Forense digital na empresa: como preservar evidencia depois de um incidente

As primeiras horas decidem o caso

Quando um incidente de segurança acontece — ransomware, invasão de servidor, vazamento de dados, fraude interna — a reação natural de qualquer equipe é agir rápido: desligar máquinas, reinstalar sistema, restaurar backup e voltar a operar. É compreensível, porque o custo de parada é real e imediato. O problema é que quase todas essas ações destroem a evidência que responderia à pergunta mais importante do processo: o que exatamente aconteceu, por onde o atacante entrou e o que ele levou.

Forense digital é a disciplina que trata de coletar, preservar e analisar dados de sistemas comprometidos de forma que as conclusões sejam tecnicamente defensáveis. Não é sinônimo de "investigar o log". É um método com regras próprias sobre ordem de coleta, integridade dos dados e documentação de quem tocou em quê. Sem esse método, você pode até descobrir o que houve, mas não conseguirá provar nada perante seguradora, cliente, autoridade regulatória ou juízo.

A janela crítica é curta. Memória RAM se perde no desligamento. Logs rotacionam em dias ou horas. Registros de conexão de firewall são sobrescritos. Sessões de nuvem expiram. Cada hora sem uma decisão consciente sobre preservação é evidência que evapora. Por isso a resposta a incidente madura separa duas coisas que normalmente se misturam: conter o dano e preservar a prova. As duas precisam acontecer, mas não de qualquer jeito e não em qualquer ordem.

Isolar não é desligar

O erro mais caro e mais comum é desligar a máquina comprometida na tomada. Faz sentido intuitivamente — corta o atacante — mas apaga a memória volátil, onde costumam estar as informações mais valiosas: processos maliciosos em execução, conexões de rede ativas, chaves de criptografia ainda em claro, credenciais em cache, payloads que nunca tocaram o disco. Em casos de ransomware, já houve situações em que a chave de decriptação estava na RAM e foi perdida no desligamento.

A conduta correta é isolar a máquina da rede mantendo-a ligada. Na prática isso significa desconectar o cabo de rede, desabilitar a interface Wi-Fi ou aplicar isolamento pela ferramenta de endpoint (EDR/antivírus corporativo), que costuma ter função de quarentena de rede preservando a sessão. Em ambiente virtualizado, a alternativa ainda melhor é suspender a VM ou tirar um snapshot com memória incluída — isso congela o estado inteiro, disco e RAM, num artefato único.

Ordem prática nas primeiras horas:

1. Isolar o host da rede sem desligar (cabo, Wi-Fi ou quarentena por EDR)
2. Fotografar a tela e anotar hora exata, com fuso horário
3. Coletar memória volátil antes de qualquer outra coisa
4. Preservar logs que rotacionam rápido: firewall, proxy, VPN, autenticação, e-mail
5. Trocar credenciais privilegiadas a partir de uma estação sabidamente limpa
6. Só então avaliar imagem de disco e plano de recuperação

Há uma ordem de volatilidade que orienta a coleta: registradores e cache primeiro, depois memória, depois estado de rede e processos, depois sistema de arquivos temporário, depois disco, e por último backups e mídias externas. A regra é sempre coletar do mais efêmero para o mais durável. Inverter essa ordem significa perder o topo da lista para sempre.

Se você só puder fazer uma coisa antes de chamar ajuda: isole da rede e não desligue. Praticamente todo o resto ainda é recuperável depois — memória RAM, não.

Imagem forense: a cópia que substitui o original

Análise nunca se faz no equipamento original. Trabalhar direto no disco comprometido altera timestamps de acesso, escreve em áreas livres, roda serviços que sobrescrevem espaço não alocado, e transforma a evidência em algo contestável. Em vez disso, cria-se uma imagem forense: uma cópia bit a bit do dispositivo, incluindo espaço não alocado, arquivos apagados recuperáveis, slack space e metadados de sistema de arquivos.

Uma cópia de arquivos comum — arrastar pastas, robocopy, backup normal — não serve como imagem forense. Ela captura apenas o que o sistema operacional decide mostrar e ignora exatamente as áreas onde costuma estar o rastro do que foi deletado. A imagem forense é feita em nível de bloco, idealmente com bloqueador de escrita de hardware ou montagem somente leitura, e resulta em um arquivo (formato raw/dd ou E01) acompanhado de hashes criptográficos.

Os hashes são o coração da defensabilidade. Gera-se um hash — SHA-256 é o padrão razoável hoje — do dispositivo original antes da cópia e da imagem resultante depois. Se os dois batem, está provado que a cópia é fiel. Toda análise posterior acontece sobre cópias de trabalho da imagem, e o hash pode ser recalculado a qualquer momento para demonstrar que nada foi alterado no caminho.

