


Técnicas. Informação. Tecnologia.

ABSTRACT
SÁ, Guilherme Zanini de.Técnicas Antiforensics in Log Files in 2010. 49 f.
Completetion of Course Work (Technology Systems for the Internet) - Graduate Program in
Technology Systems for the Internet, Universidade Tecnológica Federal do Paraná. Campo
Mourão, 2010.
This research presents theoretical and conceptual approach antiforensics
computational techniques, focusing on the log files. Discusses the concepts of forensic
specialist, as well as their search techniques criminal evidence on computers. Introduces
concepts of logs, environment and barriers to knowledge management in the same records.
Discusses the principle of volatility information into the computer, based on the literature
concerning the matter. Complemented by a practical application in illustrating the main
techniques antiforenses, the study found, the difficulty for both the attacker to hide his tracks,
as for the expert in discovering evidence. Brings as a result of this study demonstrate the
concepts and forensic techniques antiforensics to conceal the traces in the log files.

Keywords: Computational Antiforensics. Logs. Computer Forensics. Technical


AntiForensics. Information. Technology
SUMARIO
1. INTRODUÇÃO ................................................................................................................. 7
2. MOTIVAÇÃO .................................................................................................................... 8
3. JUSTIFICATIVA................................................................................................................ 9
4. OBJETIVOS .................................................................................................................... 12
4.1. OBJETIVO GERAL .................................................................................................... 12
4.2. OBJETIVOS ESPECÍFICOS .................................................................................... 12
5. METODOLOGIA ............................................................................................................ 13
6. REFERÊNCIAL TEÓRICO ........................................................................................... 14
6.1. PERÍCIA FORENSE COMPUTACIONAL .............................................................. 14
6.1.1. DEFINIÇÃO DA PERICIA FORENSE COMPUTACIONAL ............................. 14
6.1.2. PERITO ................................................................................................................... 15
6.1.3. PROCESSOS DA PERICIA ................................................................................. 16
6.1.3.1. Coleta dos dados ........................................................................................... 16
6.1.3.2. Exame dos dados........................................................................................... 16
6.1.3.3. Análise de informações ................................................................................. 17
6.2. CRIME INFORMÁTICO ............................................................................................ 17
6.2.1. NO BRASIL ............................................................................................................. 18
6.3. SISTEMAS DE REGISTRO (Log) ........................................................................... 19
6.3.1. OOV – “Ordem da Volatilidade” ........................................................................... 19
6.3.2. MACtimes ................................................................................................................ 20
6.3.3. Log no Windows..................................................................................................... 20
6.3.4. Log no Linux ........................................................................................................... 22
6.4. ANTIFORENSE COMPUTACIONAL ...................................................................... 24
6.4.1. CLASSIFICAÇÃO .................................................................................................. 24
6.4.2. ETAPAS DE UM ATAQUE .................................................................................... 25
6.5. AUDITORIA ................................................................................................................ 26
6.6. TÉCNICAS ANTIFORENSES .................................................................................. 27
6.6.1. ADULTERAÇÃO DE REGISTROS ..................................................................... 27
6.6.1.1. Desabilitação da Auditoria ............................................................................ 27
6.6.1.2. Alteração do histórico dos Arquivos ............................................................ 28
6.6.1.3. Logs de Console............................................................................................. 28
6.7. ESTEGANOGRAFIA E CRIPTOGRAFIA .............................................................. 29
6.7.1.1. CRIPTOGRAFIA............................................................................................. 29
6.7.1.1.1. Criptografia Simétrica .................................................................................... 30
6.7.1.1.2. Criptografia Assimétrica ou de Chave Pública .......................................... 31
6.7.1.2. ESTEGANOGRAFIA ..................................................................................... 31
6.8. CONSIDERAÇÕES FINAIS ..................................................................................... 33
7. CRONOGRAMA............................................................................................................. 34
7.1. DESCRIÇÃO DAS ATIVIDADES ............................................................................. 34
8. ANEXOS ......................................................................................................................... 35
9. GLOSSÁRIO................................................................................................................... 44
10. REFERÊNCIAS .......................................................................................................... 48
1. INTRODUÇÃO
À medida que a interação e interligação dos sistemas de informação se
tornam mais globalizados, as tentativas de fraude também ganham campo.
Os sistemas computacionais armazenam grandes quantidades de
informações referentes ao próprio sistema e os computadores, em si, mesmo que em
intensa atividade, praticamente acessam os mesmos dados, programas e outros
recursos repetidamente. Por essa razão os vestígios de atividades incomuns não
apenas se destacam, mas também são notáveis durante um longo período de tempo,
pois a maioria das informações são raramente tocadas.
A análise forense de um sistema computacional envolve um ciclo de coleta de
dados e processamento das informações, quanto mais precisos e completos os dados,
melhor e mais abrangente a avaliação pode ser, podendo assim, descobrir evidências
de crimes que possam ter sido realizados através de determinado sistema.
Em geral, os sistemas de log computacional armazenam arquivos como
sequência de bytes e organizam esses arquivos dentro de uma hierarquia de
diretórios. Possuem, no entanto, além dos nomes, conteúdo, arquivos e diretórios,
também outros atributos como posse, permissões de acesso, data/hora da última
modificação, entre outros.
A análise dos referidos arquivos tende a ser mais confiável quanto maior for a
quantidade de fontes de informações disponíveis e a independência das mesmas
entre si.
Para evitar ou ao menos dificultar essa busca, um invasor se utiliza de
técnicas antiforenses computacionais de ocultação ou corrupção de dados,
principalmente em logs de sistema, o que pode ser surpreendentemente difícil de
fazer, por exemplo, chips de memória podem ser lidos mesmo depois de uma máquina
ser desligada. Devido a essas “digitais” deixadas na invasão de um sistema,
constantemente são desenvolvidas técnicas para a limpeza dos rastros ou alterações
da confiabilidade das informações dos registros.
Para a compreensão dessas técnicas é necessário um conhecimento prévio
do que se trata a perícia forense computacional, a qual examina, cuidadosamente,
possíveis inconsistências de cada fragmento de informação, bem como dos arquivos
de log, responsáveis por registrar alterações ocorridas em um sistema, para, então,
desenvolver uma análise das técnicas usadas por invasores para a ocultação dos
rastros deixados durante a invasão do sistema.
2. MOTIVAÇÃO
Com o passar das décadas, um legado tem se formado com integração dos
computadores no modo de vida da humanidade. Nessa era informacional, a
informação se tornou o bem mais precioso e de extremo valor para a humanidade.
Infraestruturas essenciais da sociedade, como sistemas de comunicação, redes
financeiras, estações de energia e sistemas de saúde, dependem de sistemas
computacionais para um funcionamento eficiente e confiável. Além disso, cresce o
número de indivíduos que utilizam computadores pessoais por conveniência,
educação ou entretenimento.
Uma série de novas facilidades foi introduzida no cotidiano das pessoas
devido à internet, permitindo o acesso a quase todo tipo de informação ou sistema. É
fato que o mundo criminal, na mesma proporção, tem atingido essa evolução
computacional, tornando-se uma ferramenta para a consumação de crimes como
pornografia infantil, fraude e extorsão.
O aumento exorbitante dos crimes no mundo cibernético exige um
discernimento mais elevado de como se obter e utilizar as evidências encontradas, o
qual pode ser alcançado através dos conceitos e metodologias da forense
computacional. Isso, porém, não é o suficiente, sendo também necessário conhecer as
técnicas usadas para ocultar a prática dos antiforenses.
3. JUSTIFICATIVA
O despreparo em relação a segurança computacional, principalmente dos
usuários comuns, torna-se evidente em virtude do grande número de crimes
computacionais na atualidade, devido a facilidade com que os criminosos obtêm
acesso ilícito aos sistemas de informação.
A Figura 1 comprova o despreparo dos usuários no uso da internet, sendo
uma brecha para a segurança, tanto pessoal quanto do ambiente de trabalho, gerada
pelo pouco conhecimento das instruções preventivas necessárias.

Figura 1. – Quantidade de Spam e Computadores Infectados em um mês.


Fonte: http://info.abril.com.br/noticias/trend-micro/trend-mapa.html
No Brasil e no mundo, os crimes cibernéticos incluem desde sites
governamentais até rede sociais, causando prejuízo a toda a coletividade, conforme
alguns exemplos recentes de empresas e órgãos governamentais de diferentes países
que comprometeram informações sensíveis de milhões de pessoas em casos de falha
de segurança, a saber:
“O vazamento de dados sigilosos da Petrobras que veio à tona nesta quarta-feira
(14/02) é um dos primeiros casos nacionais deste tipo a ganhar destaque na
mídia. No entanto, a perda e o furto de informações sensíveis armazenadas em
computadores é um problema cada vez mais comum e preocupante no cenário
global.(...)
Nos Estados Unidos, mais de 120 milhões de norte-americanos tiveram
informações pessoais expostas em 2007, em incidentes de perda de dados.(...)
EUA perde dados de 3 milhões de condutores britânicos. Alunos do Reino
Unido foram vítimas da perda de arquivos em um disco rígido, que continham
nome, endereço, telefone e e-mail. (...)
Reino Unido perde dados de 7 milhões de famílias. Órgão que controla o
pagamento de impostos e benefícios reconheceu a perda de dados de 25 milhões
de registros de crianças beneficiárias. (...)
Dados de 100 mil trabalhadores são perdidos nos EUA. Órgão responsável
pela segurança em aeroportos informa a perda de um disco com informações de
1
atuais e antigos trabalhadores.”
Sites conhecidos como IDG Now, hospedado na UOL, apresentam
constantemente notícias sobre ataques, invasões e furtos de informações sigilosas, e
estatísticas como: “Brasil é líder em vírus que roubam dados bancários”, diz pesquisa
por Renato Rodrigues, do IDG Now! Publicada em 24 de agosto de 2010 às 17h52,
são evidências da importância desse trabalho, a conscientização da necessidade de
segurança e contextualização sobre o assunto.
É fato, como mostrado na Figura 2, mesmo com o pequeno crescimento do
conhecimento técnico de informática, a sofisticação dos ataques tem aumentado em
medidas inversamente proporcionais:

Figura 2 – Sofisticação dos ataques com o passar dos anos.


Fonte: Revista da Rede Nacional de Altos Estudos em Segurança Pública, 2008.

