GabaritoC — Certo
✅ CERTO. O data carving é, de fato, uma técnica de recuperação de arquivos excluídos que se baseia na identificação de assinaturas (cabeçalhos e rodapés) típicas de cada formato de arquivo, e é empregada durante a etapa de análise forense. A afirmação está correta.
O data carving é uma técnica avançada de recuperação de dados que atua diretamente sobre os setores físicos da mídia, ignorando a estrutura lógica do sistema de arquivos (como FAT, NTFS, ext4). Quando um arquivo é excluído, o sistema de arquivos apenas remove as referências a ele (entradas na tabela de alocação, inodes etc.), mas os dados em si permanecem nos setores até serem sobrescritos. O data carving explora exatamente isso: procura por padrões binários característicos de formatos conhecidos — as chamadas assinaturas de arquivo — e, a partir delas, extrai ("carva") os dados mesmo sem a referência do sistema de arquivos.
Por exemplo, um arquivo JPEG normalmente começa com os bytes FFD8 e termina com FFD9; um PDF começa com %PDF e termina com %%EOF; um ZIP/DOCX começa com PK. O perito, ao analisar uma imagem forense, pode usar ferramentas de carving para varrer o disco em busca dessas assinaturas e recuperar arquivos que foram "apagados" mas ainda residem no espaço não alocado.
Essa técnica é essencial na fase de análise, pois permite recuperar evidências que, à primeira vista, pareceriam perdidas. É importante diferenciar o data carving da recuperação tradicional, que depende da estrutura lógica do sistema de arquivos. Enquanto a recuperação tradicional usa a tabela de alocação para localizar os dados, o carving atua no nível físico, o que o torna mais robusto em casos de exclusão, formatação ou até mesmo corrupção parcial do sistema de arquivos.
A banca explora aqui um conceito central da forense computacional. A pegadinha poderia ser inverter a definição, dizendo que o carving depende da tabela de alocação, ou que é usado na fase de coleta/preservação, quando na verdade é uma técnica de análise. Mas a afirmação está precisa: recuperação de arquivos excluídos + assinatura do tipo de arquivo + etapa de análise.
A banca pode tentar confundir o data carving com a recuperação tradicional de dados, que depende da estrutura lógica do sistema de arquivos (FAT, NTFS, ext4). O carving, ao contrário, ignora essa estrutura e atua diretamente nos setores físicos, buscando assinaturas de arquivo. Fique atento a essa distinção.
Gabarito: letra C (CERTO).
Link permanente: /questoes/ce404055