O que deve entrar no escopo de imagem, por prioridade:

• Servidores e estações diretamente comprometidos
• Controladores de domínio, quando há suspeita de movimentação lateral ou comprometimento de credenciais
• Servidores de arquivos com dados sensíveis potencialmente exfiltrados
• Firewall, VPN e concentradores: exportar configuração e logs mesmo sem imagem completa
• Caixas de e-mail envolvidas em fraude ou phishing, incluindo regras de encaminhamento ocultas
• Logs de plataforma em nuvem (sign-in, auditoria, trilha administrativa), que têm retenção limitada e exigem exportação ativa

Ambientes em nuvem e SaaS merecem atenção especial. Não existe "disco para clonar" e a evidência é essencialmente log com retenção contratual — frequentemente 30 ou 90 dias, às vezes menos no plano contratado. Nesses casos, preservar significa exportar e armazenar fora da plataforma, imediatamente, antes que o próprio ciclo de retenção apague o que interessa.

Cadeia de custódia: sem ela, a prova não vale

Cadeia de custódia é o registro contínuo e sem lacunas de quem teve posse da evidência, quando, onde ela ficou guardada e o que foi feito com ela. É um conceito emprestado da investigação criminal e vale igual para bits. A lógica é simples: se em algum momento ninguém consegue dizer onde o HD estava ou quem teve acesso à imagem, abre-se espaço para alegar adulteração — e uma prova contestável costuma ser descartada por inteiro.

O registro precisa ser criado no primeiro contato com a evidência, não reconstruído depois de memória. Cada item coletado ganha identificação única e uma ficha que acompanha todo o ciclo de vida. Toda transferência entre pessoas é registrada com data, hora, nome e assinatura de quem entrega e de quem recebe.

Informação mínima por item:

• Identificador único do item e descrição (marca, modelo, número de série, capacidade)
• Local exato e data/hora da coleta, com fuso horário explícito
• Nome e função de quem coletou
• Hash criptográfico da imagem gerada e ferramenta/versão usada
• Histórico de transferências: de quem, para quem, quando, para qual finalidade
• Local de armazenamento e controle de acesso (cofre, sala trancada, storage cifrado)
• Registro de cada análise realizada e por quem

Detalhes que costumam derrubar casos por descuido: relógio do sistema desalinhado sem que ninguém tenha anotado o desvio; horários registrados sem fuso, misturando UTC e horário local no mesmo dossiê; evidência guardada em pasta de rede aberta para toda a equipe; imagem copiada em pendrive pessoal "só para agilizar". Nenhum desses é sofisticado — todos são fatais.

Regra prática: se você não consegue explicar, item por item, onde a evidência esteve em cada hora desde a coleta, você não tem cadeia de custódia. Tem um arquivo.

Vale registrar também as decisões negativas: o que se optou por não coletar e por quê, o que já havia sido alterado antes da equipe chegar, quais sistemas foram restaurados sob pressão de negócio. Documentar limitação honestamente fortalece o laudo; omitir e ser confrontado depois destrói a credibilidade do trabalho inteiro.

Preparar antes, porque na hora não dá tempo

Nenhuma dessas práticas se improvisa às três da manhã de um domingo com a operação parada. Empresas que conseguem preservar evidência são as que decidiram antes quem faz o quê, com quais ferramentas e sob qual autoridade. O plano de resposta a incidente é o documento que transforma pânico em procedimento.

Preparação mínima que cabe em qualquer empresa:

• Lista de contato de emergência: quem aciona, quem decide parar a operação, jurídico, seguradora, provedor de resposta a incidente
• Inventário atualizado de ativos, com criticidade e onde ficam os dados sensíveis
• Retenção de logs ampliada e centralizada, fora do alcance de quem invade o servidor — 90 dias no mínimo, mais para sistemas críticos
• NTP sincronizado em toda a infraestrutura: correlação de eventos entre sistemas só funciona com relógios alinhados
• Backup imutável e testado, isolado do domínio, com restauração exercitada de verdade
• Mídia limpa e disco externo de capacidade suficiente já disponíveis para coleta
• Um simulado por ano, mesmo que de mesa, para descobrir o que não funciona antes de precisar

Vale ainda alinhar previamente com o jurídico as obrigações de notificação. A LGPD exige comunicação à ANPD e aos titulares em prazo razoável quando há risco relevante — e a decisão sobre notificar depende diretamente de saber se houve acesso ou exfiltração de dados pessoais. Essa resposta vem da forense. Sem evidência preservada, a empresa fica na pior posição possível: sem poder afirmar que não houve vazamento, e sem poder demonstrar diligência.

A Duk Informática & Cloud atende mais de 550 empresas há mais de 18 anos e é Microsoft Gold Partner, com data center próprio em Alphaville. Na prática, isso significa estruturar antes do incidente o que faz diferença depois dele: centralização e retenção de logs, backup imutável com restauração testada, monitoramento de endpoint com capacidade de isolamento remoto, e plano de resposta escrito com papéis definidos. Quando o incidente acontece, a equipe atua com procedimento pronto — isolamento sem desligamento, coleta na ordem de volatilidade correta, imagem com hash e cadeia de custódia documentada desde o primeiro minuto.

Segurança madura não é a promessa de que nada vai acontecer. É a garantia de que, quando acontecer, sua empresa vai saber exatamente o que houve, conseguir provar, cumprir suas obrigações legais e voltar a operar com o problema fechado — não apenas encoberto por uma reinstalação apressada.