O comentário abaixo, dado pela empresa de antivírus Avast em 14 de Maio


de 2010, comprova que é grande o “mercado” para os antiforenses:
“Globalmente, os dados dos primeiros quatro meses de 2010 identificaram
252.000 domínios infectados, que foram visitados e identificados por meio de 11.9
milhões de visitas feitas por membros do 'CommunityIQ'”. (...)
Até portais de notícias, bastante utilizados e de grande abrangência, estão na
lista", diz Alexandre Almeida, diretor-geral da HTI Consultoria e Tecnologia,
distribuidor avast! no Brasil. "O mais importante é que esta afirmação não é

1
Disponível em: http://idgnow.uol.com.br/seguranca/2008/02/14/confira-outros-casos-recentes-de-
perda-e-roubo-de-dados-sigilosos/. Acesso em 27 de novembro de 2010.
resultado de especulação. Estes websites foram identificados em mais de 340.000
2
visitas de nossos membros brasileiros do avast! CommunityIQ", completa.”.
Em 14 de setembro de 2004, a BBC Brasil, já publicara que o Brasil se
tornara a “capital mundial dos hackers e da fraude na internet, segundo especialistas
reunidos em Brasília. De acordo com dados apresentados pela Polícia Federal no
evento, o Brasil é a casa de oito a cada dez hackers no mundo. No Brasil, a
quantidade de dinheiro perdida com a fraude financeira eletrônica ultrapassa o
prejuízo com o roubo de bancos. Cerca de 75% da pornografia infantil na internet
também teria origem no país.”3
A Cert.Br, Centro de Estudos, Resposta e Tratamento de Incidentes de
Segurança do Brasil, reporta os seguintes tipos de ataque:

Figura 3 – Incidentes Reportados no período de 2007 à 2010


Fonte: http://www.cert.br/stats/incidentes/2010-jul-sep/tipos-ataque-acumulado.html

Fica visível que o total de incidentes referentes a algum tipo de ataque tem
aumentado com o passar dos tempos, no entanto, quase não é visível a quantidade de
invasões ocorridas. Isso se deve em virtude da dificuldade na realização e detecção
da invasão.
A Figura 4 mostra o percentual de apenas 0,09% de invasões em relação a
outros tipos de ataques, revelando o nível de dificuldade para a realização da mesma.
Isto comprova que os criminosos que praticam a invasão possuem mais conhecimento
técnico que os demais que praticam outros tipos de ataques ao sistema e,
consequentemente, imputa à perícia forense a responsabilidade de maior capacitação,

2
Disponível em: http://www.avast.com/pt-pt/pr-avast!-releases-internet-security-forensics-data.
Acesso em 27 de novembro de 2010.
3
Disponível em:
http://www.almeidacamargo.com.br/AlmeidaCamargo/paginas/Informacao.asp?CodNoticia=223&Categori
a=6. Acesso em 29 de Novembro de 2010.
tendo em vista a dificuldade em detectar a invasão que pode gerar danos de
proporções catastróficas.

Figura 4 – Tipo de Ataque


Fonte: http://www.cert.br/stats/incidentes/2010-jul-sep/tipos-ataque.html

O pequeno percentual de invasores deve-se, principalmente, pela dificuldade


de alteração, defraudação e modificação dos registros em computadores sem que se
deixe um resquício da invasão, exigindo do invasor uma capacitação técnica maior
que para a prática de outros tipos de ataques a sistemas computacionais.
Desta forma, demonstra-se a importância do tema, no que se refere aos
cuidados com a segurança dos arquivos de log, tendo em vista que, para dificultar o
trabalho da perícia forense, o invasor adultera os registros do sistema, impossibilitando
o levantamento de rastros por ele deixado.

4. OBJETIVOS

4.1. OBJETIVO GERAL


Objetiva-se com esse trabalho a realização do estudo e aplicação das
técnicas antiforenses computacionais em sistemas de registros (logs) com a finalidade
de demonstrar como os invasores ocultam suas ações em uma invasão, para que
assim, profissionais forenses e administradores de redes possam bloquear ou estar
atento ao uso dessas técnicas.

4.2. OBJETIVOS ESPECÍFICOS


Pretende-se abordar de forma focada o tema da perícia forense
computacional, apontando os campos de conhecimento necessários para coleta,
análise e manipulação das informações.
Apresentar os mecanismos legais referentes aos crimes informáticos;
desenvolver uma abordagem dos sistemas de log encontrados durante a análise
forense e uma visão geral de como funcionam nos Sistemas Operacionais Linux e
Windows.
Classificar os antiforenses computacionais quanto as suas metodologias e
softwares auxiliares usados para a invasão e ocultação dos rastros em arquivos de
log.
Executar e simular um ambiente invadido por um invasor antiforense e a
ocultação de seus rastros no sistema de log, usados para impossibilitar ou dificultar a
procura de dados que comprometam o invasor ou denunciem as fraudes ao sistema.
Apresentar as considerações finais quanto ao grau de dificuldade para a
ocultação dos vestígios deixados durante o ataque a um sistema e possível proposta
de prevenção aos crimes de invasão de arquivos de log.

5. METODOLOGIA
A metodologia usada por este trabalho de conclusão de curso possui os
seguintes passos:
• Coletar informações referentes à perícia forense computacional, logs
de sistemas operacionais, antiforense e suas técnicas, através de artigos,
TCC, Monografias e Livros.
• Selecionar assuntos referentes à filosofia hacker, hackerismo, forense
computacional, antiforense computacional, sistemas operacionais, logs
ou registros e sistemas de arquivos.
• Descrever sobre a perícia forense computacional e sobre o perito
forense, abordando campos de atuação e como agem no âmbito da lei.
• Descrever sobre Sistemas de Registro (Logs), em Linux e Windows,
abordando sobre características, quais os principais e sua relação com o
perito forense e o antiforense.
• Descrever sobre o antiforense computacional, suas características e
etapas de um ataque à um sistemas computacional.
• Descrever sobre técnicas antiforenses computacionais, adulteração de
registros, desabilitação de auditoria computacional, alteração do histórico
dos registros.
• Descrever sobre técnicas como esteganografia e criptografia e como o
antiforense se utiliza dessas técnicas para manter o sigilo de suas
informações.
• Instalar o Sistemas Operacional BackTrack, que consiste em um
arsenal de testes baseados em Linux que auxiliam profissionais de
segurança a realizar análises e coleta de informações. Auxilia também os
antiforenses, devido à ferramentas disponíveis, na realização de
invasões.
• Simular técnicas antiforenses computacionais no Sistema Operacional
BackTrack, para extrair considerações quanto à dificuldade da ocultação
de uma invasão nos sistemas de log.
• Desenvolver as considerações finais.
6. REFERÊNCIAL TEÓRICO
No referencial teórico abordam-se as características da perícia forense
computacional, sua definição, atuação, legislação e processos. Conseguinte,
abordam-se os sistemas de registro, conhecidos como log. Descreve características
principais, tais como MACTimes e a volatilidade dos dados. Como se comportam tanto
em ambiente Windows como Linux. A seguir definem-se os antiforenses
computacional, etapas de um ataque computacional e o que seria auditoria em
sistemas computacionais e sua relação com o invasor. Por último, algumas técnicas
usadas por um invasor para manter seu sigilo e esconder seus delitos, técnicas como
criptografia de dados e esteganografia, desabilitação de auditoria, adulteração dos
sistemas dos registros, histórico de arquivos e logs.

6.1. PERÍCIA FORENSE COMPUTACIONAL


Este tópico aborda sobre a perícia forense computacional. Também define as
características do perito forense e quais os campos de atuação. Aborda também,
sobre crimes informáticos, sua legislação geral e específica para o Brasil. E quais os
processos da perícia forense computacional.

6.1.1. DEFINIÇÃO DA PERICIA FORENSE COMPUTACIONAL


A forense computacional é considerada a arte e ciência de arrebatar e
considerar evidências digitais, reconstruindo ataques e recuperando dados, e rastrear
invasores. E mesmo sendo uma área de pesquisa relativamente recente, é crescente
a indigência de incremento nesse campo, uma vez que a utilização de computadores
em prestezas criminosas tem se tornado uma prática ordinária.
Para tanto, conceitos essenciais devem ser entendidos, como diz Farmer e
Venema (2007), a volatilidade e a divisão em camadas e confiança, a coleta de
quantidade máxima de evidências confiáveis de um sistema em execução, a
recuperação de informações parcialmente destruídas.
Para que essas informações sejam uteis, deve-se reconstruir a linha temporal
do sistema. Para que descobrir alterações minuciosas em cada parte escondida,
desde o kernel ä utilitários, assim, poder descobrir evidências ocultas.
Há a necessidade de a perícia coligar rastros digitais adjuntas a atividades
implicadas, entendendo a lógica dos sistemas de arquivos na perspectiva forense,
distinguindo e considerando malwares, e impedindo-os de se alojarem em seus
sistemas.
Além de capturar e examinar o conteúdo da memória em sistemas em
operação deve, por último, seguir metodologias de descobrimento de uma invasão.
As características já citas devem estar incrustadas no caráter e personalidade
do perito.
6.1.2. PERITO
O perito forense computacional, majoritariamente, consiste em um analista de
sistemas, especialista em metodologias laboratoriais e padronização da investigação,
aquisição, análise e manuseio de evidências em inquéritos, forense digital, inteligência
e contrainteligência, como definem vários autores.
Labuta em investigações e produção de projetos para a inteligência e contra
inteligência do governo, domínios de segurança metropolitanos, tanto quanto em
empresas nacionais e internacionais do ramo financeiro, telefônico, bancos e
instituições de ensino.
Utilizam-se do perito para inquéritos criminais, como o uso excessivo da
Internet funcionários de uma empresa, chantagem, agravos a ativos, “phishing”,
estelionato, casos de pedofilia, dentre outros, com o intuito de obter provas em relação
à realização de tais delitos.
Para manipular uma evidência computacional, é necessário estabelecer
algumas políticas e procedimentos, com o intuito de prover resultados válidos e
reproduzíveis para toda a comunidade científica.
Explana Freitas (2006) que a definição do perito computacional consiste em
uma parte da criminalística que abrange a aquisição, prevenção, restauração e análise
de evidências computacionais, sendo os componentes físicos ou dados que foram
processados digitalmente e armazenados em mídias computacionais.
Alan Turing (1950) criou um teste para inteligência de máquinas, no qual
deveria ser feito como uma entrevista via teleimpressoras, as em uma das telas de
computadores atuais. Perguntas eram feitas por um entrevistador que aguarda
respostas sem saber se eram de humanos ou computadores. Segundo Farmer e
Venema (2007), a análise forense aplicada à informática tem fortes paralelos com o
teste de Turing.
Examinam-se as informações a partir de um sistema de computador e
retiram-se as conclusões a partir dessas. Não obstante, sem uma análise mais
profunda e detalhada, não há como saber se a informação vista são vestígios do que
realmente aconteceu em uma máquina ou se consiste no que o invasor quer que o
perito acredite.
Averígua-se então, que o forense computacional é especialista em analise,
obtenção, preservação e recuperação de dados em mídias eletrônicas, computadores,
redes, ou componentes eletrônicos que possam ter sido usados para ações criminais.
Podem atuar por duas vertentes diferentes, a Forense Proativa, a qual trata
da acepção do intento da segurança de um instituto, ordenada por analistas de
segurança, responsáveis pela análise diária dos dados da organização e implementa
políticas de segurança. E a Forense Reativa, que entra em atividade após um
incidente, e que tenta recriar o espaço criminal, içando proeminências com o fim de
gerar provas.

6.1.3. PROCESSOS DA PERICIA


Alguns autores distribuem a execução de perícia forense computacional em
quatro fases, com o intuito de levantar, examinar e analisar as informações, para
então, gerar a documentação técnica.
Aspectos legais e técnicos, as políticas e técnicas, e ainda a utilização de
ferramentas, são passos atribuídos pelo perito forense computacional para a aquisição
de evidencias.
Todas as etapas da perícia devem ser baseadas nos processos citados.
Mesmo que em momentos diferentes, sendo um durante a coleta dos dados, outro na
análise e no exame das informações, ou durante a documentação, os processos
devem ser seguidos.
Devido à necessidade de superficialização concernente a esse trabalho em
relação ao assunto, a documentação técnica será deixada de lado, devido às muitas
diferenças entre cada perito forense.

