Informática Forense · Linux
Realizar uma cópia de segurança forense remota do Headless-Linux-Server
Muitos sistemas Linux-Server são utilizados em modo «headless», ou seja, sem ecrã ligado nem dispositivos de entrada locais, e são administrados exclusivamente através de ligações de rede, o que pode exigir uma cópia de segurança forense realizada inteiramente à distância.
Nos sistemas Linux, este aspeto é particularmente importante, uma vez que as distribuições, as versões do kernel, as arquiteturas de memória e os mecanismos de segurança podem variar significativamente. Um Debian clássico Server, um nó do Kubernetes em contêiner e um sistema incorporado não devem ser tratados segundo o mesmo esquema técnico. O sistema de ficheiros, a encriptação, o ambiente de execução e o estado específico do sistema determinam quais os dados que estão acessíveis e qual o método de cópia de segurança que provoca as menores alterações.
Uma cópia de segurança remota impõe requisitos específicos em termos de rastreabilidade do procedimento, uma vez que o investigador não se encontra diretamente no local e, mesmo assim, tem de garantir um resultado documentado e com validade forense.
Porquê o LanCologne?
A LanCologne não analisa os sistemas Linux de acordo com um esquema padrão genérico, mas sim com base na arquitetura concreta de hardware, distribuição e segurança. Os nossos colaboradores contam com décadas de experiência em tecnologias da informação e uma longa experiência prática em informática forense. Apoiamos empresas, advogados, particulares, bem como, regularmente, tribunais e autoridades, na investigação técnica de casos digitais.
A investigação é, em princípio, realizada com base numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e com garantia de preservação das provas. O meio de prova original é mantido inalterado ou, caso sejam necessárias intervenções tecnicamente inevitáveis, estas são documentadas de forma transparente e o meio de prova é conservado com garantia de preservação das provas.
A nossa forma de trabalhar e as ferramentas que utilizamos
A nossa investigação não começa com o lançamento de um programa de análise, mas sim com a recolha de provas. O sistema, o hardware, a ligação à rede, o estado de funcionamento visível e os periféricos existentes são documentados. Posteriormente, decide-se se o sistema deve permanecer desligado, se faz sentido proceder a uma recolha em tempo real ou se um acesso offline através de um sistema de recuperação forense é tecnicamente viável.
No passo seguinte, define-se a estratégia de cópia de segurança. Neste contexto, distinguimos entre mapeamento orientado por blocos, cópia de segurança lógica e triagem seletiva. A escolha não depende da conveniência, mas sim da arquitetura de armazenamento, da encriptação, da disponibilidade do sistema e da questão concreta a comprovar. Sempre que tecnicamente possível, o trabalho é realizado em modo de só leitura. As alterações de estado inevitáveis nas recolhas em tempo real são expressamente registadas.
A cópia de segurança criada é documentada com valores hash. A análise propriamente dita não é realizada no original, mas sim numa cópia de trabalho ou numa imagem de prova verificada. Desta forma, é possível utilizar analisadores, pesquisas ou programas auxiliares próprios, sem alterar continuamente a prova original.
No caso de um backup remoto, coordenamos o procedimento em estreita colaboração com o pessoal técnico disponível no local, registamos exaustivamente cada comando executado e verificamos o backup transmitido através de somas de verificação, para garantir a sua integridade e que não sofreu alterações.
Para um leitor sem conhecimentos especializados na área, há um ponto particularmente importante: um programa de análise forense não „descobre" automaticamente a verdade. Ele lê estruturas de dados e interpreta-as de acordo com regras conhecidas. Se uma nova versão do kernel ou da distribuição alterar o formato de um protocolo ou uma estrutura de dados, um analisador pode reagir de forma incompleta ou incorreta. Por isso, no caso de conclusões decisivas, verificamos de que ficheiro, base de dados ou estrutura do sistema de ficheiros provém o resultado e se uma segunda abordagem técnica confirma o mesmo facto.
