Questão de Segurança da Informação — Computação Forense — CESPE / CEBRASPE 2024
Segurança da Informação›Computação Forense
Código
ce404054
Banca
CESPE / CEBRASPE
Órgão
MPO
Ano
2024
Cargo
APO ( )
Em relação a conceitos e fundamentos da forense computacional, julgue item a seguir. Imagem e espelhamento consistem em técnicas de duplicação/cópia que são utilizadas na fase de análise e que, ao serem realizadas por meio de softwares e equipamentos forenses, garantem uma cópia fiel dos dados e, consequentemente, a preservação correta do material apreendido.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoE — Errado
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Imagem e espelhamento na forense computacional
❌ ERRADO. A afirmativa está incorreta porque imagem e espelhamento não são utilizados na fase de análise, mas sim na fase de preservação (ou coleta) da evidência digital. Além disso, embora ambas sejam técnicas de duplicação, apenas a imagem forense (cópia bit a bit) garante uma cópia fiel e a preservação correta do material apreendido; o espelhamento (clonagem) não preserva dados apagados nem áreas não alocadas, podendo alterar o conteúdo original.
A forense computacional é o ramo da ciência forense que examina mídias digitais com o objetivo de identificar, preservar, recuperar, analisar e apresentar fatos sobre a informação digital. O processo pericial segue fases bem definidas: preservação, extração, análise e apresentação. A duplicação da mídia (imagem ou espelhamento) ocorre na fase de preservação, pois é o momento em que se garante que a evidência original não será alterada durante o exame. A fase de análise é posterior, quando o perito examina a cópia já preservada, utilizando ferramentas como EnCase, FTK ou Autopsy.
A imagem de disco (duplicação forense) é uma cópia bit a bit (setor por setor) da mídia questionada, incluindo arquivos apagados, espaço não alocado e áreas fora das partições. Ela gera um arquivo de imagem (formatos .dd, .E01, .AFF) que pode ser montado e analisado sem alterar a evidência original. Para garantir a integridade, utiliza-se hash (MD5, SHA-256) antes e depois da cópia. Já o espelhamento (disk cloning) copia apenas os arquivos e a estrutura do sistema, não incluindo dados apagados, e gera um disco funcional que pode ser usado imediatamente, mas que não preserva a integridade forense — pois pode ser modificado durante o processo.
A tabela abaixo resume as principais diferenças:
Característica
Imagem de Disco (Duplicação Forense)
Espelhamento de Disco (Disk Cloning)
Tipo de cópia
Bit a bit (setor por setor)
Arquivos e estrutura do sistema
Inclui arquivos apagados?
✅ Sim
❌ Não
Copia espaço não alocado?
✅ Sim
❌ Não
Pode ser usado imediatamente?
❌ Não (precisa restaurar)
✅ Sim
Gera arquivo de imagem?
✅ Sim (.dd, .E01, .AFF)
❌ Não (gera disco funcional)
Preserva integridade forense?
✅ Sim (usa hash)
❌ Não (pode ser alterado)
Indicado para
Investigação forense, auditoria
Backup, migração de sistema
A pegadinha da questão está em dois pontos: (1) afirmar que a duplicação ocorre na fase de análise, quando na verdade ocorre na preservação; (2) tratar imagem e espelhamento como equivalentes, quando apenas a imagem é a técnica forense adequada para preservar a evidência de forma íntegra. O espelhamento, por não copiar dados apagados e poder alterar o conteúdo, não é recomendado para fins de perícia.
Duplicação forense
1Imagem de disco
Cópia bit a bit
Inclui dados apagados
Preserva integridade (hash)
Uso: perícia
2Espelhamento
Cópia de arquivos
Não inclui dados apagados
Pode alterar original
Uso: backup
LEVEL · soulevel.com.br
NÃO CAIA NESSA!
A banca troca a fase em que a duplicação é realizada (preservação, não análise) e iguala imagem e espelhamento, quando apenas a imagem forense garante cópia fiel e preservação correta. O espelhamento é útil para backup, mas não para perícia, pois não preserva dados apagados e pode modificar o original.
PEGA ESSA DICA!
Para questões de forense, lembre-se: preservação é a fase de duplicação (imagem bit a bit com hash); análise é a fase de examinar a cópia. Imagem = forense; espelhamento = backup.