6.1.3.1. Coleta dos dados


A fase de coleta de dados conglomera uma sequência de passos que visam
manter a total integridade das evidências encontradas e coletadas.
Durante a pré-coleta, concernentes à chegada ao local da investigação,
alguns cuidados são adotados. O isolamento da área ou local do crime, que visa
impedir alguma alteração ou contaminação das evidências, ou se necessário,
fotografar ou filmar o ambiente ou equipamento para amparar alguma análise futura,
são fatores fundamentais para se manter a integridade da análise.
Investigam-se, na fase de coleta, possíveis fontes de dados. Computadores,
dispositivos eletrônicos, portas de comunicação de periféricos, são identificados para
procura de evidências criminais. Além dos dados internos ao ambiente analisado,
dados significativos podem estar em provedores, servidores ou outros domínios
externos à cena averiguada.

6.1.3.2. Exame dos dados


Na fase de exame dos dados, somente as informações mais importantes à
investigação são avaliadas, extraídas, filtradas e documentadas.
Diversos processos, ferramentas e técnicas disponíveis, podem reduzir muito
a quantidade de dados que necessitam de um exame minucioso, pois grande
quantidade de informação pode não ser útil e muito trabalhosa de se analisar. Filtros
de palavras-chaves ou de arquivos, por exemplo, pela extensão do mesmo,
permissões de acesso, entre outros, são meios importantes para se fazer essa
seleção.

6.1.3.3. Análise de informações


Somente extrair dados relevantes, não é o suficiente. O perito forense deve
analisar e interpretar essas informações de forma correta.
O passo de análise de informações visa identificar características que
indiquem relações com a área do crime, como pessoas, e-mails, telefones, locais,
vídeos.
A análise das evidências levanta artefatos que indicam ou não, paralela à
etapa do exame, se os eventos investigados estão relacionados.
Freitas (2003) divide o método de análise pericial em duas categorias, a
análise física e a análise lógica. O exame sequencial e a obtenção de dados de todo o
conceito pericial, dos arquivos normais às partes inacessíveis da mídia, definem a
análise física, em contra partida, a análise lógica refere-se à análise dos arquivos de
partições.

6.2. CRIME INFORMÁTICO


Existem algumas definições que tangem o assunto sobre “crime informático”,
porém vários autores apresentam pontos de vista diferentes. Por exemplo, Ferreira
(2000) define crime informático como uma “ação típica, antijurídica e culpável
cometida contra ou pela utilização de processamento automático de dados ou sua
transmissão”.
Corrêa (2000) afirma que “crimes informáticos seriam todos aqueles
relacionados às informações arquivadas ou em trânsito por computadores, sendo
esses dados, acessados ilicitamente, usados para ameaçar ou fraudar”. Já Corrêa
focaliza na ocorrência do crime contra o computador, suas informações arquivadas ou
interceptação indevida destes dados.
Crimes tradicionais podem ser potencializados com o advento da informática,
tais como extorsão, ameaças, furto, estelionato, no entanto, constantemente podem
surgir novos crimes, como exemplo, o “bullying” (termo em inglês que define ato de
violência física ou psicológica).
Pinheiro (2001) classifica crimes informáticos em três categorias distintas: o
crime virtual puro que deriva quando o computador é atacado física ou tecnicamente,
sendo alvo único, sendo tanto o hardware, quanto o software. E em segundo, o crime
virtual misto que consiste no uso da internet é atributo “sine qua non” para o ato do
crime, mesmo sendo o receptor de outrem ao informático. E por último o crime virtual
comum cuja informática é apenas um instrumento para a realização de um crime já
tipificado pela lei penal. Por exemplo, pedofilia infantil, através da distribuição de
vídeos pornográficos, ou ofensas das mais variadas, tais como email que difamem a
imagem de um indivíduo.
Vianna (2003) divide os crimes em quatro categorias, primeiramente como
crimes informáticos impróprios os quais consistem no computador como instrumento
para a execução do crime, sem ofensa ao bem e a não transgressão dos dados. Os
crimes informáticos impróprios podem ser, por exemplo, calúnia (art. 138 do CP
Brasileiro), difamação (art. 139 do CP Brasileiro) e injúria (art. 140 do CP Brasileiro).
Define também, os crimes informáticos próprios que são determinados quando o bem
jurídico protegido pela norma penal não viola os dados.
Em terceiro define os crimes informáticos mediatos ou indiretos que seria o
delito-fim não informático que herdou esta característica do delito-meio informático
realizado para possibilitar a sua consumação.
E por último, os crimes cibernéticos seriam crimes complicados em que, além
do amparo da inviolabilidade dos dados, a norma visa tutelar o bem jurídico de
natureza distinta. (VIANNA, Túlio Lima. Fundamentos de Direito Penal Informático.
Rio de Janeiro: Forense, 2003).
Diariamente, há uma grande quantidade de crimes informáticos, os quais se
intensificam mais a cada dia. Isso se deve ao fato do aumento exacerbado do uso de
computadores e internet. Assim, o aumento de condutas ilícitas se torna evidente,
essas quais, descritas por Zanellato (2003) em ANEXO A - Condutas Ilícitas.
Em 1990, em Havana, Cuba, a ONU, divulgou uma lista com os tipos de
crimes informáticos. Ocorreu no Oitavo Congresso sobre Prevenção de Delito e
Justiça Penal e foi dividido em três categorias descritas no ANEXO B – Fraudes.
No ano 2000, no X Congresso sobre Prevenção de Delito e Tratamento do
Delinquente, em Viena, Áustria, divulgou-se uma lista com mais alguns tipos de crimes
informáticos, executados por intermédio do computador descritos no ANEXO C –
Décimo Congresso sobre Prevenção de Delito e Tratamento do Delinquente.
O roubo de identidade, segundo Carpanez (2006), é o crime informático de
maior execução na atualidade. O indivíduo mal intencionado coleta informações
particulares da vítima atuando de forma criminosa em várias áreas, tais como cessões
financeiras impróprias ou mesmo a aquisição de contas de e-mails de outrem.
Como se pode averiguar, a pedofilia, calúnia e difamação, ameaças,
discriminação, espionagem industrial, entre outros assumem posição de destaque,
junto ao crime informático de maior execução, o roubo de identidade.

6.2.1. NO BRASIL
Grandes são as referencias que discutem sobre projetos de leis que tramitam
no Congresso Nacional. Devido à falta de interesse desses, e também devido à
colossal burocracia, nenhum projeto importante está incluso na legislação brasileira e
muito menos alguma emenda que contribua para a atualização da mesma.
Este assunto é tratado por alguns autores como uma necessidade que nasça
um novo Direito da Informática, para outros, apenas um ramo do Direito Penal e
Processual Penal.
Alguns crimes são identificados pela Convenção Contra Cibercrime, tais
como pedofilia e direitos autorais, e alguns outros abordados pelo Código Penal.4
Conforme a Convenção, a legislação penal em cada Estado signatário deve
tratar e a sua correspondência na legislação brasileira, como se define as
recomendações da Convenção das leis ou códigos, em ANEXO D - Leis Contra
Cibercrime.
Tanto em seus capítulos como em seu preâmbulo, a convenção estabelece
aos países-membros a obrigação de preservar os direitos humanos fundamentais e as
liberdades civis. Acesso público ao conhecimento e a Internet, assim como liberdade
de expressão, são exemplos dessas obrigações

6.3. SISTEMAS DE REGISTRO (Log)


Os arquivos de Log consistem em um sistema crítico com centenas de
milhares de acesso por dia. Proporciona uma análise completa do funcionamento do
hardware, acessos, e-mails, programas, entre outros. Neste tópico apresentam-se as
definições dos registros de log, algumas de suas características, como volatilidade e
mactimes, para que servem e qual a sua importância. Para, então, abordar
características desses logs no Linux, descrevendo como são, sua localização, quais os
principais e qual a sua função. Com a mesma lógica de desenvolvimento, como se
comportam esses logs no Sistema Operacional Windows.

6.3.1. OOV – “Ordem da Volatilidade”


Todos os dados são voláteis (FARMER e VENEMA, 2007), e a Ordem da
Volatilidade está intimamente relacionada com a coleta desses dados. A veracidade
das informações, assim como a capacidade de recuperação ou validação dos dados,
diminui com o passar do tempo. A Ordem da Volatilidade consiste em dois membros
de uma hierarquia, as informações impossíveis de recuperar dentro de um espaço de
tempo muito curto, definido por Farmer como parte superior, e a parte inferior
concernente às formas bastante persistentes e raramente mudam.
Qualquer alteração no sistema pode desencadear alterações em outras
áreas, e dessa forma comprometer dados importantes em um registro.

4
Artigo sobre Crimes Informáticos. Disponível em: http://www.artigos.etc.br/crimes-
informaticos-legislacao-brasileira-e-tecnicas-de-forense-computacional-aplicadas-a-essa-
modalidade-de-crime.html. Acesso em: 30 de novembro de 2010.
O Quadro 1 descreve a relação entre tipos de dados e seu tempo esperado
de vida.

O ciclo de vida esperado dos dados.


Tipos de Dados Tempo de Vida
Registradores, memória periférica, caches, etc. Nanossegundos
Memória Principal Dez nanossegundos
Estado da rede Milissegundos
Processos em execução Segundos
Disco Minutos
Disquetes, mídia de backup, etc. Anos
CD-ROM, impressões, etc. Dezenas de Anos

Quadro 1 – Ciclo de Vida dos Dados


Fonte: Farmer e Venema (2007), p. 172.

6.3.2. MACtimes
Farmer e Venema (2007) definem o mactime como numa maneira de se
referir aos três atributos de tempo – mtime, atime e ctime. – que são anexados a
qualquer arquivo ou diretório no Windows, UNIX e em outros sistemas de arquivos.
Essas abreviações possuem o seguinte significado:
• Atime: última data/hora em que o arquivo ou diretório foi
acessado.
• Mtime: muda quando um arquivo ou diretório é
modificado.
• Ctime: monitora quando o conteúdo ou as meta-
informações sobre o arquivo mudaram, tais como o proprietário, grupo, as
permissões de arquivo e assim por diante.
O Quadro 2 mostra como se apresentam os MACtimes em um sistema
computacional.

MACtime de um Sistema
Mon Jun 10 2010 C://system32/dri
19:33:10
3888 m.. -/-rwxrwxrwx 48 0 112-128-4
vers/NTHANDLE

Thu Jun 13 2010 C://system32/oe


21:01:34
2229 .ac -/-rwxrwxrwx 48 0 263-128-4
mnadem.inf

Quadro 2 – MACtime de um sistema.

