Informática Forense · Linux

Fazer uma cópia de segurança forense do Raspberry Pi

O Raspberry Pi e computadores de placa única semelhantes são utilizados tanto em projetos de lazer como, cada vez mais, em tarefas profissionais de automatização e controlo, e armazenam normalmente o seu sistema operativo Linux num cartão SD substituível.

Pedido de informação sem compromisso

Nos sistemas Linux, este aspeto é particularmente importante, uma vez que as distribuições, as versões do kernel, as arquiteturas de memória e os mecanismos de segurança podem variar significativamente. Um Debian clássico Server, um nó do Kubernetes em contêiner e um sistema incorporado não devem ser tratados segundo o mesmo esquema técnico. O sistema de ficheiros, a encriptação, o ambiente de execução e o estado específico do sistema determinam quais os dados que estão acessíveis e qual o método de cópia de segurança que provoca as menores alterações.

Esta arquitetura de memória substituível permite uma cópia de segurança forense relativamente simples, desde que o cartão SD esteja fisicamente acessível; no entanto, pode apresentar desafios adicionais no caso de memória integrada ou adicional.

Porquê o LanCologne?

A LanCologne não analisa os sistemas Linux de acordo com um esquema padrão genérico, mas sim com base na arquitetura concreta de hardware, distribuição e segurança. Os nossos colaboradores contam com décadas de experiência em tecnologias da informação e uma longa experiência prática em informática forense. Apoiamos empresas, advogados, particulares, bem como, regularmente, tribunais e autoridades, na investigação técnica de casos digitais.

A investigação é, em princípio, realizada com base numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e com garantia de preservação das provas. O meio de prova original é mantido inalterado ou, caso sejam necessárias intervenções tecnicamente inevitáveis, estas são documentadas de forma transparente e o meio de prova é conservado com garantia de preservação das provas.

A nossa forma de trabalhar e as ferramentas que utilizamos

A nossa investigação não começa com o lançamento de um programa de análise, mas sim com a recolha de provas. O sistema, o hardware, a ligação à rede, o estado de funcionamento visível e os periféricos existentes são documentados. Posteriormente, decide-se se o sistema deve permanecer desligado, se faz sentido proceder a uma recolha em tempo real ou se um acesso offline através de um sistema de recuperação forense é tecnicamente viável.

No passo seguinte, define-se a estratégia de cópia de segurança. Neste contexto, distinguimos entre mapeamento orientado por blocos, cópia de segurança lógica e triagem seletiva. A escolha não depende da conveniência, mas sim da arquitetura de armazenamento, da encriptação, da disponibilidade do sistema e da questão concreta a comprovar. Sempre que tecnicamente possível, o trabalho é realizado em modo de só leitura. As alterações de estado inevitáveis nas recolhas em tempo real são expressamente registadas.

A cópia de segurança criada é documentada com valores hash. A análise propriamente dita não é realizada no original, mas sim numa cópia de trabalho ou numa imagem de prova verificada. Desta forma, é possível utilizar analisadores, pesquisas ou programas auxiliares próprios, sem alterar continuamente a prova original.

Nos sistemas Raspberry Pi, sempre que possível, fazemos a cópia de segurança do cartão SD diretamente através de um leitor protegido contra gravação e verificamos também se existem dispositivos de armazenamento externos ou ligados por USB, que também podem fazer parte do sistema global.

Para um leitor sem conhecimentos especializados na área, há um ponto particularmente importante: um programa de análise forense não „descobre" automaticamente a verdade. Ele lê estruturas de dados e interpreta-as de acordo com regras conhecidas. Se uma nova versão do kernel ou da distribuição alterar o formato de um protocolo ou uma estrutura de dados, um analisador pode reagir de forma incompleta ou incorreta. Por isso, no caso de conclusões decisivas, verificamos de que ficheiro, base de dados ou estrutura do sistema de ficheiros provém o resultado e se uma segunda abordagem técnica confirma o mesmo facto.

É também por isso que utilizamos várias ferramentas. O The Sleuth Kit e o Autopsy permitem analisar sistemas de ficheiros Linux de forma nativa e com código aberto; o Belkasoft X oferece uma perspetiva diferente sobre artefactos e correlações; o X-Ways permite análises muito detalhadas do sistema de ficheiros e dos dados brutos. Se as análises independentes coincidirem, isso aumenta a fiabilidade. Se não coincidirem, investiga-se a causa e não se seleciona simplesmente o resultado mais conveniente.

Áreas de aplicação típicas

•Pareceres judiciais e extrajudiciais
•Preservação de provas em sistemas Linux-Servern, -Workstations e sistemas incorporados
•Análise de diferentes distribuições Linux e versões do kernel
•Resposta a incidentes e investigações de malware
•Análise de artefactos do sistema de ficheiros, dos utilizadores, das aplicações e do sistema
•Reconstrução das atividades relacionadas com ficheiros, utilizadores e rede
•Verificação cruzada dos resultados da análise automática
•Análise de vestígios apagados, históricos ou apenas visíveis de forma indireta
•Documentação destinada a tribunais, advogados, empresas e autoridades

É assim que decorre a investigação forense

1Recolha de provas e documentação do estado dos locais

O sistema Linux é, em primeiro lugar, identificado de forma inequívoca e documentado fotograficamente ou por escrito. Registamos se está ligado ou desligado, se está com sessão iniciada, bloqueado ou ligado a suportes de dados externos ou redes. Estas informações podem revelar-se decisivas mais tarde.

2Classificação técnica

São determinados a distribuição, a versão do kernel, o sistema de ficheiros, a encriptação e os mecanismos de segurança relevantes. Só a partir daí é que se pode determinar o método de registo adequado.

