Recuperação de arquivos por assinatura (File Carving)
Gabarito: letra E. O processo descrito — pesquisar a mídia por valores conhecidos de cabeçalho e rodapé (assinaturas) e extrair os dados delimitados por essas marcações — é a definição técnica de File Carving. As demais alternativas referem-se a ferramentas ou conceitos distintos (particionamento, visualização hexadecimal, busca textual) que não realizam esse tipo de recuperação sem metadados.
A questão testa o conhecimento de uma técnica fundamental em computação forense: quando o sistema de arquivos está corrompido ou o índice foi apagado, a recuperação por file carving utiliza os magic numbers (assinaturas) do início e fim do arquivo para "esculpir" os dados.
Alternativa A — ❌ Incorreta
Diskpart é uma ferramenta do Windows para gerenciamento de partições e discos (criar, formatar, excluir volumes). Não tem função de varredura por assinaturas de arquivos.
Alternativa B — ❌ Incorreta
Hexadump (referência ao utilitário hexdump ou similar) exibe o conteúdo binário de um arquivo em hexadecimal. É uma forma de visualização, não um processo de recuperação de arquivos apagados.
Alternativa C — ❌ Incorreta
Findentify não é um termo técnico consolidado. Possível erro de digitação ou ferramenta obscura. Não corresponde ao processo descrito (provavelmente confunde com "file identify" ou similar).
Alternativa D — ❌ Incorreta
String searching (busca por strings) localiza cadeias de caracteres legíveis no dado binário, mas não delimita arquivos completos com base em cabeçalho e rodapé. É útil para encontrar fragmentos, não para extrair o arquivo íntegro.
Alternativa E — ✅ Correta ⟵ GABARITO
File Carving é a técnica padrão para recuperar arquivos quando as informações do sistema de arquivos (metadados, tabela de alocação) foram perdidas. O perito define as assinaturas de início e fim (ex.: JPEG inicia com FF D8 FF e termina com FF D9) e o software extrai todos os blocos entre esses marcadores, mesmo que não haja registro no diretório.
Gabarito: letra E — File carving.