6.3.3. Log no Windows


Os sistemas operacionais Windows a partir do NT possuem três tipos de logs:
Aplicativo, Segurança e Sistema.
Podem-se localizar esses registros em C:\Windows\System32\Config, com os
quais se obtêm informações tais quais usuários têm acesso a determinado arquivo,
quais usuários logaram no sistema, falhas no logon, uso de aplicações e mudanças de
permissões.
O arquivo de registro de Sistema é denominado sysevent.evr o qual realiza o
registro de ações referentes a drivers de dispositivos e a processos gerados pelo
sistema.
O arquivo de registro de Aplicativo consiste no appevent.evt que registra
eventos relacionados a aplicativos comerciais, que são erros e informações que o
programa deseja registrar.
O log de Segurança cuja denominação de arquivo é “secevent.evt” registra
eventos parametrizados na política de auditoria, que podem ser visualizados somente
pelo administrador, o que não ocorre com os logs de Sistema e Aplicativo que podem
ser vistos por qualquer usuário , como declara Oliveira (2002). Abrange alterações nos
privilégios de usuários, na diretiva de auditoria, acesso a arquivos e diretórios,
segundo Freitas (2006).
A Figura 4 demonstra como é a interface gráfica da Diretiva de Segurança
Local no Windows XP.

Figura 4 – Configurações Locais de Segurança do Windows XP.

É indispensável além da análise dos logs de eventos, a verificação de logs de


programas de terceiros, como antivírus e os gerados por utilitários do sistema
operacional. Estes criam arquivos de log específicos que podem ser úteis durante o
processo de análise.
A extensão evt é o padrão utilizado para arquivos de log do Windows. Pode
ser aberto em outro computador, através de Visualizar Eventos com Windows
compatível instalado. Arquivos com extensão Comma Separated Values (csv) podem
ser abertos em planilhas como o Excel e Open Office. Estes logs podem ser salvos no
formato evt, csv e txt para serem analisados posteriormente.
Os logs mencionados podem ser visualizados no Visualizar Eventos do
Windows XP, representado pela Figura 5.

Figura 5 – Visualizar Eventos do Windows XP.

A coluna Evento de Visualizar de Evento é a de maior interesse para o


investigador, pois possui o identificador do evento, através do qual é possível realizar
filtragens. Freitas (2006) descreve quais os identificadores de eventos de segurança
na página 161, os quais podem ser vistos no ANEXO G – Identificadores de eventos
de segurança.

6.3.4. Log no Linux


Os arquivos de log no Linux estão contidos no diretório /var/log, e são
arquivos de textos que armazenam as informações referentes ao sistema. Para o
Linux o log mais importante é conhecido como syslogd.
A funcionalidade do syslogd é gerenciar os logs do sistema e em capturar as
mensagens do kernel. Esse log suporta tanto login local como remoto. No Anexo G
há um trecho originalmente escrito por Eric Allman, que descreve sucintamente as
funcionalidades do syslog.
Para visualizar os logs do sistema operacional Linux, basta acessar a área
administrativa do sistema, encontrar o visualizador de logs e executá-lo. Porém pode
ser feito pelo terminal gnome, basta executar o seguinte comando: cd /var/log. Com o
comando “ls” é possível visualizar quase todos os logs do sistema.
A Figura 06 apresenta, na forma de Interface gráfica como é disponibilizado
os logs do sistema.

Figura 6 – Sistema de Registro do Linux


Alguns logs, dos mais diversos existentes, proporcionam ao perito,
informações mais importantes que outros. A maior parte dos registros do sistema se
encontra dentro do diretório /var/log.
O Quadro 3 descreve alguns dos principais arquivos de log do Linux e
respectivas funcionalidades e finalidades.

LOG FUNCIONALIDADE
btmp Informa quando ocorreu a última tentativa de login que não teve sucesso no
sistema
messages Armazena os acessos ocorridos nos sistema
smbd Possui informações referentes ao servidor de arquivos do Linux que suportam
uma rede Windows.
httpd Informações do servidor Web Apache.
maillog Informações referentes ao servidor de Emails
syslog. conf Informa onde estão armazenados os logs do sistema. (Deve-se cuidar com
alterações feitas por um invasor).
auth.log Informações de acesso como root, inclusive o sucesso.
daemon.log Informação referente às tentativas de conexão, remotamente ou localmente.

QUADRO 3 – Principais Logs e Sua Funcionalidade.


6.4. ANTIFORENSE COMPUTACIONAL
Neste tópico, abordam-se no que consiste o antiforense computacional, quem
prática tal ato e porque o faz. Também será discorrido, sobre as técnicas antiforenses,
como ocorre a desativação de sistemas de auditoria, adulteração dos registros,
esteganografia e criptografia e para então, ocultação da invasão.

6.4.1. CLASSIFICAÇÃO
Em meados dos anos 60 o termo hacker originou-se da palavra phone hacker,
hackers que entendiam de sistemas telefônicos e utilizam seus conhecimentos para
telefonarem sem custo algum.
O termo que caracteriza as pessoas que burlam sistemas de segurança por
algum motivo pessoal, deriva do inglês, hack, que significa corte, pois “cortam” a
segurança.
Para tal efeito, do conhecimento adquirido por essas pessoas, e suas
respectivas intenções perante a sociedade, classificam-nos como: White Hats (hackers
éticos), Black Hats(hackers mal-intencionados), Script-Kiddies ou Crackers.
Os White Hats (hackers éticos) consistem nas ideologias mais próximas do
hacking, uma vez que buscam o conhecimento, sejam eles públicos ou privativos. O
objetivo principal desses é aprender. Passam parte de seu tempo estudando como
funcionam os sistemas informativos que regem o mundo.
Em relação à sua contribuição para a comunidade, desenvolvem softwares
livres, tais como o Sistema Operacional GNU/Linux, fóruns de ajuda técnica, e
informações referentes à segurança de software, defendendo o conhecimento livre e à
disposição de todos.
A linha entre o White Hat e o Black Hat é tênue. O Black Hat busca poder na
informação e em suas habilidades de realização. Quando descobrem uma
vulnerabilidade em um produto comercial ou livre retêm o conhecimento até adquirirem
vantagens.
Dessa linhagem de hackers surgem os scripts kiddies, que se utilizam das
ferramentas ou técnicas produzidas por um nicho de Hackers. As invasões em massa,
adulteração de sites importantes com mensagens de protesto, entre outras formas de
infâmia, são atribuídas aos Scripts Kiddies.
Atribuem-se esse nome por não terem a consciência das conseqüências de
suas atitudes, e na maioria das vezes não saber o que fazem.
Por último os crackers, são os responsáveis pela criação dos cracks, visando
à quebra de ativações de softwares comerciais, conhecido como softwares piratas.
Milhões de dólares de prejuízo de empresas de software e também por códigos
maliciosos são derivados dessa classe de hacker.
6.4.2. ETAPAS DE UM ATAQUE
Basicamente a realização de um ataque possui a seguinte anatomia:

Figura 7– Anatomia de um Ataque


Fonte: Segurança da Informação – Disponível em: www.cin.ufpe.br

Mesmo não sendo o foco deste trabalho, torna-se necessário contextualizar


sobre etapas de qualquer ataque em um sistema.
O Footprinting, ou reconhecimento, é a técnica de coleta de informações
sobre os sistemas e as entidades a que pertencem. Isto é feito através do emprego de
técnicas de segurança de vários computadores, como: consulta de DNS, enumeração
de rede, consulta de rede, por exemplo, porta IP do SSH, identificação do Sistema
Operacional, consulta organizacional, ping, consulta pontos de acesso e engenharia
social (WHOIS).
Quando usada no léxico segurança do computador, "pegadas" geralmente se
refere a uma das fases de pré-ataque, as tarefas realizadas antes de fazer o ataque
real. Algumas das ferramentas utilizadas para footprinting são Sam Spade , nslookup ,
traceroute, Nmap e NeoTrace.
Já durante a fase de varredura, ou scanning, de posse dos dados coletados o
invasor pode determinar quais sistemas estão ativos e alcançáveis ou, por exemplo,
quais portas estão ativas em cada sistema. Para isso utilizam-se de muitas
ferramentas que estão disponíveis, tais como: nmap, system banners, informações via
SNMP (do inglês Simple Network Management Protocol - Protocolo Simples de
Gerência de Rede).
Para a descoberta da tipologia da rede, utiliza-se de ferramentas de
descoberta automatizadas, tais como cheops, ntop, entre outras. Para tal fim o ping,
traceroute, nslookup, tornam-se comandos de maior utilização.
Outra etapa importante é a enumeração, onde o invasor faz consultas
intrusivas como consultas diretas ao sistema, no qual pode ser notado, faz a
identificação de logins válidos, identificação versões de HTTP e FTP.
Para a identificação da rede verifica-se: compartilhamentos (Windows) com os
comandos “net view” e “nbstat”, os arquivos de sistema exportados (Unix) com o
comando showmount. Para então, verificar as vulnerabilidades mais comuns do
sistema através do “nessus”, “Saint”, “satan”, “sara” e “tara”.
Na etapa da invasão, ou no ganho de acesso, com as informações coletadas,
as estratégias de invasão são definidas. O invasor por possuir uma base de
informações referentes a vulnerabilidades procura bugs no SO, kernel, serviço,
aplicativo, por respectivas versões. Assim pode adquirir ao menos os privilégios de
usuário comum. Para conseguir senhas e outros privilégios, utiliza-se de técnicas
como: “password sniffing”, “password crackers”, “password guessing”, “session
hijacking” (seqüestro de sessão) e ferramentas para bugs conhecidos “buffer overflow”.
Com o acesso comum, procura o acesso completo do sistema (root ou
administrador), o que define a escalada de privilégios. Algumas ferramentas são
conhecidas para a procura de bugs, tais quais os “exploits”. A escalada de privilégios
utiliza-se das mesmas técnicas anteriores, com acréscimos de “replay attacks” e
“trojans horse”.
O invasor procura evitar a detecção de sua presença, utilizando-se de
ferramentas que desabilitem a auditoria, para isso é necessário, inclusive tomar o
cuidado com o tempo excessivo de inatividade, que denunciam um ataque, pois
deixam espaços evidentes nos logs. São conhecidas algumas ferramentas para
abscisão seletiva do “event log”, os quais podem esconder arquivos instalados no
sistema (“backdoors”).
O objetivo é a manutenção do acesso, utilizando de ferramentas como
“rootkits”, “trojan horse” e “backdoors”. Através dos “rootkits”, que consistem em
ferramentas ativas, porém ocultas, se confundem com o sistema, escondendo
comandos modificados para não revelar o invasor. Através dos “trojan horses”, o
invasor obtém informações como captura do teclado ou um email com senhas do
sistema. E por ultimo com os backdoors, o invasor possui acesso remoto sem
autenticação, inclusive não aparecem na lista de processos.
Os ataques são realizados pelo invasor com os seguintes objetivos:
dispêndios de banda da rede, colapso de recursos, usarem de falhas de programação
(Ex: Ping da Morte), dano de roteamento ou sabotagem de DNS.

