Cópia forense: diferenças entre duplicar um arquivo e adquirir um dispositivo

O conceito em uma imagem

A abrangência da aquisição precisa estar descrita. “Cópia” não significa sempre a mesma coisa.

O que se entende por cópia forense

O glossário do NIST descreve cópia forense como uma reprodução bit a bit de informações de um dispositivo ou mídia, com verificação de validade e integridade por um algoritmo aceito. Essa definição ajuda a diferenciar a reprodução de uma representação binária de uma cópia casual de itens selecionados.

Na prática, o material disponível e as características da fonte delimitam o procedimento. Um relatório precisa explicar o que foi efetivamente adquirido. A expressão “cópia forense” não deve ser usada como um rótulo de qualidade sem descrever o objeto, a abrangência e as verificações realizadas.

Copiar arquivos e adquirir uma representação

Uma cópia de arquivos selecionados pode responder a uma questão delimitada, mas não inclui necessariamente outras informações da fonte. Propriedades mantidas pelo sistema, áreas não expostas ao usuário ou registros de aplicativos podem ficar fora do conjunto obtido. Isso deve ser considerado antes de escolher o procedimento.

O ponto não é afirmar que uma abordagem é sempre melhor. A pergunta é se o material adquirido é suficiente para o objetivo proposto. Uma aquisição excessiva também pode trazer dificuldades de escopo e tratamento. A decisão deve relacionar necessidade técnica, acesso disponível e condições de preservação.

Aquisição lógica e aquisição física

Aquisição lógica geralmente envolve informações disponibilizadas por sistemas, aplicativos ou interfaces acessíveis. Aquisição física busca uma representação de dados em um nível mais próximo da mídia ou de suas áreas de armazenamento. Os termos não garantem, por si só, acesso completo a todo conteúdo que alguém imagina existir.

Dispositivos modernos podem empregar criptografia, restrições de acesso e organização de armazenamento que alteram o alcance de cada método. Mesmo quando uma representação ampla é obtida, isso não implica que todo dado seja interpretável ou recuperável. As condições reais precisam aparecer na descrição do exame.

Verificação e materiais derivados

Quando aplicável, uma referência criptográfica pode apoiar a comparação entre a representação adquirida e as cópias destinadas ao trabalho. O procedimento deve registrar os objetos envolvidos e seus resultados. Qualquer divergência requer explicação compatível com a operação e com o tipo de aquisição.

O exame pode produzir extrações, relatórios e conversões. Esses resultados são materiais derivados, não a própria fonte. Identificá-los e relacioná-los à aquisição permite manter o percurso examinável, inclusive quando diferentes ferramentas ou etapas foram necessárias.

Limitações que precisam ser declaradas

Uma aquisição pode ser parcial por restrição de acesso, condição do dispositivo, indisponibilidade de uma fonte ou decisão de escopo. Nenhuma dessas situações deve desaparecer da redação final. O relatório precisa indicar o que estava disponível, o que foi obtido e quais perguntas não puderam ser respondidas.

Antes da transferência de um dispositivo, convém buscar orientação adequada ao material. Intervenções por tentativa podem modificar informações ou reduzir opções de exame. Este artigo não fornece instruções de aquisição para o leitor: explica por que a escolha do procedimento exige avaliação específica.

Um relatório exportado não é todo o aplicativo

Imagine que um aplicativo permita exportar uma conversa. O arquivo obtido pode ser relevante, mas não deve ser apresentado como uma aquisição integral do dispositivo ou de toda a base do aplicativo. O exame precisa identificar o que a exportação contém e quais informações não foram incluídas. O exemplo é conceitual e não representa um caso atendido.

Separar o que se observa do que se conclui

Perguntas que qualificam uma avaliação

Antes de buscar uma resposta conclusiva, vale formular questões que possam ser relacionadas ao material disponível. Para este tema, três perguntas ajudam a delimitar o exame:

• Qual informação era necessária ao escopo?
• A aquisição foi integral ou parcial, e em qual sentido?
• Quais limitações impediram acesso ou interpretação?

As respostas podem depender de informações ainda ausentes. Identificar essa ausência faz parte da avaliação; não é um motivo para preencher lacunas com suposições.

Perguntas frequentes