Este resumo reúne todas as perguntas e respostas sobre informática forense para tribunais na LanCologne – desde a identificação de utilizadores e contas, passando por ficheiros, metadados e registos de comunicação, até às contradições nas provas digitais e ao papel do perito informático no processo judicial. Clique numa categoria para ver as perguntas correspondentes.
Atribuição de utilizadores e contas
- É possível determinar quem utilizou um computador ou um smartphone?
- É possível comprovar tecnicamente uma entrada concreta do utilizador?
- É possível distinguir o envio efetivo de uma mensagem da mera existência da mesma na conta?
- É possível distinguir entre uma conta de utilizador local, uma conta de domínio e uma conta na nuvem?
- É possível reconstituir uma mudança de utilizador ou uma sessão de utilizador paralela?
- Que valor informativo tem um registo automático?
- É possível associar um artefacto digital a um determinado perfil de utilizador?
- Como devem ser avaliados os artefactos provenientes de contas partilhadas ou técnicas?
- É possível distinguir se os dados digitais foram gerados automaticamente ou por ação do utilizador?
- É possível determinar se uma conta de utilizador foi comprometida ou utilizada por terceiros?
- Como é que os registos digitais são avaliados quando vários dispositivos utilizam a mesma conta?
- É possível atribuir uma ação digital a um utilizador específico no caso de computadores partilhados?
- É possível distinguir de forma fiável entre uma conta de utilizador local, uma conta de domínio e uma conta na nuvem?
- É possível comprovar uma mudança de utilizador ou uma sessão de utilizador paralela?
- Qual é a relevância de um início de sessão automático para a atribuição de utilizadores?
- É possível associar um artefacto digital a um determinado perfil de utilizador num sistema multiutilizador?
Comunicação: chat, e-mail e mensagens
- É possível verificar, do ponto de vista técnico, a autenticidade e a integridade do histórico de uma conversa?
- É tecnicamente possível identificar a origem e o percurso de envio de um e-mail?
- Qual é o valor probatório das notificações push enquanto prova digital?
- O que é que uma confirmação digital de leitura realmente prova?
- Como se devem avaliar as diferenças no estado das mensagens entre o remetente e o destinatário?
- É possível distinguir, no caso de um anexo de e-mail, entre a receção, o armazenamento, a abertura e o processamento?
- É possível determinar se um e-mail foi reencaminhado ou se o seu conteúdo foi copiado manualmente?
- Que valor informativo têm os cabeçalhos dos e-mails no que diz respeito à origem e à via de transmissão?
- É possível determinar se um e-mail foi eliminado localmente, no servidor ou através da sincronização?
Fotografias, vídeos e multimédia
- É possível deduzir a utilização efetiva do dispositivo a partir do bloqueio do ecrã?
- É possível determinar se uma fotografia ou um vídeo foi gravado com um determinado dispositivo?
- É possível distinguir entre a gravação original, o ficheiro editado e a cópia convertida?
- Qual é a relevância das imagens de pré-visualização e das caches de miniaturas?
- Qual é o valor probatório de uma gravação de ecrã enquanto prova digital?
- Qual é a validade dos metadados de fotografias e vídeos como prova judicial?
- Uma pré-visualização ou miniatura indica que o ficheiro correspondente foi aberto?
Dispositivos, rede e artefactos do sistema
- É possível determinar se um dispositivo esteve ligado a um determinado WLAN?
- Que significado têm os ficheiros idênticos em vários dispositivos?
- É possível determinar qual foi o dispositivo que originou uma alteração sincronizada?
- É possível comprovar tecnicamente um alegado acesso remoto a um computador?
- É possível reconstruir cronologicamente a mudança de rede de um dispositivo?
- É possível determinar se uma atualização do sistema alterou ou eliminou vestígios digitais?
- De que forma a migração para um novo dispositivo afeta a avaliação das provas?
- É possível comprovar se um determinado dispositivo externo esteve ligado a um computador?
- É possível determinar se um determinado software foi instalado ou se foi efetivamente executado?
- É possível verificar posteriormente se um software foi instalado anteriormente e entretanto desinstalado?
- É possível comprovar se os dados foram transmitidos ou acedidos através de uma partilha de rede?
- Que valor probatório têm os dados voláteis da memória principal num tribunal?
- É possível comprovar posteriormente uma sessão de ambiente de trabalho remoto ou de acesso remoto?
- É possível determinar se um dispositivo estava bloqueado ou a ser utilizado ativamente no momento em questão?