6.5. AUDITORIA
A auditoria consiste na fiscalização e gerenciamento das conexões realizadas
ou serviços do sistema, juntamente à segurança preventiva e corretiva. É necessário
um exame cuidadoso, sistemático e independente das atividades desenvolvidas em
determinada empresa ou setor, pois visa verificar se está de acordo com o
planejamento, estabelecido previamente, e se foram aderidas com eficácia e se estão
adequadas, ou seja, em conformidade à consecução dos objetivos.
Classificam-se as auditorias em externa e interna havendo várias
ramificações: auditoria de sistemas, de recursos humanos, de qualidade, de
demonstrações financeiras, jurídica, contábil, entre outras. (Wikipédia, 2010)
Para facilitar o gerenciamento das informações desenvolveram-se várias
ferramentas que auxiliam a auditoria. Stephen Hansen e Todd Atkins desenvolveram o
SWATCH (The System Watcher - O vigia do sistema), o qual monitora em tempo real o
sistema, além do login. Possui um utilitário chamado "backfinger" que tenta tomar
informações do host usado para o ataque. Para reportagens de atividade, possível até
de minuto em minuto, o “instant paging” possui essa finalidade. Possui também,
execução condicional de comandos, que realiza algum comando caso encontre
alguma das condições previstas nos arquivos de log.
Para análise de arquivos de log o LOGSURFER e o NETLOG são exemplos
desses programas. O primeiro, LOGSURFER, analisa arquivos de registro de eventos
(logs) do tipo texto e, com base no que achar realiza várias ações. O NETLOG,
desenvolvido pela Universidade A&M do Texas, verifica o tráfego UDP, TCP e ICMP.
Um invasor, com certeza, se experiente, procurará desabilitar a auditoria do
sistema ou de uma rede, ou ao menos, conseguir acesso sem que seja rastreado.

6.6. TÉCNICAS ANTIFORENSES


Neste ponto, a parte mais difícil para o atacante já passou. Ele conseguiu
acesso administrativo a um servidor e provavelmente a uma parte significativa da
árvore de uma rede.
Em um Sistema Operacional de Redes Novell NetWare, utilizado pela Justiça
Federal do Paraná, por exemplo, os seus próximos passos são obter acesso rconsole
e capturar os arquivos NDS, que consiste em um banco de dados global, onde são
fornecidos acessos centralizado e são realizados a gerencia das informações, dos
recursos e dos serviços da rede.
Alcançado os privilégios necessários, o invasor de um sistema procurará
ocultar sua invasão, por isso esse tópico abordará a adulteração dos registros,
técnicas de esteganografia e criptografia.

6.6.1. ADULTERAÇÃO DE REGISTROS


O Invasor fará o máximo para ocultar seus rastros, ou seja, desativação da
auditoria, modificação de datas de acesso, modificação dos arquivos e adulteração
dos registros de log.

6.6.1.1. Desabilitação da Auditoria


A fim de realizar seu trabalho, atacantes experientes verificarão a auditoria e
desativarão certos eventos.
Para desativar, por exemplo, na rede Novell, a auditoria para o diretório de
serviços e servidores, o invasor inicia o SYS:PUBLIC\auditcon, seleciona Audit
Directory Services, seleciona o contêiner que deseja trabalhar, pressiona F10,
seleciona Auditing Configuration, e desabilita a auditoria de determinado contêiner.
Dessa forma o invasor pode adicionar contêiner e usuários aos contêineres sem que o
administrador saiba.
Um dos servidores web mais utilizados na web é conhecido como Apache. No
Linux, as informações sobre ocorrências e alterações que ocorrem, as quais são
gravadas no arquivo de log do apache, encontra-se em /usr/local/apache/logs. O
acess_log é considerado o um dos mais úteis, uma vez que registra todas as
solicitações processadas pelo servidor.5
O invasor preocupa-se em apagar ou adulterar esses logs, pois fornecem
muitas informações para o administrador do sistema. O auditd é o daemon de
auditoria do kernel do sistema Linux, e consiste em um mecanismo responsável por
gravar os registros de auditoria em disco, o que apresenta grande risco para o invasor.

6.6.1.2. Alteração do histórico dos Arquivos


Os arquivos do sistema possuem um histórico, inclusive com datas de
acesso, modificações, entre outros. O invasor deve adulterar a data dos mesmos para
que não seja descoberto tão facilmente nos dias em que houve invasão.
Especificamente para uma rede Novell, para não serem descobertos, o
invasor altera os arquivos autoexec.ncf ou netinfo.cfg. Para tal utiliza-se do
SYS:PUBLIC\filer para retroceder a data de alterações. Semelhantemente ao uso do
comando touch no UNIX e no NT, “filer” é um utilitário de menus baseado no DOS,
usado para localizar arquivos e alterar seus atributos (MCCLURE, SCAMBRAY,
KURTZ, 2003.).
Para alteração desses arquivos inicia-se o “filer” em SYS:PUBLIC, seleciona-
se “Manage Files and Directories”, localiza-se onde está o arquivo desejado, o
seleciona o campo “View/Set File Information” e por último altera-se o “Last Accessed
Date” e o “Last Modified Date”.
Em qualquer sistema, o invasor preocupa-se em alterar o histórico dos
arquivos, pois dessa forma, dificulta o trabalho do perito forense, já que adultera a
confiabilidade das informações.

6.6.1.3. Logs de Console


A Novell monitora as mensagens e erros do console, para detectação e

5
Informações do site Apache disponível em: http://httpd.apache.org/docs/2.0/logs.html.
Acesso em 29 de novembro de 2010.
bloqueio de intrusos, através do Conlog.nlm. Pressupondo-se que o atacante já possui
o acesso ao rconsole, ele usará o comando unload conlog para interromper o registro
em um arquivo de log. Para reiniciar o registro em um arquivo console.log totalmente
novo o invasor utiliza-se do comando load conlog. Esses erros são armazenados no
arquivo SYS:SYSTEM\sys$err.log. Para adulteração desses arquivos e ocultação de
sua invasão, o invasor deverá ter os privilégios de administrador do sistema.

6.7. ESTEGANOGRAFIA E CRIPTOGRAFIA


O antiforense pode utilizar-se de técnicas conhecidas, porém muito eficazes,
para ocultar informações importantes antes, durante ou após a realização de um
ataque. Essas técnicas são conhecidas como esteganografia, arte de esconder
informações em imagens, e criptografia, a arte de tornar dados escritos ilegíveis,
através de algoritmos e chaves de segurança.

6.7.1.1. CRIPTOGRAFIA
Criptografia é um processo cujo principal objetivo é embaralhar as
informações originais por meio de algoritmos (OORSCHOT, 2003). Os dados, ao ser
aplicado um tipo de criptografia, devem ser ilegíveis para todos, com exceção dos que
possuem a chave para transformar os dados para a forma original.
A criptografia é capaz de proteger a confidencialidade das informações, mas
outras técnicas são necessárias para manter a integridade e a autenticidade de uma
mensagem, como a verificação do código de autenticação de mensagem (MAC) ou
uma assinatura digital.
Uma das bases da criptografia é o uso de chaves, as quais ao serem
combinados com a mensagem que será transmitida geram uma informação
embaralhada. Portanto, se a origem precisa utilizar a chave para encriptar a
mensagem, o receptor precisa ter conhecimento dessa chave para poder decriptar a
mensagem.
São muito disponíveis as normas, softwares e hardwares usados para
criptografia. Como o algoritmo é de domínio publico, a segurança da mensagem é em
cima da chave, que quanto maior a combinação de possibilidades, maior a segurança.
Uma chave é um conjunto de bits, para as quais existem chaves de 8 bits, 16
bits, 64 bits, 512bits, e muitas outras. A segurança não está relacionada com a força
de uma chave, mas quantas possibilidades combinatórias possuem, por exemplo, uma
chave de 8 bits, possui 256 combinações.
Como estudo de caso este trabalho optou utilizar um software livre, distribuído
para Sistemas Operacionais Linux, mais especificamente o Ubuntu 10, conhecido
como Gcipher, que possui os seguintes algoritmos de criptografia: Gie's Code,
Ceasar's Code, Rot e Vigenere.
A Figura 8 apresenta a interface gráfica do GCipher.

Figura 8 – Gciphere – Simples Software Livre para Criptografia de Mensagem

Existem inúmeros softwares para tal finalidade, desde público à comerciais,


com algoritmos de criptografia simples à mais de 2048 bits.

6.7.1.1.1. Criptografia Simétrica


Utiliza-se essa forma com uma única chave para encriptar e decriptar. Suas
características e seu algoritmo são interessantes para grandes quantidades de
informações, como por exemplo, HDs, porém é bastante suscetível à falhas de
segurança, como roubo de chave ou identidade dos remetentes. Os principais
algoritmos que implementam a criptografia simétrica são:
DES – o Data Encryption Standard é uma especificação de criptografia
desenvolvido pela IBM e adotado pelo governo dos EUA como padrão. Esse tipo utiliza
chaves de 56 bits. Hoje, é considerado inseguro devido ao tamanho da chave que
pode ser quebrado facilmente em menos de um dia.
Funcionamento – Um algoritmo que recebe uma string de texto simples e
realiza uma transformação, em um texto cifrado de mesmo tamanho, por uma série de
complicadas operações. No caso do DES, o tamanho do bloco é de 64bits. A chave
consiste em 64 bits, mas apenas 56 deles são realmente utilizados pelo algoritmo,
para que a decriptografia possa ser feita. Os oito bits restantes são usados
exclusivamente para verificação de paridade, e depois são descartados.
3DES – Triple Data Encryption Standard utiliza um algoritmo que criptografa
três vezes cada bloco de dados. É uma variante do DES que utiliza uma chave 3
vezes maior, de 168 bits.
AES – Advanced Encryption Standard é um algoritmo de criptografia
especificado pela NIST (National Institute of Standarts and Technology) que utiliza
chaves de 128, 192 e 256 bits.

6.7.1.1.2. Criptografia Assimétrica ou de Chave Pública


A criptografia assimétrica utiliza-se de duas chaves, uma para criptografas e
outra para decriptografar os dados, possui um processo mais lento que o simétrico,
pois necessita de mais cálculos dos processadores. Esse tipo de criptografia é
praticamente impossível de quebrar com a tecnologia atual.
As duas chaves são chamadas de publica, que é compartilhada e usada para
encriptar e privada que é única e exclusiva para decriptar.
Chave Pública ou Chave Compartilhada é usada para encriptar os dados,
distribuída livremente, depois dos dados serem embaralhados, não é possível
descobrir a forma original utilizando esta chave.
Já a Chave Privada ou Chave Secreta é a chave para decriptação dos dados.
Apenas com ela é possível retornar os dados embaralhados para a forma original.
Essa chave deve ser guardada de forma segura pelo dono. A criação das chaves é
baseada em cálculos de números primos na ordem de 300 dígitos.
RSA – É um algoritmo de criptografia assimétrica, com chaves de 256, 512,
1024 e 2048 bits, muito utilizado no comercio eletrônico.

6.7.1.2. ESTEGANOGRAFIA
Rocha (2003, p.2-3) explana que a esteganografia não vem para suprimir a
criptografia, mas para complementá-la, uma vez que se torna quase impossível se
quebrar a um código sem ao menos saber de sua existência.
A Esteganografia, palavra derivada do grego, “estegano” - esconder e
“graphos” - escrita, consistem na arte de ocultar mensagens e informações por meio
de métodos, visando à comunicação em segredo. A Figura 9 mostra um caso comum
de esteganografia, uma nota de 100 Reais.
Muitas são as ferramentas usadas para identificar uma nota de 100 reais
original, tais como: fibras coloridas, linhas multidirecionais, microimpressões, registro
coincidente, marca d'água, marca tátil, imagem latente, fio de segurança e numeração.
A Figura 09 está representada abaixo, como exemplo de esteganografia em
um papel moeda.