3Armazenamento com garantia de integridade

A cópia de segurança é escolhida de forma a alterar o mínimo possível o original. Dependendo do caso, pode ser utilizada uma imagem orientada por blocos através de um sistema de recuperação forense, uma captura em tempo real do sistema em funcionamento ou uma seleção específica de diretórios individuais. Cada passo é registado.

4Verificação de integridade

As imagens criadas ou as cópias de segurança lógicas são identificadas de forma única, dotadas de valores hash e verificadas. A análise e as operações de pesquisa são, em seguida, realizadas em cópias de trabalho.

5Análise em várias etapas

O Sleuth Kit, ou Autopsy, o Belkasoft X e o X-Ways são combinados consoante a questão em causa. Na medida do possível, um resultado importante não é obtido apenas a partir de uma única visualização do analisador sintático.

6Validação manual

Se um artefacto for particularmente relevante para a prova, invulgar ou apenas parcialmente compatível com software padrão, verificamos manualmente os dados brutos, as estruturas das bases de dados, os registos ou as informações do sistema de ficheiros. Se necessário, recorremos a ferramentas próprias.

7Relatório e referência às provas

No final, não nos limitamos a enumerar o que uma ferramenta apresentou. Explicamos qual é a fonte técnica subjacente ao resultado, que conclusão é admissível e quais são os limites.

Por que razão esta área de investigação é relevante do ponto de vista forense?

O Raspberry Pi e computadores de placa única semelhantes são utilizados tanto em projetos de lazer como, cada vez mais, em tarefas profissionais de automatização e controlo, e armazenam normalmente o seu sistema operativo Linux num cartão SD substituível.

O valor forense não reside apenas na quantidade de dados encontrados, mas sim na sua origem e fiabilidade. Um nome de ficheiro, um carimbo temporal ou uma entrada de registo podem ser ambíguos sem contexto. Por isso, documentamos como um artefacto pode ter surgido, quais as explicações alternativas existentes e quais os outros indícios que sustentam a conclusão.

Esta arquitetura de memória substituível permite uma cópia de segurança forense relativamente simples, desde que o cartão SD esteja fisicamente acessível; no entanto, pode apresentar desafios adicionais no caso de memória integrada ou adicional.

Além disso, especialmente em sistemas Linux modernos, a tentativa de realizar uma análise „clássica" de suportes de dados pode fracassar devido a limitações técnicas. A encriptação, a contentorização, a memória volátil e as configurações dinâmicas deixam claro por que razão é tão importante efetuar um backup adequado antes da análise propriamente dita. Os erros nesta fase nem sempre podem ser corrigidos posteriormente.

Perguntas frequentes

Por que razão utiliza vários programas de análise forense?+
Porque nenhum programa, por si só, abrange na íntegra todas as distribuições Linux, todos os artefactos e todas as configurações específicas. Várias vias de análise independentes ajudam a validar resultados importantes e a detetar erros de análise.
Que papel desempenham o The Sleuth Kit e o Autopsy?+
O Sleuth Kit é uma biblioteca de código aberto para a análise do sistema de ficheiros e de baixo nível, que suporta nativamente sistemas de ficheiros típicos do Linux, como o ext4, o XFS e o Btrfs. O Autopsy baseia-se nela e disponibiliza uma interface estruturada para o tratamento de casos, cronologias e relatórios.
Por que razão ainda o Belkasoft X e o X-Ways?+
O Belkasoft X oferece funcionalidades abrangentes de análise de artefactos, pesquisa e linha temporal, com suporte para sistemas de ficheiros Linux/Unix. O X-Ways permite análises muito detalhadas do sistema de ficheiros e dos dados brutos. Ambos podem fornecer verificações cruzadas importantes.
O que fazem as ferramentas que vocês próprios desenvolveram?+
São utilizados de forma específica quando um determinado artefacto não é processado na íntegra pelo software padrão ou quando é necessária uma validação adicional. Nesse contexto, os dados brutos são lidos de forma controlada e o processamento é documentado de modo a que o resultado permaneça tecnicamente compreensível.
Porque é que não analisa diretamente o original?+
Porque o software de análise, os sistemas operativos e os controladores do sistema de ficheiros podem alterar os dados. Por isso, a análise propriamente dita é, por princípio, realizada numa cópia forense verificada ou num conjunto de dados devidamente guardado.
Um resultado de uma ferramenta pode ser errado num tribunal?+
Uma correspondência automática pode estar errada ou ser ambígua. Por isso, distinguimos entre o resultado gerado pela ferramenta e o resultado validado forensicamente. As correspondências com relevância probatória são, nomeadamente, verificadas em relação aos dados subjacentes.
É sempre possível recuperar dados ou restaurar completamente os artefactos?+
Não. A encriptação, o SSD-TRIM, a memória sobrescrita, os sistemas de ficheiros danificados ou a falta de chaves podem impor limitações técnicas. Essas limitações são documentadas de forma transparente.
Como explica os resultados a pessoas sem conhecimentos técnicos?+
Não nos limitamos a descrever nomes de ficheiros e protocolos técnicos, mas explicamos o que significa um artefacto, como pode ter surgido e que conclusões podem efetivamente ser tiradas a partir dele.

🔗 Temas relacionados

LanCologne – Análise Forense do Linux em Colónia

Precisa de uma análise profissional sobre „Cópia de segurança forense do Raspberry Pi"? A LanCologne apoia-o na realização de cópias de segurança que garantam a validade das provas, na análise em várias etapas e na documentação compreensível. O que é decisivo, neste contexto, não é gerar o maior número possível de resultados automáticos, mas sim garantir provas tecnicamente sólidas e verificáveis.

Entre em contacto connosco agora