Questão de Criminalística — Computação Forense — IADES 2017
Criminalística›Computação Forense
Código
qq270216
Banca
IADES
Órgão
PC-DF
Ano
2017
Nível
Superior
Cargo
Perito Criminal - Verificação de Aprendizagem
A primeira etapa de um exame pericial de informática é referente à aquisição de dados. Já a segunda etapa é relativa à análise do material extraído em busca de dados relevantes. Os dois modos de trabalho para a segunda etapa são a análise
Adireta e a controlada.
Bsubtrativa e a apositiva.
Cfísica e a comportamental.
Dlive e a post mortem.
Einterpolada e a hash.
Revelar gabarito e comentário▾
GabaritoD — live e a post mortem.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Computação forense — análise live e post mortem
Gabarito: letra D. A segunda etapa do exame pericial de informática é a análise do material extraído. Nessa fase, os dois modos clássicos de trabalho são a análise live (ao vivo, sobre o sistema em funcionamento) e a análise post mortem (sobre dados estáticos, como imagens forenses de disco). Essa classificação é amplamente aceita na literatura e na prática pericial.
As demais alternativas empregam termos que não representam a divisão consagrada para a etapa de análise em computação forense.
1Aquisição de dados
2Análise do material
3Elaboração do laudo
LEVEL · soulevel.com.br
Alternativa A — ❌ Incorreta
“Direta e controlada” não são categorias padrão na análise forense. Embora existam técnicas específicas, não correspondem aos dois grandes modos de trabalho na segunda etapa.
Alternativa B — ❌ Incorreta
“Subtrativa e apositiva” são expressões sem correspondência no vocabulário técnico da computação forense.
Alternativa C — ❌ Incorreta
“Física e comportamental” referem-se a enfoques possíveis (análise de hardware vs. análise de comportamento de software), mas não à divisão principal entre análise de dados voláteis e não voláteis.
Alternativa D — ✅ Correta ⟵ GABARITO
A análise live é realizada enquanto o sistema está em execução, permitindo capturar dados voláteis (memória RAM, processos ativos, conexões de rede, etc.) que seriam perdidos no desligamento. Já a análise post mortem é feita sobre cópias forenses (imagens) de discos e mídias, examinando dados persistentes de forma segura e sem alterar a evidência original. Essa dicotomia é um dos pilares da metodologia forense digital.
A tabela a seguir resume as principais diferenças:
Característica
Live Analysis
Post Mortem Analysis
Estado do sistema
Em funcionamento
Desligado (cópia forense)
Dados analisados
Voláteis (RAM, processos, rede)
Não voláteis (disco, arquivos)
Risco de alteração
Alto (requer cuidado)
Baixo (trabalha-se sobre imagem)
Ferramentas comuns
COFEE, WindowsSCOPE, Ram capturers
EnCase, FTK, X-Ways
Quando usar
Suspeita de dados efêmeros, sistemas criptografados
Padrão na maioria das investigações
PEGA ESSA DICA!
Na prova, lembre-se que a etapa de análise divide-se entre o exame de dados vivos (live) e de dados mortos (post mortem). Essa é a nomenclatura consagrada na área e cai com frequência em questões de computação forense.
Alternativa E — ❌ Incorreta
“Interpolada e hash” confunde técnicas de processamento (interpolação) e método de verificação de integridade (hash) com modos de análise. Hash é usado para garantir que uma imagem forense não foi alterada, mas não constitui um modo de trabalho para a segunda etapa.