Figura 9 – Esteganografia em uma nota de 100.


Fonte: http://tecnologialivreacesso.blogspot.com

Como estudo de caso, este trabalho adotou o software livre Steghide, cujo
algoritmo padrão de criptografia é o AES de 128 bits. Após a instalação do Steghide,
há a possibilidade de utilizá-lo por linha de comando como na Figura 10.

Figura 10 – Esteganografia de um arquivo texto e uma imagem com o software


Steghide.
Como visto na Figura 10, o comando: “steghide embed -ef
nomeDoArquivoTexto -cf nomeDoArquivoImagem”, possibilita a esteganografia.
Logo abaixo se pede uma senha para proteção das informações dos arquivos. O
comando “embed” oculta o nome do arquivo. Para modificação do mesmo usa-se:
“steghide embed -ef mensagem.txt -cf imagem.jpg -sf novaImagem.jpg”
O resultado cria uma nova imagem que são aparentemente idênticas, como
mostra a Figura 11.

Figura 11 – Imagem com Esteganografia e Imagem sem Esteganografia.

Para adquirir a informação que está dentro da Imagem na qual se aplicou


uma técnica de esteganografia. Utilizando-se do mesmo software, usa-se o comando
da Figura 12. O seguinte comando: “steghide extract -sf natural.jpg -xf mensagem.txt”.

Figura 12 – Comando para extrair a mensagem de uma imagem e respectivos arquivos.

A Figura 12 consiste no gnome terminal do Ubuntu e a direita os arquivos usados por


este trabalho para teste.

6.8. CONSIDERAÇÕES FINAIS


Apesar de a informática e a internet não serem tecnologias tão recentes, e
por conseqüência também os crimes cometidos através daquelas, o nosso
ordenamento jurídico ainda não possui prerrogativas punitivas para esses tipos de
delitos.
Muitos projetos de leis estão em andamento no congresso, porém a
burocracia e a falta de vontade política os tem impedido de chegar à votação e
promulgação.
A forense computacional também surge a partir do cometimento destes
ilícitos, e da necessidade de elucidação destes crimes e engatinha no que diz respeito
a teorias e metodologias a serem usadas nas perícias forenses computacionais.
Algumas organizações unem esforços para padronizar o andamento de uma
perícia, porém ainda não se têm normas específicas e padronizadas a serem
seguidas. Cada órgão de perícia acaba por adotar seus próprios padrões e diretrizes a
serem utilizadas. Em contrapartida, existem hoje várias ferramentas de apoio aos
processos de perícia, contudo a perícia necessita ainda severamente dos
conhecimentos do perito no que diz respeito à análise dos dados coletados.
A perícia forense deve possuir conhecimentos profundos sobre sistemas, não
se esquecendo dos conceitos básicos dos logs, como MACtimes ou o princípio da
volatilidade.

7. CRONOGRAMA
Este capítulo apresenta um cronograma para o projeto, destacando quais
serão os principais marcos do projeto, o que conterão e quando eles ocorrerão.
Fases do projeto Data de início prevista Data de término prevista
Revisão bibliográfica 13/08/2010 Final 1º Semestre de 2011
Preparação do Ambiente 06/01/2011 06/02/2011
Testes 06/02/2011 06/03/2011
Implementação 06/02/2011 Final 1º Semestre de 2011
Conclusões Finais Final 1º Semestre de 2011 Final 1º Semestre de 2011
Quadro 4 – Cronograma das atividades do projeto.

7.1. DESCRIÇÃO DAS ATIVIDADES


Revisão Bibliográfica: A revisão bibliográfica se concluirá no final do TCC II, e
consistirá nas atualizações essenciais da parte teórica do TCC I. Acrescentando técnicas de
intrusão e retirando tópicos que não forem necessários. Consistirá em uma elaboração mais
complexa e profunda referentes aos capítulos da Monografia.
Preparação do Ambiente: A preparação do ambiente está ligada à instalação dos
sistemas operacionais necessários para a execução dos testes de invasão e ocultação dos
rastros nos arquivos de log. O Sistema Operacional escolhido será o Backtrack, pois já possui
ferramentas que auxiliam para tal objetivo.
Testes: A fase de testes requer verificar a funcionalidade dos sistemas operacionais
usados, inclusive a verificação de bibliotecas, firewall, e outras funcionalidades necessárias
para manter um ambiente útil para aplicar as técnicas antiforenses computacionais.
Implementação: Na implementação será executado os passos de invasão e
ocultação dos rastros deixados durante a invasão do sistema. Com registro dos passos, e
avaliação dos níveis de dificuldade.
Considerações Finais: Nessa fase, desenvolver-se-á às considerações finais em
relação à dificuldade de ocultação de rastros em arquivos de log, e qual a necessidade de
prevenção de segurança. E outras conclusões pertinentes à segurança e importância da
destinada Monografia.
8. ANEXOS

ANEXO A - Condutas Ilícitas


a) spamming, como forma de envio não-consentido de mensagens
publicitárias por correio eletrônico a uma massa finita de usuários da rede, conduta
esta não oficialmente criminal, mas antiética;
b) cookies, a quem chama “biscoitinhos da web”, pequenos arquivos de
textos que são gravados no computador do usuário pelo browser quando ele visita
determinados sites de comércio eletrônico, de forma a identificar o computador com
um número único, e obter informações para reconhecer quem está acessando o site,
de onde vem, com que periodicidade costuma voltar e outros dados de interesse do
portal;
c) spywares, como programas espiões que enviam informações do
computador do usuário da rede para desconhecidos, de maneira que até o que é
teclado é monitorado como informação, sendo que alguns spywares têm mecanismos
que acessam o servidor assim que usuário fica on-line e outros enviam informações
por e-mail;
d) hoaxes, como sendo e-mails que possuem conteúdos alarmantes e falsos,
geralmente apontando como remetentes empresas importantes ou órgãos
governamentais, como as correntes ou pirâmides, hoaxes típicos que caracterizam
crime contra a economia popular16, podendo, ainda, estarem acompanhadas de vírus;
e) sniffers, programas espiões, assemelhados aos spywares, que,
introduzidos no disco rígido, visam a rastrear e reconhecer e-mails que circundam na
rede, de forma a permitir o seu controle e leitura;
f) trojan horses ou cavalos de tróia, que, uma vez instalados nos
computadores, abrem suas portas, tornando possível a subtração de informações,
como senhas, arquivos etc.

ANEXO B - Fraudes

1. Fraudes cometidas mediante manipulação de computadores.

a) manipulação de dados de entrada, também conhecida como subtração de


dados;
b) manipulação de programas, modificando programas existentes em
sistemas de computadores ou enxertando novos programas ou novas rotinas;
c) manipulação de dados de saída, forjando um objetivo ao funcionamento do
sistema informático, como, por exemplo, a utilização de equipamentos e programas de
computadores especializados em decodificar informações de tarjas magnéticas de
cartões bancários ou de crédito;
d) manipulação informática, técnica especializada que aproveita as repetições
automáticas dos processos do computador, apenas perceptível em transações
financeiras, em que se saca numerário rapidamente de uma conta e transfere a outra.

2. Falsificações Informáticas

a) como objeto, quando se alteram dados de documentos armazenados em


formato computadorizado;
b) como instrumento, quando o computador é utilizado para efetuar
falsificações de documentos de uso comercial, criando ou modificando-os, com o
auxílio de impressoras coloridas a base de raio laser, cuja reprodução de alta
qualidade, em regra, somente pode ser diferenciada da autêntica por perito;

3. Danos ou modificações de programas ou dados computadorizados.

Também conhecidos como sabotagem informática, ato de copiar, suprimir ou modificar,


sem autorização, funções ou dados informáticos, com a intenção de obstaculizar o
funcionamento normal do sistema, cujas técnicas são:
a) vírus, série de chaves programadas que podem aderir a programas
legítimos e propagar-se a outros programas informáticos;
b) gusanos, análogo ao vírus, mas com objetivo de infiltrar em programas
legítimos de programas de dados para modificá-lo ou destruí-lo, sem regenerar-se;
c) bomba lógica ou cronológica, requisitando conhecimentos especializados
já que requer a programação para destruição ou modificação de dados em um certo
momento do futuro;
d) acesso não autorizado a sistemas de serviços, desde uma simples
curiosidade, como nos casos de hackers, piratas informáticos, até a sabotagem ou
espionagem informática;
e) piratas informáticos ou hackers, que aproveitam as falhas nos sistemas de
seguranças para obter acesso a programas e órgãos de informações; e reprodução
não autorizada de programas informáticos de proteção legal, causando uma perda
econômica substancial aos legítimos proprietários intelectuais.

ANEXO C - Décimo Congresso sobre Prevenção de Delito e Tratamento do


Delinqüente
a) Espionagem industrial: espionagem avançada realizada por piratas para as
empresas ou para o seu próprio proveito, copiando segredos comerciais que abordam
desde informação sobre técnicas ou produtos até informação sobre estratégias de
comercialização;
b) Sabotagem de sistemas: ataques, como o bombardeiro eletrônico, que
consistem no envio de mensagens repetidas a um site, impedindo assim que os
usuários legítimos tenham acesso a eles. O fluxo de correspondência pode
transbordar a quota da conta pessoal do titular do e-mail que as recebe e paralisar
sistemas inteiros. Todavia, apesar de ser uma prática extremamente destruidora, não é
necessariamente ilegal;
c) Sabotagem e vandalismo de dados: intrusos acessam sites eletrônicos ou
base de dados, apagando-os ou alterando-os, de forma a corromper os dados. Podem
causar prejuízos ainda maiores se os dados incorretos forem usados posteriormente
para outros fins;
d) Pesca ou averiguação de senhas secretas: delinqüentes enganam novos e
incautos usuários da internet para que revelem suas senhas pessoais, fazendo-se
passar por agentes da lei ou empregados de provedores de serviço. Utilizam
programas para identificar senhas de usuários, para que, mais tarde, possam usá-las
para esconder verdadeiras identidades e cometer outras maldades, como o uso não
autorizado de sistemas de computadores, delitos financeiros, vandalismo e até atos de
terrorismo;
e) Estratagemas: astuciosos utilizam diversas técnicas para ocultar
computadores que se parecem eletronicamente com outros para lograr acessar algum
sistema geralmente restrito a cometer delitos. O famoso pirata Kevin Mitnick se valeu
de estratagemas em 1996, para invadir o computador da casa de Tsotomo Shimamura,
especialista em segurança, e destruir pela internet valiosos segredos de segurança;
f) Pornografia infantil: a distribuição de pornografia infantil por todo o mundo
por meio da internet está aumentando. O problema se agrava ao aparecer novas
tecnologias como a criptografia, que serve para esconder pornografia e demais
materiais ofensivos em arquivos ou durante a transmissão;
g) Jogos de azar: o jogo eletrônico de azar foi incrementado à medida que o
comércio brindou com facilidades de crédito e transferência de fundos pela rede. Os
problemas ocorrem em países onde esse jogo é um delito e as autoridades nacionais
exigem licenças. Ademais, não se pode garantir um jogo limpo, dado as
inconveniências técnicas e jurisdicionais para sua supervisão;
h) Fraude: já foram feitas ofertas fraudulentas ao consumidor tais como a
cotização de ações, bônus e valores, ou a venda de equipamentos de computadores
em regiões onde existe o comércio eletrônico;
i) Lavagem de dinheiro: espera-se que o comércio eletrônico seja um
novo lugar de transferência eletrônica de mercadorias e dinheiro para lavar as
ganâncias do crime, sobretudo, mediante a ocultação de transações.

