Antes de analisar qualquer coisa, a forense digital tem um primeiro passo que decide a validade de tudo o que vem depois: a aquisição, ou seja, a cópia da evidência. Feita errada, ela contamina a prova e joga fora o caso inteiro. Feita certa, ela garante que a análise trabalha sobre um retrato fiel e intocado do original.
Este texto explica, sem exigir que você seja perito, por que copiar uma evidência é mais delicado do que parece, e o que separa uma cópia que serve de uma que estraga o caso.
Por que não se analisa o original
A regra de ouro da forense é não trabalhar sobre o original. Todo exame acontece numa cópia, preservando a evidência real intacta. O motivo é duplo: um deslize pode alterar o original de forma irreversível, e, se a prova for questionada, é preciso poder demonstrar que ela nunca foi tocada.
Um sistema ligado está sempre mudando: arquivos são escritos, registros atualizados, vestígios sobrescritos. Mexer nele descuidadamente apaga justamente o que se quer provar. Por isso a aquisição é cercada de cuidado, para congelar o estado sem alterá-lo.
Os pilares de uma aquisição válida
Três cuidados sustentam uma cópia que vale como prova:
| Cuidado | Por que importa |
|---|---|
| Cópia bit a bit | Copia tudo, inclusive o que foi apagado e o espaço livre, não só os arquivos visíveis |
| Proteção contra escrita | Garante que o ato de copiar não altera o original |
| Verificação por impressão digital | Um cálculo que prova que a cópia é idêntica ao original, e continua idêntica |
A cópia bit a bit é o que diferencia a aquisição forense de um simples copiar e colar. Ela captura o disco inteiro, incluindo os cantos onde vivem os arquivos apagados que a recuperação por file carving depois vasculha.
A impressão digital que prova a integridade
O detalhe mais elegante da aquisição é a verificação por impressão digital. Antes de copiar, calcula-se um valor que resume o conteúdo do original. Depois de copiar, calcula-se o mesmo valor na cópia. Se baterem, a cópia é comprovadamente idêntica. E, sempre que alguém quiser confirmar que nada mudou, basta recalcular: qualquer alteração, por menor que seja, muda o valor e denuncia.
É isso que permite dizer, com segurança, “esta cópia é fiel ao original e não foi adulterada”. Sem essa prova, qualquer achado pode ser contestado.
A corrente que não pode quebrar
A aquisição é o primeiro elo da cadeia de custódia. A partir do momento da cópia, cada passo precisa ser documentado: quem coletou, quando, como, onde a evidência ficou guardada. Uma cópia perfeita perde valor se ninguém consegue provar o que aconteceu com ela depois.
Por isso a aquisição não é só técnica, é também registro. Copiar certo e não documentar é como colher uma prova e não saber dizer de onde ela veio.
O passo que sustenta o resto
É tentador achar que a forense mora na análise, na descoberta reveladora. Mas a descoberta só vale se a evidência que a sustenta foi coletada direito. A aquisição é o alicerce silencioso: feita com rigor, ela permite que tudo o que vem depois se sustente; feita com pressa, ela derruba o caso antes mesmo de ele começar. O bom investigador sabe que a batalha, muitas vezes, se ganha ou se perde neste primeiro passo, antes de olhar um único arquivo.