É também por isso que utilizamos várias ferramentas. O The Sleuth Kit e o Autopsy permitem analisar sistemas de ficheiros Linux de forma nativa e com código aberto; o Belkasoft X oferece uma perspetiva diferente sobre artefactos e correlações; o X-Ways permite análises muito detalhadas do sistema de ficheiros e dos dados brutos. Se as análises independentes coincidirem, isso aumenta a fiabilidade. Se não coincidirem, investiga-se a causa e não se seleciona simplesmente o resultado mais conveniente.
Áreas de aplicação típicas
É assim que decorre a investigação forense
O sistema Linux é, em primeiro lugar, identificado de forma inequívoca e documentado fotograficamente ou por escrito. Registamos se está ligado ou desligado, se está com sessão iniciada, bloqueado ou ligado a suportes de dados externos ou redes. Estas informações podem revelar-se decisivas mais tarde.
São determinados a distribuição, a versão do kernel, o sistema de ficheiros, a encriptação e os mecanismos de segurança relevantes. Só a partir daí é que se pode determinar o método de registo adequado.
A cópia de segurança é escolhida de forma a alterar o mínimo possível o original. Dependendo do caso, pode ser utilizada uma imagem orientada por blocos através de um sistema de recuperação forense, uma captura em tempo real do sistema em funcionamento ou uma seleção específica de diretórios individuais. Cada passo é registado.
As imagens criadas ou as cópias de segurança lógicas são identificadas de forma única, dotadas de valores hash e verificadas. A análise e as operações de pesquisa são, em seguida, realizadas em cópias de trabalho.
O Sleuth Kit, ou Autopsy, o Belkasoft X e o X-Ways são combinados consoante a questão em causa. Na medida do possível, um resultado importante não é obtido apenas a partir de uma única visualização do analisador sintático.
Se um artefacto for particularmente relevante para a prova, invulgar ou apenas parcialmente compatível com software padrão, verificamos manualmente os dados brutos, as estruturas das bases de dados, os registos ou as informações do sistema de ficheiros. Se necessário, recorremos a ferramentas próprias.
No final, não nos limitamos a enumerar o que uma ferramenta apresentou. Explicamos qual é a fonte técnica subjacente ao resultado, que conclusão é admissível e quais são os limites.
Por que razão esta área de investigação é relevante do ponto de vista forense?
Muitos sistemas Linux-Server são utilizados em modo «headless», ou seja, sem ecrã ligado nem dispositivos de entrada locais, e são administrados exclusivamente através de ligações de rede, o que pode exigir uma cópia de segurança forense realizada inteiramente à distância.
O valor forense não reside apenas na quantidade de dados encontrados, mas sim na sua origem e fiabilidade. Um nome de ficheiro, um carimbo temporal ou uma entrada de registo podem ser ambíguos sem contexto. Por isso, documentamos como um artefacto pode ter surgido, quais as explicações alternativas existentes e quais os outros indícios que sustentam a conclusão.
Uma cópia de segurança remota impõe requisitos específicos em termos de rastreabilidade do procedimento, uma vez que o investigador não se encontra diretamente no local e, mesmo assim, tem de garantir um resultado documentado e com validade forense.
Além disso, especialmente em sistemas Linux modernos, a tentativa de realizar uma análise „clássica" de suportes de dados pode fracassar devido a limitações técnicas. A encriptação, a contentorização, a memória volátil e as configurações dinâmicas deixam claro por que razão é tão importante efetuar um backup adequado antes da análise propriamente dita. Os erros nesta fase nem sempre podem ser corrigidos posteriormente.
Perguntas frequentes
LanCologne – Análise Forense do Linux em Colónia
Precisa de uma análise profissional sobre „Cópia de segurança forense remota do Headless Linux Server"? A LanCologne apoia-o na realização de cópias de segurança que garantam a validade das provas, na análise em várias etapas e na elaboração de documentação rastreável. O que é decisivo não é gerar o maior número possível de resultados automáticos, mas sim garantir provas tecnicamente sólidas e verificáveis.