ANEXO D – Leis Contra Cibercrime


a) – do acesso ilegal ou não autorizado a sistemas informatizados 154-A e
155 4º,V do CP339-A e 240 6º,V do COM.
b) Da interceptação ou interrupção de comunicações, art. 16 do
Substitutivo.
c) Da interferência não autorizada sobre os dados armazenados 154-D,
163-A e 171-A do CP339-D, 262-A e 281-A do COM.
d) Da falsificação em sistemas informatizados 163-A, 171-A, 298 e 298-A
do CP262-A e 281-A do COM.
e) Da quebra da integridade das informações 154-B do CP339-B do CPM.
f) Das fraudes em sistemas informatizados com ou sem ganho econômico
163-A e 171-A do CP262-A e 281-A do COM.
g) Da pornografia infantil ou pedofilia 241 da Lei 8.069, de 1990, Estatuto
da Criança e do Adolescente (ECA), alterado pela Lei 10.764, de 2003.
h) Da quebra dos direitos de autor Lei 9.609, de 1998, (a Lei do Software),
da Lei 9.610 de 1998, (a Lei do Direito Autoral) e da Lei 10.695 de 2003, (a Lei Contra
a Pirataria).
i) Das tentativas ou ajudas a condutas criminosas 154-A 1º do CP339-A
do COM.
j) Da responsabilidade de uma pessoa natural ou de uma organização art.
21 do Substitutivo.
Das penas de privação de liberdade e de sanções econômicas penas de
detenção, ou reclusão, e multa, com os respectivos agravantes e majorantes, das Leis
citadas e dos artigos do Substitutivo.

ANEXO E. – Syslog e Syslogd


1. Syslog
O syslog tem duas funções:
• Liberar os programadores de gerar seu arquivos de log .
• Deixar o administrador do sistema no controle dos logs.
O syslog é constituído de 3 partes:
• O daemon syslogd.
• Openlog, que são rotinas e bibliotecas chamadas para ter acesso ao
syslog.
• Logger, que é um comando shell para o usuário enviar entradas para o
syslog.
2. Daemon
O syslogd, escrito inicialmente por Eric Allman para *UNIX de kernel com
poucos Kbytes, trabalhava com poucas mensagens de log. Os *UNIX modernos com
kernels que podem variar de 400K a 16MB (Linux) passaram a produzir uma
quantidade muito grande de logs, sem contar os programas (ssh, Postfix, SGBDS,
etc), que produzem ainda mais log. Então o daemon do syslog foi divido em dois:
• syslogd - Linux system logging utilities;
• klogd - Kernel Log Daemon.
3. Klogd
O klogd é o daemon responsável por capturar as mensagens de lançadas
pelo kernel.
O klogd guarda suas mensagens em dois locais, no /proc ou usando a
"sys_syslog interface". O klogd escolhe qual dos dois vai usar da seguinte maneira:
verifica se o /proc está montado, se estiver, utilizará o /proc/kmsg para gravar as
mensagens de log, caso contrário utilizará o "system call interface" para mandar as
mensagens de erro.
Uma vez que a mensagem é enviada para o syslogd, o klog pode priorizar as
mensagens enviadas pelo kernel.
As mensagens enviadas pelo kernel têm a seguinte sintaxe:
<[0-7]> mensagem do kernel
Os valores <[0-7]> são definidos no kernel.h.
O klogd também envia as mensagens para o console toda a mensagem com
valor menor que 7. Já as mensagens com valor 7 são tratadas como mensagem de
debug.
O problema é que a configuração padrão gera mensagens em demasia na
saída de tela, então normalmente se utiliza o klog da seguinte maneira:
# klogd -c 0
O comando acima mostra na tela apenas os logs de PANIC.
Kernel Address Resolution: Uma vez que o kernel detecta um erro interno,
uma trigger é disparada mostrando todo o conteúdo que estava no processador no
momento do erro. O klogd fornece essa facilidade de especificar que função foi
chamada e quais variáveis estavam envolvidas no erro.
4. Syslogd
Captura tanto as mensagens do kernel quanto as mensagens do sistema. O
syslogd dá suporte para logs remotos, por exemplo, você pode fazer todas as
máquinas mandarem um log para uma máquina específica que analisa os logs de
todas as máquinas de uma empresa.
5. Os arquivos
Um dos problemas do syslog é a falta de padronização dos arquivos de log,
então dependendo da distribuição do seu Linux, pode haver alguma diferença.
Geralmente os arquivos de logs estão no diretório /var/log. Vejamos alguns
exemplos dos arquivos de log que podem ser abertos com um editor de texto.

O Quadro 5 apresenta os principais arquivos de log e suas respectivas


funcionalidade:

Nome Descrição
Messages Um dos principais arquivos de log do sistema (kernel/sistema)
Syslog Um dos principais arquivos de log (kernel)
secure Uso do su, sudo, mudança de senhas pelo root, etc
maillog Arquivo de log do servidor de email
cron Log do cron

Quadro 5 – Arquivos de Log e Funcionalidades


O syslog também gera arquivos de contabilidade, que não podem ser abertos
por editores de textos e sim por programas especiais (ex: "last" para o wtmp).
O Quadro 6 apresenta os principais arquivos de contabilidade e qual sua
respectiva funcionalidade:

Nome Descrição
wtmp Contabilidade do tempo de conexão
acct/pacct Contabilidade de processo BSD/Sysv

Quadro 6– Arquivos de Contabilidade e Funcionalidade


6. Entendo o syslog.conf.
Toda a configuração do syslogd está no arquivo /etc/syslog.conf. A sintaxe
básica do syslog.conf é a seguinte:
recurso.nível ação
Onde "recurso" é o recurso do sistema que envia a mensagem. São 18 os
recursos definidos na maioria das versões, mas o syslog já define 21 (para uso futuro).
O Quadro 7 apresenta os principais recursos do syslog.conf e quais os respectivos
programas que os utilizam:

Recurso Programas que utilizam


Kernel O kernel
user Processos do usuário
mail mail server
Daemon Daemons do sistema
auth Autenticação/segurança
cron Cron
syslog Mensagens internas do syslog
* Todos exceto o mark

Quadro 7 – Recursos do Syslog e Programas que os Utilizam


O Quadro 8 mostra qual o “nível" e qual sua determinação de grau de
severidade do log:

Nível Significado
emerg É aquela famosa "Eita p...."
alert Situações de emergências
crit Condições críticas
err Erros
warning Mensagem de advertência
notice Algo que merece uma investigação
info Informativas
debug Depuração

Quadro 8 – Nível e Relação com o Significado


Para mostras as ações do syslog utilizou-se do Quadro 9.

Ação Significado
nomedoarquivo Grava a mensagem no arquivo (path completo)
@nomedohost/ipdohost Encaminha a mensagem para um syslog em outra máquina
usuário1,usuário2, Imprime as mensagens na tela do usuário se ele estiver
logado

Quadro 9 – Ação do Syslog e Seu Significado


O syslog permite entradas com operador lógico (OR) e wildcards (*,!) da
seguinte maneira:
recurso.nível;
recurso2.nível4 ação
recurso1,recurso2.nível ação
*.nível ação
recurso.! ação
Alguns *UNIX aprimoraram seu syslog, os *UNIX derivados do BSD (O
Slackware em especial) implementou os qualificadores demonstrados no Quadro 10:

Seletor Significado
kernel.info Seleciona as mensagens com nível info ou mais altos
kernel.>=info O mesmo do kernel.info
kernel.= info Só as mensagens de info
kernel.!= info As mensagens diferentes de info
kernel.<=info As mensagens com o nível < ou = a info
kernel.<info Seleciona as mensagens com prioridade menor que info
kernel.>info Seleciona as mensagens com prioridade maior que info

Quadro 10: Qualificadores e do Syslog do Unix e Seus Significados

Alguns syslogs também implementam o m4, que é um preprocessador de


macro. Vejamos um exemplo:
auth.notice ifdef('LOGSERVER', '/var/log/xpto' , '@LOGSERVER' )

Essa linha direciona a mensagem para o /var/log/xpto se o LOGSERVER não


estiver definido.

7. Login remoto
Para montar um servidor de log temos que verificar se temos que fazer duas
coisas:
• Iniciar o syslogd com a opção -r, para que o syslog receba mensagens
enviadas pela rede;
• Fazer o daemon escutar a porta 514 (/etc/services), tanto no servidor
quanto no cliente.
• Pronto, basta configurar o syslog.conf do servidor e dos clientes.

8. Questão de segurança
O uso de um servidor de log pode deixar seu servidor susceptível à ataques
D.O.S. Para evitar possíveis D.O.S:
• Definir no firewall quem poderá enviar mensagens;
• Fazer com que os logs não fiquem na partição raiz do sistema (evitando
que o sistema encha apenas com os logs);
• Definir uma "quota" para os arquivos de log.
ANEXO F – Identificadores de eventos de segurança.

Evento Descrição
528 O usuário fez logon com sucesso
533 Usuário não tem permissão para fazer logon neste computador
624 Conta de usuário criada
625 Tipo de conta de usuário alterado.
630 Conta de usuário excluída
631 Grupo global que permite segurança foi criado
641 Grupo global que permite segurança foi alterado.
642 A conta do usuário foi alterada.
643 A política de domínio foi alterada.

Quadro XI: Identificadores de Eventos de Segurança


9. GLOSSÁRIO

PALAVRA DEFINIÇÃO

Adware Do inglês Asymmetric Digital Subscriber Line. Software


especificamente projetado para apresentar propagandas.
Constitui uma forma de retorno financeiro para aqueles que
desenvolvem software livre ou prestam serviços gratuitos. Pode
ser considerado um tipo de spyware, caso monitore os hábitos do
usuário, por exemplo, durante a navegação na Internet para
direcionar as propagandas que serão apresentadas.

Artefato De forma geral, artefato consistem em qualquer informação


deixada por um invasor em um sistema comprometido. Pode ser
um programa ou script utilizado pelo invasor em atividades
maliciosas, um conjunto de ferramentas usadas pelo invasor, log
ou arquivos deixados em um sistema comprometido, a saída
gerada pelas ferramentas do invasor etc.

Assinatura Digital Código utilizado para verificar a integridade de um texto ou


mensagem. Também pode ser utilizado para verificar se o
remetente de uma mensagem é mesmo quem diz ser.

Atacante Pessoa responsável pela realização de um ataque. Veja também


Ataque.

Ataque Tentativa, bem ou mal sucedida, de acesso ou uso não autorizado


a um programa ou computador. Também são considerados
ataques as tentativas de negação de serviço.

