Conceito e funcionamento
Evidência útil precisa de origem, método, operador, data e contexto de obtenção. A cadeia de custódia registra acesso, transferências e armazenamento, e não deve ser reduzida à anotação de um hash. Hash SHA-256 identifica bytes medidos, mas não comprova que o processo de aquisição foi autorizado ou que a fonte era íntegra.
Como investigar e correlacionar
Use cópias de trabalho preservando original, registre hashes e metadados de arquivo e documente transformações. Verifique relógios e retenção, especialmente em artefatos voláteis. Em revisão independente, outra pessoa deve conseguir relacionar achado ao arquivo e comando usados sem depender do relato oral do investigador.
Consulta ou exemplo orientativo
Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.
sha256sum ./evidencia-sintetica.log
stat ./evidencia-sintetica.log
date --iso-8601=secondsESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Arquivo de log é copiado de host investigado para notebook pessoal sem registrar quem fez a transferência.
Procedimento orientado
Reconstrua origem, horário, método, hash e acesso, e registre quais etapas da cadeia não podem ser demonstradas.
Resultado esperado
O parecer deve indicar limitações de confiabilidade e propor procedimento controlado para futuras coletas.
Cuidados adicionais
Hash igual entre cópias não certifica autorização, proveniência ou integridade anterior à coleta.
Limitações e interpretações incorretas
Análise local de host profundamente comprometido pode sofrer adulteração. Não execute amostras suspeitas nem reinicie equipamentos sem avaliação de preservação e risco. Trate dados sensíveis segundo legislação e política.
Checklist de validação
- Registrar coletor e horário
- Identificar origem e método
- Calcular hash de cópia estável
- Auditar acessos e transferências
Referências técnicas
Guias para aprofundar
- preservacao evidencias timeline — aguardando publicação editorial