- É possível saber a que rede um dispositivo estava ligado num determinado momento?
- Como é que as indicações de hora do Server externo são comparadas com a hora local do dispositivo?
- Que influência podem as atualizações do sistema ter nos rastros digitais?
- É possível detetar, através de uma análise forense, uma migração de um dispositivo antigo para um novo?
Eliminação, recuperação e cópia de segurança
- É possível comprovar se os dados foram apagados deliberadamente?
- Que vestígios pode deixar uma restauração a partir de uma cópia de segurança?
- O que é que ainda se pode determinar com segurança após uma reposição das predefinições de fábrica?
- Que valor probatório têm as cópias de segurança, os instantâneos e os registos históricos?
- É possível determinar se um suporte de dados foi formatado ou se foi reinstalado um sistema operativo?
- Que valor probatório têm os artefactos da papelera e da lixeira em tribunal?
- É possível determinar se os dados apagados foram posteriormente sobrescritos?
- De que forma é que uma restauração a partir de uma cópia de segurança influencia a avaliação das provas?
- Que mensagens ainda é possível ver após uma reposição das predefinições de fábrica?
Autenticação, encriptação e proteção de acesso
- É possível distinguir entre a autenticação por palavra-passe, a autenticação biométrica e a autenticação baseada na sessão?
- Que valor probatório têm as palavras-passe, os tokens e os dados de acesso guardados num tribunal?
- Qual é o valor informativo dos contentores encriptados e dos discos virtuais?
- Que tipo de declaração é admissível no caso de provas encriptadas ou apenas parcialmente acessíveis?
- Como é que uma assinatura digital é verificada do ponto de vista técnico?
Anonimização, VPN e rastros de rede
- Qual é a relevância da utilização de uma VPN para a atribuição de atividades digitais?
- Como é que as ligações por proxy, de retransmissão ou de anonimização são classificadas do ponto de vista forense?
- Qual é o valor probatório dos vestígios de DNS como prova de atividade na Internet?
- Qual é a relevância da utilização de uma VPN para a atribuição de atividades na Internet?
Nuvem, sistemas virtuais e contentores
- É possível determinar se um arquivo foi descompactado ou se o seu conteúdo foi utilizado?
- Como é que as máquinas virtuais são analisadas enquanto provas digitais?
- É possível determinar se uma máquina virtual estava a ser executada num determinado momento?
- Que valor probatório têm os registos de sincronização na nuvem em tribunal?
- Que valor probatório têm os contentores encriptados e os suportes de dados virtuais em tribunal?
- Como é que as máquinas virtuais são analisadas enquanto prova digital?
Ficheiros, metadados e carimbos de data e hora
- É possível determinar quando um ficheiro foi criado ou alterado?
- É possível determinar se um ficheiro foi realmente aberto ou utilizado?
- É possível determinar se um ficheiro foi apenas visualizado ou se foi efetivamente editado?
- Que valor informativo têm os rascunhos, os ficheiros guardados automaticamente e os documentos temporários?
- É possível associar um ficheiro a um determinado programa de criação?
- É possível verificar se um documento foi exportado a partir de outro ficheiro?
- Os registos da área de transferência podem comprovar uma ação de copiar e colar?
- Que valor probatório têm os ficheiros ZIP, RAR e outros ficheiros de arquivo em tribunal?
- Qual é o valor probatório de uma linha do tempo digital em tribunal?
- Qual é o valor informativo dos índices de pesquisa e do conteúdo dos ficheiros indexados?
- É possível distinguir uma pesquisa efetivamente realizada de uma mera indexação?
- É possível determinar se uma ação digital foi desencadeada por uma tarefa planeada ou por uma automatização?
- É possível determinar se existia uma autorização num determinado momento?
- É possível reconstruir uma alteração nas autorizações de utilizadores ou de grupos?
- Em que circunstâncias é que se pode, de facto, tirar uma conclusão a partir da ausência de um artefacto digital?
- É possível comprovar se um documento digital foi alterado posteriormente?
- É possível determinar qual era a versão de um documento num determinado momento?
- É possível determinar se um ficheiro foi descarregado da Internet?
- É possível determinar se um computador estava ligado ou desligado num determinado momento?
- É possível verificar se os ficheiros foram renomeados ou movidos dentro de um sistema?
- Que valor probatório têm, em tribunal, os ficheiros recuperados ou que se conservam apenas de forma fragmentária?
- É possível determinar se um ficheiro ou uma informação foi impresso?
