Questão de Criminalística — Computação Forense — FUNDATEC 2025

Computação Forense: Etapas e Ferramentas

Gabarito: A. A alternativa A descreve corretamente o uso de ferramentas como FTK Imager e DD para criar cópias forenses bit a bit, preservando o hash do original – procedimento essencial para garantir a integridade das evidências digitais. As demais alternativas contêm erros conceituais típicos de provas da área.

Alternativa A — ✅ Correta ⟵ GABARITO

Ferramentas como FTK Imager (AccessData) e DD (comando Unix) são amplamente utilizadas para gerar imagens forenses exatas (bit a bit) do disco rígido. O cálculo do hash (MD5, SHA-1) da mídia original é realizado antes e depois da cópia para verificar a integridade; a imagem preserva esse hash, permitindo confirmar que não houve alteração. O texto de apoio menciona que "a disciplina envolve técnicas e princípios semelhantes à recuperação de dados, mas com diretrizes adicionais para criar uma trilha de auditoria legal", o que inclui a criação de imagens bit a bit.

Alternativa B — ❌ Incorreta

A etapa de isolamento não deve consistir em desconectar imediatamente o equipamento da energia elétrica. O procedimento correto exige, antes de desligar, a captura dos dados voláteis (memória RAM), que seriam perdidos. O material de apoio explica que "ao apreender provas, se a máquina ainda estiver ativa, qualquer informação armazenada somente na memória RAM que não seja recuperada antes de ser desligada pode ser perdida". Desconectar a energia sem antes adquirir a RAM compromete essas evidências voláteis. O erro da alternativa é inverter a prioridade: primeiro dados voláteis, depois desligamento.

Alternativa C — ❌ Incorreta

A coleta de vestígios digitais (aquisição) deve ocorrer antes da análise, e não após. O processo forense padrão é: preservação → aquisição → análise → relatório. O texto de apoio afirma que "as investigações são realizadas em dados estáticos (ou seja, imagens adquiridas)". Analisar o conteúdo antes de gerar a cópia bit a bit viola o princípio de preservação da evidência original. A alternativa inverte a ordem correta.

Alternativa D — ❌ Incorreta

A arquitetura de von Neumann é composta por unidade central de processamento (CPU), memória, dispositivos de entrada e saída e barramento de controle. A alternativa omite a memória (RAM), afirmando que o conjunto é "unicamente por processadores e dispositivos de entrada e saída". Embora a atribuição a John von Neumann esteja correta, a descrição está incompleta e, portanto, errada.

Alternativa E — ❌ Incorreta

O uso de um bloqueador de escrita (write blocker) é uma ferramenta importante para evitar alterações no dispositivo original durante a aquisição, mas não garante automaticamente a preservação dos vestígios. A documentação da cadeia de custódia é indispensável e não pode ser relativizada: cada passo deve ser registrado para assegurar a admissibilidade da prova. A alternativa erra ao afirmar que o write blocker relativiza a cadeia de custódia.