O gerente de desenvolvimento de negócios da TechBiz Forense Digital Jaime Rodrigues sugere o EnCase e o FTK para análise dos discos; LTU Engine para identificar imagens; e NetWitness para análise do tráfego de rede.
Em apenas um mês, entre julho e agosto de 2011, a Central Nacional de Denúncias de Crimes Cibernéticos do SaferNet Brasil registrou 1.368 denúncias únicas sobre pornografia infantil. Em 2010, as notificações encaminhadas à Polícia Federal pela CPI da Pedofilia chegaram a 70 mil, contra 10 mil em 2009. O aumento crescente da divulgação e da troca de material pornográfico envolvendo menores tem dado trabalho aos peritos dos institutos de criminalística e às empresas.
Desde 2008 diretores de companhias podem ser penalizados com até quatro anos de prisão caso seja encontrado esse tipo de material em suas redes. Alterações no Estatuto da Criança e do Adolescente responsabilizam quem permite a guarda ou fornece os meios de guarda de conteúdo de natureza pedófila. O que só reforça a necessidade de cuidados com o que se trafega internamente.
Seja no ambiente corporativo ou nos casos envolvendo as forças da lei, contar com softwares e hardwares que permitam coletar, analisar e apontar quem, quando, como e onde esse material impróprio circula é garantia de precaução contra maiores problemas. E as primeiras indicações do gerente de desenvolvimento de negócios da TechBiz Forense Digital, Jaime Rodrigues, são o EnCase e o FTK, soluções daGuidance Software e da AccessData, respectivamente.
“Esse é um trabalho de localização e análise, e as ferramentas que melhor fazem isso são as de forense digital”, diz Rodrigues. “O EnCase e o FTK são interfaces que facilitam o acesso e a identificação desse tipo de crime. São softwares que possuem ferramentas de busca por texto, expressões regulares, filtros por propriedades de arquivos. Informam se o documento é um DOC, se possui imagens que têm uma determinada variação de tamanho ou que contenham caracteres hexadecimais, representando pontos de cores de pele”, enumera.
Em geral as investigações desse tipo de crime são post-mortem, ou seja, acontecem depois de o “leite já estar derramado”. Se os peritos da polícia investigam máquinas apreendidas, no ambiente corporativo o foco costuma estar na análise de várias máquinas para identificar de onde saiu o conteúdo malicioso. Além disso, a investigação deve ser feita da forma mais discreta, sem que o trabalho seja interrompido.
Passo a passo
O primeiro passo da investigação é a duplicação da mídia suspeita e o seu bloqueio conta a escrita, o que evita a deturpação da evidência, – princípio básico da análise forense. Para desempenhar essas tarefas, a TechBiz utiliza os equipamentos Image MASSter Solo 4 ou FRED , além dos bloqueadores Tableau.
“O disco é apreendido pelas forças da lei, é feita uma cópia forense desse disco, que é aberto no EnCase Forensics ou no FTK que exibem uma galeria de imagens, tanto de foto quanto de vídeo, e permitem fazer filtros por palavras-chaves para tentar localizar o que se busca a partir do nome do arquivo”, explica Rodrigues.
No caso do FTK, a busca pode ser feita via EID (Explicit Image Detection), recurso exclusivo para localizar imagens de pedofilia e pornografia, identificando-as através das formas, cores, texturas e excluindo imagens que, com certeza, não estão associadas à pedofilia e à pornografia.
DNA da imagem
Caso não se queira visualizar todo o conteúdo coletado, uma boa alternativa é o LTU Engine, software que gera um DNA da imagem a partir da identificação de formas, cores, textura, conjunto de objetos na cena. A solução gera uma base de dados para efeito de comparação, que pode ser compartilhada entre empresas e forças da lei. A partir daí a ferramenta faz buscas no conteúdo suspeito identificando tudo o que é parecido com esse DNA.
Com uma margem de erro muito pequena o LTU identifica tudo o que é pornografia ou pedofilia dentro de uma mídia. Mesmo que as imagens localizadas no disco suspeito tenho sido alteradas de alguma maneira: sobrescritas com textos, tarjas, alterações de cor, diminuição de tamanho. O algoritmo do LTU consegue identificar os arquivos procurados.
Empresas
Segundo Rodrigues, no ambiente corporativo o ideal é utilizar oEnCase CyberSecurity e o FTK CIRT, ferramentas dedicadas à análise de máquinas em rede.
“Com essas soluções não é preciso coletar todos os discos de uma máquina para fazer análise. De um ponto central, as duas ferramentas são capazes de chegar em todas as máquinas da rede, fazer uma triagem, a coleta de imagens suspeitas e uma análise posterior, classificando-as como positivas ou negativas em relação a pedofilia – inclusive os vídeos. Esse trabalho exige máquinas especializadas, como o FRED, que rode e suporte os softwares.”
Visualização na rede
Para descobrir imagens de pedofilia trafegando na rede, a sugestão é oNetWitness Visualize, que possibilita a visualização de todo o tráfego de rede em galerias de imagens, em uma interface extremamente amigável. No painel é possível facilmente identificar de onde veio uma imagem e para onde ela foi. Também é possível alimentar o sistema de proteção para bloquear esse tipo de arquivo e evitar novos acontecimentos ou gerar alertas.
“O NetWitness pega o que trafega na rede e o EnCase e o FTK pegam o que está no disco, inclusive o que já foi removido. Se há, por exemplo, uma denúncia que envolve várias pessoas, pelo NetWitness é possível investigá-las e analisar todas as imagens que passaram pelas máquinas dos suspeitos. Com o Encase, o investigado vai até essa pessoa e analisa as imagens, valida as suspeitas e coleta as evidências”, explica Rodrigues, que também alerta: “A análise desse tipo de informação deve ser feita dentro de um processo coerente com os princípios forense, para que tanto o investigador quanto a empresa se salvaguardem. Os códigos internos de conduta e ética têm que ser revistos para possibilitar esse tipo de acesso ao dado na máquina do usuário.”
Resumo
Como as ferramentas de computação forense podem ajudar em caso de pedofilia.
• Duplicando a mídia suspeita;
• Bloqueando contra a escrita;
• Fazendo a triagem dos dados do disco ou das máquinas em rede, coleta das imagens suspeitas e análise com software de computação forense; • Visualizando o tráfego de rede e identificando o conteúdo; • Alimentando o sistema de segurança e bloqueando o conteúdo indevido identificado; • Buscando por palavras-chaves ou por formas, cores, texturas; • Analisando o DNA da imagem – o que dispensa a visualização do conteúdo; • Buscando por arquivos deletados , alterados ou sobrescritos; • Suportando, com máquinas parrudas, o volume e processamento dos dados; • Coletando de forma forense as evidências; • Gerando relatórios completos.
Nenhum comentário:
Postar um comentário