- É possível determinar se um ficheiro foi realmente aberto?
- É possível comprovar que uma pessoa tomou efetivamente conhecimento do conteúdo de um ficheiro digital?
- É possível distinguir se um ficheiro foi copiado, movido ou sincronizado?
- É possível delimitar tecnicamente o momento em que a eliminação deve ocorrer?
- É possível comprovar o acesso a um ficheiro, mesmo que este não tenha sofrido alterações?
- É possível detetar alguma manipulação dos carimbos de data e hora dos ficheiros ou do sistema?
- É possível distinguir entre um ficheiro multimédia original e uma versão convertida ou guardada novamente?
- Que valor informativo têm os índices de pesquisa quanto à existência ou utilização de um ficheiro?
Contradições, plausibilidade e apreciação das provas
- Como é que um perito em TI analisa uma cadeia de eventos alegada, quando as provas digitais se contradizem entre si?
- Até que ponto os metadados que podem ser alterados manualmente são considerados provas fiáveis?
- Pode o malware ser uma explicação alternativa para uma ação digital?
- Como lidar com vestígios digitais contraditórios?
- Como se verifica a plausibilidade técnica de uma cadeia de eventos digitais alegada?
- Como é que um perito em TI avalia duas explicações tecnicamente plausíveis?
- Como se formula corretamente uma constatação de impossibilidade técnica num relatório pericial?
- Como devem ser tratadas as provas digitais contraditórias num relatório pericial de TI?
Pareceres, processos judiciais e peritos
- Como é que a independência e a neutralidade de um perito em TI são postas em prática?
- Por que razão um relatório pericial de TI deve ser compreensível para quem não é especialista em informática forense?
- Por que razão um anexo técnico faz parte de um relatório técnico de TI compreensível?
- Como se elabora um parecer informático de forma a que seja possível elaborar um eventual contra-parecer?
- Como é que se responde de forma definitiva e inequívoca a uma questão judicial relativa a provas informáticas?
- De que forma é que os fusos horários, o horário de verão e os relógios do sistema com erros são tidos em conta no relatório pericial?
- Como é que se pode verificar tecnicamente um parecer privado sobre TI já existente?
- Perito ou testemunha pericial – o que é preciso distinguir no caso de factos digitais?
- Como é que um parecer pericial em TI é apresentado em tribunal e analisado em resposta a perguntas complementares?
- Que impacto tem uma cadeia de custódia incompleta na validade técnica?
- O que acontece se, durante a investigação forense informática, forem detetados novos factos que não estão abrangidos pelo mandado judicial?
- Onde termina a conclusão técnica do perito em TI e onde começa a apreciação das provas pelo tribunal?
Outras questões probatórias
- Que valor probatório tem uma captura de ecrã ou uma fotografia de um conteúdo digital?
- É possível comprovar se foram copiados dados para um suporte de dados USB?
- Como é que as provas digitais são preservadas de forma a que a investigação continue a ser verificável posteriormente?
- Qual é a validade dos dados digitais de localização como prova em tribunal?
- É possível reconstruir tecnicamente uma alegada utilização da Internet ou do navegador?
- É possível rastrear a origem de um ficheiro digital ou de um conjunto de dados?
- Como é que se lida com provas digitais danificadas ou incompletas?
- Como é que os registos da base de dados e os registos WAL/diário são avaliados em tribunal?
- Que valor probatório têm os registos de sistema e de eventos em tribunal?
- É possível associar um endereço IP a uma pessoa específica?
- É possível identificar indícios de técnicas anti-forenses ou de eliminação seletiva de vestígios?
- O que tem maior valor probatório: os dados originais, uma cópia de segurança forense ou um relatório exportado?
- Em que casos pode ser adequado realizar uma nova perícia forense informática nos termos do artigo 412.º do Código de Processo Civil (ZPO)?
- É possível comprovar se uma prova digital foi alterada após a sua apreensão?
- É possível determinar se foram utilizados direitos administrativos ou direitos alargados?
- Como se deve avaliar uma prova digital que já tinha sido utilizada antes de ter sido sujeita a um processo de preservação forense?
- É possível reconstruir de forma fiável a sequência de várias ações digitais?
- É possível verificar tecnicamente a autenticidade e a origem de uma captura de ecrã?
- É possível determinar quando um ficheiro ZIP, RAR ou outro tipo de arquivo foi criado ou descompactado?
- É possível determinar, a partir de um ficheiro PDF, qual foi o documento de origem a partir do qual foi criado?