Informática forense · Tribunais
Que vestígios pode deixar uma restauração a partir de uma cópia de segurança?
Wird ein System oder Gerät aus einem Backup wiederhergestellt, entstehen neue Spuren, die leicht falsch gelesen werden: Dateien erhalten neue Erstellungszeiten, Programme erscheinen „installiert“, Nutzungsartefakte fehlen oder stammen aus der Zeit vor dem Backup. Für die gerichtliche Bewertung muss geklärt werden, welche Spuren vor und welche nach der Wiederherstellung entstanden sind.
Para o tribunal, o número de programas utilizados não é determinante. O que é determinante é qual o facto técnico que pode ser comprovado de forma fiável a partir da base de dados existente, como se chega a essa conclusão e quais são os limites da sua interpretação.
Technischer Hintergrund
Unterschiedliche Backup-Arten wirken unterschiedlich: Image-Restores übernehmen weitgehend alle Metadaten, dateibasierte Restores setzen häufig neue Erstellungszeiten, Geräte-Backups (z. B. iCloud) stellen App-Daten, aber nicht alle Systemprotokolle wieder her.
Relevante Spuren und Datenquellen
- Restore-Protokolle der Backup-Software
- Dateisystemzeiten ($STANDARD_INFORMATION vs. $FILE_NAME unter NTFS)
- USN-Journal und Ereignisprotokolle rund um den Restore-Zeitpunkt
- Geräteprotokolle zum Wiederherstellungsvorgang (iOS/Android)
A questão concreta da prova
Verificamos a origem da cópia de segurança, a data e hora da restauração, as classes de dados restauradas e as discrepâncias entre as datas e horas do conteúdo e do sistema de ficheiros.
Por que razão o contexto técnico é determinante
Os vestígios digitais não surgem isoladamente. O sistema operativo, a aplicação, o serviço na nuvem, a rede e o contexto do utilizador podem gerar o mesmo resultado visível de formas diferentes. Por isso, um único carimbo temporal, registo de log ou valor de base de dados não é considerado como conclusão definitiva sem a análise da lógica subjacente à sua origem. Sempre que necessário, vários vestígios independentes entre si são correlacionados entre si.
Grenzen
- Wenn Restore-Protokolle fehlen, ist der Zeitpunkt oft nur eingrenzbar.
- Daten, die nicht im Backup enthalten waren, fehlen dauerhaft.
Mögliche Ergebnisse
- Zeitpunkt und Art des Restores belegt
- Zuordnung strittiger Spuren zu Zeiträumen vor/nach dem Restore
Como o LanCologne aborda a questão de prova
Na LanCologne, a análise forense informática judicial começa pela questão probatória e não por um programa de análise específico. Em primeiro lugar, determina-se qual o facto técnico a esclarecer, quais as fontes de dados que têm relevância para o efeito e quais as explicações alternativas que devem ser analisadas com seriedade.
Os dados iniciais e as provas são documentados. Na medida do tecnicamente possível, a análise é realizada em cópias de segurança forenses verificadas ou em cópias de trabalho adequadas. As correspondências geradas automaticamente não são aceites sem verificação quando se trata de questões relevantes para a tomada de decisão. São determinantes a origem, a lógica de formação e o contexto do respetivo artefacto. As conclusões centrais são verificadas, se necessário, com base nos dados subjacentes ou através de um segundo método tecnicamente adequado.
No relatório pericial, os factos constatados, a interpretação técnica e as conclusões são apresentados separadamente. Igualmente importante é o limite das afirmações: o que está tecnicamente comprovado? O que é apenas corroborado? Que resultados contraditórios existem? Que explicação alternativa continua a ser possível? O que não é possível determinar com base nos dados disponíveis?
A parte principal é redigida de forma compreensível para juízes e outros intervenientes no processo que não possuam conhecimentos especializados em informática forense. A verificabilidade técnica é mantida. As fontes de dados, as informações de integridade, os artefactos e as etapas da investigação essenciais para uma verificação independente são documentados de forma compreensível numa parte técnica.
So gehen wir vor
- Feststellung von Art und Zeitpunkt der Wiederherstellung.
