Questão de Segurança da Informação — Computação Forense — CESPE / CEBRASPE 2025

Computação Forense: preservação da evidência digital

✅ CERTO. A afirmação está correta: a coleta de vestígios digitais deve, de fato, ser precedida pela identificação e pelo isolamento do ambiente comprometido, como forma de preservar a integridade da evidência. Esse é um princípio fundamental da computação forense, que visa garantir que a evidência não seja alterada, danificada ou destruída antes de ser coletada e analisada.

A computação forense, também conhecida como forense digital, é o ramo da ciência forense que lida com a identificação, preservação, recuperação, análise e apresentação de evidências digitais. O objetivo principal é examinar a mídia digital de forma a manter a integridade e a autenticidade das informações, para que possam ser utilizadas em processos judiciais. O processo de investigação forense segue uma metodologia rigorosa, que começa com a identificação do incidente e a preservação do ambiente, antes de qualquer coleta de dados.

A preservação da evidência digital é um dos pilares da computação forense. Para que uma evidência seja admissível em juízo, é necessário que se prove que ela não foi alterada desde o momento da coleta até a apresentação final. Isso é feito por meio de procedimentos como a criação de uma imagem bit a bit do disco rígido, a geração de hashes criptográficos (como MD5 ou SHA-1) para verificar a integridade dos dados, e a manutenção de uma cadeia de custódia rigorosa, que documenta todas as pessoas que tiveram acesso à evidência e todas as ações realizadas sobre ela.

A identificação e o isolamento do ambiente comprometido são os primeiros passos para garantir a preservação da evidência. Ao isolar o ambiente, a equipe forense impede que o sistema seja alterado por ações externas, como a continuação de um ataque, a ação de um malware ou mesmo a atividade de usuários legítimos. Isso é crucial porque qualquer alteração no sistema pode comprometer a integridade da evidência, tornando-a inválida em um processo judicial. Por exemplo, se um servidor de arquivos foi comprometido, a equipe deve primeiro isolar o servidor da rede, desligá-lo ou fazer uma imagem do disco antes de qualquer análise, para evitar que o sistema operacional ou os arquivos sejam modificados.

A distinção entre a coleta de evidências e a preservação do ambiente é um ponto-chave. A coleta é a ação de extrair os dados, enquanto a preservação é o conjunto de medidas para garantir que esses dados não sejam alterados. A identificação e o isolamento são medidas de preservação que antecedem a coleta. A banca explora exatamente essa sequência: o candidato pode pensar que a coleta é o primeiro passo, mas, na verdade, a preservação do ambiente é anterior e essencial.

Guarde essa sequência: identificação do incidente → isolamento do ambiente → preservação da evidência → coleta → análise → apresentação. É exatamente essa ordem que a questão cobra, e é nela que as alternativas se dividem.

Item — ✅ Correto ⟵ GABARITO

A afirmação está correta. A coleta de vestígios digitais deve ser precedida pela identificação e pelo isolamento do ambiente comprometido, como forma de preservar a integridade da evidência. Esse é um princípio fundamental da computação forense, que visa garantir que a evidência não seja alterada, danificada ou destruída antes de ser coletada e analisada. A identificação do ambiente comprometido permite que a equipe forense saiba onde e o que procurar, enquanto o isolamento impede que o sistema seja alterado por ações externas, como a continuação de um ataque ou a ação de um malware. Somente após essas medidas é que a coleta de dados pode ser realizada de forma segura, garantindo a integridade e a autenticidade da evidência.

Gabarito: ✅ CERTO