Backdoor Programa que permite a um invasor retornar a um computador


comprometido. Normalmente este programa é colocado de forma
a não ser notado

Boato E-mail que possui conteúdo alarmante ou falso e que,


geralmente, tem como remetente ou aponta como autora da
mensagem alguma instituição, empresa importante ou órgão
governamental. Por meio de uma leitura minuciosa desse tipo de
e-mail, normalmente, é possível identificar em seu conteúdo
mensagens absurdas e muitas vezes sem sentido
PALAVRA DEFINIÇÂO

Programa que, além de incluir funcionalidades de worms, sendo capaz de se


propagar automaticamente através da exploração de vulnerabilidades existentes ou
falhas na configuração de softwares instalados em um computador, dispõe de
Bot
mecanismos de comunicação com o invasor, permitindo que o programa seja
controlado remotamente. O invasor, ao se comunicar com o bot, pode orientá-lo a
desferir ataques contra outros computadores, furtar dados, enviar spam, etc

Redes formadas por diversos computadores infectados com bots. Podem ser
Botnets usadas em atividades de negação de serviço, esquemas de fraude, envio de spam
etc.
Programa, normalmente recebido com um “presente” (por exemplo, cartão virtual,
Cavalo de álbum de fotos, protetor de tela, jogo, etc), que além de executar funções para as
Troia quais foi aparentemente projetado, também executa outras funções normalmente
maliciosas e sem o conhecimento do usuário.
Termo genérico que se refere a todos os tipos de programas que executam ações
Código
maliciosas em um computador. Exemplos de códigos maliciosos são os vírus,
Malicioso
worms, bots, cavalos de troia, rootkits, etc.
Comprometimento Veja Invasão
Conexão Conexão que utiliza um protocolo de criptográfica para a transmissão de dados,
segura como, por exemplo, HTTPS ou SSH
Ciência ou arte de escrever mensagens em forma cifrada ou em código. É parte de
Criptografia
um campo de estudos que trata das comunicações secretas
Do inglês Distributed Denial of Service. Ataque de negação de serviço distribuído,
DDoS ou seja, um conjunto de computadores é utilizado para tirar de operação um ou
mais serviços ou computadores conectados à Internet. Veja Negação de Serviço.
DoS Do inglês Denial of Service. Veja Negação de Serviço
Este endereço é um número único para cada computador conectado à Internet,
Endereço IP composto por uma seqüência de 4 números que variam de 0 até 255, separados por
“.”. Por exemplo, 192.168.2.3.

Método de ataque onde uma pessoa faz uso de persuasão, muitas vezes abusando
Engenharia
da ingenuidade ou confiança do usuário, para obter informações que podem ser
Social
utilizadas para ter acesso não autorizado a computadores ou informações.

Programa ou parte de um programa malicioso projetado para explorar uma


Exploit
vulnerabilidade existente em um software de computador
Ato onde o falsificador atribui-se identidade ilegítima, podendo se fazer passar por
Falsa outra pessoa, com objetivo de obter vantagens indevidas, como, por exemplo, obter
Identidade crédito, furtar dinheiro de contas bancárias das vítimas, utilizar cartões de crédito de
terceiros, entre outras.
PALAVRA DEFINIÇÃO
Dispositivo constituído pela combinação de software e hardware. Utilizado
Firewall
para dividir e controlar o acesso entre redes de computadores.
Conjunto de programas gratuito e de código aberto, que implementa
GnuPG
criptografia de chave única, de chaves pública e privada e assinatura digital.
Técnica utilizada por spammers, que consiste em varrer páginas Web,
Harvesting arquivos de listas de discussão, entre outros, em busca de endereços de e-
mail.
Hoax Veja Boato.
Do inglês HyperText Markup Language. Linguagem universal utilizada para
HTML
estruturação de páginas da Internet
Do inglês HyperText Transfer Protocol. Protocolo usado para transferir página
HTTP
Web entre um servidor e um cliente.
Malware Do inglês Malicious software (software malicioso). Veja Código Malicioso.
Quando utilizado como parte de uma URL, especifica a utilização de HTTP
HTTPS
com algum mecanismo de segurança, normalmente o SSL.
Do inglês Intrusion Detection System. Programa, ou um conjunto de
IDS
programas, cuja função é detectar atividades maliciosas ou anômalas
Acrônimo para Insitute of Electrical and Electronics Engineers, uma
IEEE organização composta por engenheiros, cientistas e estudantes, que
desenvolvem padrões para a indústria de computadores e eletroeletrônicos.
Ataque bem sucedido que resulte no acesso, manipulação ou destruição de
Invasão
informações em um computador
Pessoa responsável pela realização de uma invasão(comprometimento). Veja
Invasor
também Invasão
Programa capaz de capturar e armazenar as teclas digitadas pelo usuário no
teclado de um computador. Normalmente, a ativação do keylogger é
Keylogger condicionada a uma ação prévia do usuário, como por exemplo, após o
acesso a um site de comércio eletrônico ou Internet Banking, para captura de
senhas bancárias ou número de cartões de crédito
Registro de atividades gerado por programas de computador. No caso de logs
Log relativos a incidentes de segurança, eles normalmente são gerados por
firewalls ou por IDSs.
Malware Do inglês Malicious software (software malicioso). Veja Código Malicioso.
Negação Atividade maliciosa onde o atacante utiliza um computador para tirar de
de Serviço operação um serviço ou computador conectado à Internet
P2P Acrônimo para peer-to-peer. Arquitetura de rede onde cada computador tem
funcionalidades e responsabilidades equivalentes. Difere da arquitetura
cliente-servidor, onde alguns dispositivos normalmente implementada via
softwares P2P, que permitem conectar o computador de um usuário ao de
outro para compartilhar ou transferir dados, como MP3, jogos, vídeos,
imagens etc.

PALAVRA DEFINIÇÃO
PGP Do inglês Pretty Good Privacy. Programa que implementa criptografia
de chave única e assinatura digital.
Phishing Também conhecido como phishing scam. Mensagem não solicitada que
se passa por comunicação de uma instituição conhecida, como um
banco, empresa ou site popular, e que procura induzir usuários ao
fornecimento de dados pessoais e financeiros. Inicialmente, este tipo de
mensagem induzia o usuário ao cesso a paginas fraudulentas na
Internet. Atualmente, o termo também se refere à mensagem que induz
o usuário à instalação de códigos maliciosos
Rootkit Conjunto de programas que tem como finalidade esconder e assegurar
a presença de um invasor em um computador comprometido. È
importante ressaltar que o nome rootkit não indica que as ferramentas
que o compõem são usadas para obter acesso privilegiado (root ou
Administrador) em um computador, mas sim para manter o acesso
privilegiado em um computador previamente comprometido
Scam Esquemas ou ações enganosas e/ou fraudulentas. Normalmente, tem
como finalidade obter vantagens financeiras
Scan Técnica normalmente implementada por um tipo de programa,
projetado para efetuar varreduras em redes de computadores
SSH Do inglês Secure Shell. Protocolo que utiliza criptografia para cesso a
um computador remoto, permitindo a execução de comandos,
transferência de arquivos, entre outros.
Trojan Horse Veja cavalo de tróia
Vírus Programa ou parte de um programa de computador, normalmente
malicioso, que se propaga infectando, isto é, inserindo cópias de si
mesmo e se tornando parte de outros programas e arquivos de um
computador. O vírus depende da execução do programa ou arquivo
hospedeiro para que possa se tornar ativo e dar continuidade ao
processo de infecção.
10. REFERÊNCIAS

BARRETO, G.L. Utilização de técnicas anti-forenses para garantir a


confidencialidade. 2009, pp. 10

CARPANEZ, Juliana. Conheça os crimes virtuais mais comuns. Folha


07/01/2006. Disponível em:
www1.folha.uol.com.br/folha/informatica/ult124u19455.shtml. Acesso em 26 de junho
de 2008.

CORRÊA, Gustavo Testa. Aspectos jurídicos da internet. São Paulo:


Saraiva, 2000.

Esteganografia. Lavras – Minas Gerais, 2003. Monografia (Ciência da


Computação) Departamento de Ciências da Computação, Universidade Federal de
Lavras.

FARMER, Dan, VENEMA, Vietse . Perícia Forense Computacional: Teoria


e Prática Aplicada. Pearson Prentice Hall. 2007.

FREITAS, Andrey. R. de. Perícia Forense Aplicada à Informática. Trabalho


de Curso de Pós-Graduação “Lato Sensu”em Internet Security. IBPI. 2003.

MAIN, P. C. Van Oorschot. Software Protection and Application Security:


Understanding the Battleground. Procedings of the International Course on State of
the Art and Evolution of Computer Security and Industrial Cryptography ,2003.

MCCLURE, Stuart, SCAMBRAY, Joel, KURTZ, George. Hackers exposto:


segredos e soluções para a segurança de redes. Tradução de Daniel Vieira – Rio
de Janeiro: Elsevier, 2003. 2ª Reimpressão.

NOBLETT, Michael G.; Report of the Federal Bureau of Investigation on


development of forensic tools and examinations for data recovery from computer
evidence; Proceedings of the 11th INTERPOL Forensic ScienseS ymposium. 1995.

NOBLETT, Michael G., POLLITT, Mark M., PRESLEY, Lawrence A.


Recovering and Examining Computer Forensic Evidence. Forensic science
communications. Outubro de 2000 volume 2 Número 4.
NOW!. Petrobras perde dados sigilosos em furto de computadores, 14
de fevereiro de 2008.

PEREIRA, Evandro, FAGUNDES, Leonardo. Forense Computacional:


fundamentos, tecnologias e desafios atuais. Simpósio Brasileiro em Segurança da
Informação e de Sistemas computacionail. Rio de janeiro. Agosto de 2007.

RODRIGUES, R. Brasil é líder em vírus que roubam dados bancários, diz


pesquisa. 2010

STRAUHS, Faimara do Rocio. Gestão do Conhecimento em Laboratório


Acadêmico: Proposição de Metodologia. 2003. 480 f. Tese (Doutorado em
Engenharia de Produção) – Programa de Pós-Graduação em Engenharia de
Produção, Universidade Federal de Santa Catarina, Florianópolis, 2003.

UNIVERSIDADE FEDERAL DO PARANÁ. Normas para apresentação de


documentos científicos. Curitiba: Editora da UFPR, 2001.

VARGAS, R. Perícia Forense Computacional e metodologias para


obtenção de evidênvias. 2007

VARGAS, R. Processos e Padrões em Perícia Forense Aplicado a


Informática. Trabalho de Conclusão de Curso, Bacharelado em Sistemas de
Informação,Faculdade Metodista Granbery, Juiz de Fora, Minas Gerais, 2006.

VIANNA, Túlio Lima. Fundamentos de Direito Penal Informático. Rio de


Janeiro: Forense, 2003.

WIKIPEDIA. Crime. Disponível em: http://pt.wikipedia.org/wiki/Crime. Acesso


em: 18 de outubro de 2010.

WIKIPEDIA. Auditoria. Disponível em: http://pt.wikipedia.org/wiki/Auditoria.


Acesso em: 30 de novembro de 2010.

ZANELLATO, Marco Antonio. Condutas ilícitas na sociedade digital. in


Caderno Jurídico da Escola Superior do Ministério Público de São Paulo, ano II, nº. IV,
– julho de 2002.

Você também pode gostar