- Trennung der Artefakte nach Entstehung vor bzw. nach dem Restore.
- Bewertung der beweiserheblichen Spuren unter dieser Einordnung.
Resultado positivo, resultado negativo e ausência de detecção
Um parecer pericial deve manter-se imparcial quanto aos resultados. Se os dados corroborarem uma hipótese, deve explicar-se por que motivo. Se houver indícios sólidos que contradigam a hipótese, estes são igualmente apresentados. Se a base de dados não for suficiente, a falta de comprovação é expressamente referida. Não se constrói nenhuma afirmação aparentemente segura a partir de uma lacuna nos dados.
Compreensível para o tribunal – verificável pelo perito de contra-parecer
Os conceitos técnicos essenciais são explicados numa linguagem compreensível. Os termos técnicos são utilizados apenas quando necessário e, posteriormente, explicados. Ao mesmo tempo, os fundamentos técnicos decisivos são documentados de forma a que um perito forense de TI independente possa compreender o raciocínio com base nos mesmos dados e, se necessário, reproduzi-lo.
Classificação metodológica
No âmbito da informática forense judicial, não existe um catálogo legal de programas de análise obrigatórios. Do ponto de vista técnico, são essenciais uma base de dados controlada, a integridade, etapas de investigação documentadas, conclusões compreensíveis e a possibilidade de verificação independente.
O módulo DER.2.2 da Proteção Básica do BSI, intitulado „Preparação para a informática forense“, contém princípios básicos úteis para a preparação de futuras investigações forenses informáticas e para a recolha de provas em caso de incidentes de segurança informática. No entanto, não se trata, de forma alguma, de um conjunto de regras para investigações forenses informáticas no âmbito de crimes; a própria análise forense também não é objeto deste módulo. Por conseguinte, não é apresentado como uma norma forense no âmbito do processo penal.
LanCologne como perito independente em TI
Quando um tribunal precisa de esclarecer tecnicamente uma questão concreta relacionada com provas digitais, analisamos a base de dados disponível de forma independente e sem preconceitos quanto ao resultado. O objetivo não é obter o maior número possível de resultados técnicos, mas sim uma resposta fundamentada do ponto de vista técnico: compreensível para o tribunal, transparente na sua dedução e tecnicamente verificável.
Quadro jurídico
No que diz respeito à prova pericial em processos cíveis, são aplicáveis, em especial, os artigos 402.º e seguintes do Código de Processo Civil (ZPO). Nos termos do artigo 404.º-A do ZPO, o tribunal orienta a atividade do perito e pode determinar a natureza e o âmbito da mesma. Em caso de factos controversos, o tribunal determina quais os factos que devem servir de base ao parecer. O artigo 407.º-A do Código de Processo Civil (ZPO) obriga o perito, entre outras coisas, a verificar imediatamente se o mandato se insere na sua área de especialização; quaisquer dúvidas quanto ao conteúdo e ao âmbito do mandato devem ser esclarecidas pelo tribunal. O parecer escrito e eventuais esclarecimentos ou aditamentos estão regulados no artigo 411.º do ZPO. A apreciação final do parecer, juntamente com o resultado global da instrução, continua a ser da competência do tribunal (artigo 286.º do ZPO).
No que diz respeito aos pareceres no âmbito do processo penal, aplicam-se aos peritos os artigos 72.º e seguintes do Código de Processo Penal; o artigo 78.º do Código de Processo Penal diz respeito à orientação judicial da atividade do perito. As disposições aplicáveis num processo concreto dependem do tipo de processo e do mandato. A perícia informática forense não substitui uma avaliação jurídica.
Perguntas frequentes
LanCologne – Informática forense para tribunais
Tem alguma questão relacionada com o mundo digital? A LanCologne presta-lhe apoio através de uma investigação forense informática objetiva e imparcial.
Relacionado com este tema
- O que é que ainda se pode determinar com segurança após uma reposição das predefinições de fábrica?
- Que valor probatório têm as cópias de segurança, os instantâneos e os registos históricos?
- É possível determinar se um suporte de dados foi formatado ou se foi reinstalado um sistema operativo?
- Que valor probatório têm os artefactos da papelera e da lixeira em tribunal?