Primeiras horas de uma investigação interna: preservação coordenada de evidências digitais

As primeiras horas de uma investigação interna podem determinar quais perguntas continuarão tecnicamente respondíveis.

E-mails podem ser excluídos por políticas automáticas. Logs podem alcançar o limite de retenção. Equipamentos podem ser formatados para reutilização. Contas de empregados desligados podem ser removidas. Sessões podem ser revogadas, caixas postais convertidas e arquivos transferidos para outros responsáveis.

Algumas dessas ações são necessárias para segurança ou continuidade operacional. Entretanto, quando executadas sem coordenação, podem alterar ou eliminar fontes relevantes.

Preservar evidências digitais não significa apenas guardar um notebook. Significa manter, de forma documentada, o conjunto de estados, registros e relações necessário para reconstruir os acontecimentos posteriormente.

Preservação como manutenção de um estado investigável

A evidência digital pode existir em vários lugares simultaneamente:

• armazenamento físico;
• memória;
• sistemas corporativos;
• serviços em nuvem;
• dispositivos móveis;
• backups;
• registros de auditoria;
• plataformas colaborativas;
• sistemas de identidade;
• bancos de dados;
• aplicações de terceiros.

Cada fonte possui ciclo de vida próprio.

Um documento armazenado no SharePoint pode ter versões, permissões, eventos de acesso e cópias sincronizadas em endpoints. Uma mensagem do Microsoft Teams pode envolver conteúdo no serviço, anexos no SharePoint ou OneDrive, registros de auditoria e notificações em dispositivos.

A preservação precisa alcançar as relações relevantes, e não apenas um arquivo isolado.

Um modelo simplificado pode ser expresso por:

[
P = S + C + M + A + R
]

em que:

• (S) representa as fontes;
• (C) corresponde ao conteúdo;
• (M) representa os metadados;
• (A) corresponde às associações entre identidades, dispositivos e objetos;
• (R) representa os registros das ações executadas durante a preservação.

A perda de qualquer componente pode reduzir a capacidade de interpretação.

Preservação, retenção, aquisição e coleta

Esses termos representam atividades relacionadas, mas diferentes.

Preservação

A preservação busca proteger dados relevantes contra alteração, exclusão, perda ou degradação. Pode envolver custódia física, bloqueio de rotinas de descarte, aplicação de hold, criação de snapshot ou exportação de registros.

Retenção

A retenção estabelece por quanto tempo determinada categoria de dados será mantida pelo sistema. Uma política de retenção pode existir antes de qualquer investigação.

Aquisição

A aquisição é a produção de uma representação tecnicamente controlada de uma fonte, como imagem de armazenamento, captura de memória, exportação por API ou snapshot.

Coleta

A coleta é o processo de reunir itens ou dados que podem conter evidência. Pode ser ampla ou direcionada.

Hold

Um hold é um mecanismo que instrui determinada plataforma a preservar conteúdo abrangido por um caso, conta, repositório, consulta ou período. Sua aplicação e seu escopo devem ser definidos pelos responsáveis competentes da organização. A equipe técnica implementa e valida o mecanismo correspondente.

Um hold não é necessariamente uma aquisição. Ele pode manter os dados no sistema de origem sem criar uma cópia independente imediatamente.

Estrutura de decisão

A resposta inicial deve envolver um grupo restrito de pessoas com responsabilidades definidas.

Conforme o caso, podem participar:

• responsável pela investigação;
• segurança da informação;
• tecnologia;
• compliance;
• recursos humanos;
• departamento jurídico;
• especialista forense;
• proprietário do sistema;
• responsável por privacidade;
• custodiante dos dados.

A decisão precisa identificar:

• fatos iniciais;
• pessoas envolvidas;
• período de interesse;
• sistemas utilizados;
• dispositivos;
• riscos de perda;
• medidas de contenção;
• impacto operacional;
• sigilo;
• responsáveis pela execução.

A participação de muitas pessoas pode aumentar o risco de divulgação prematura e alteração das fontes. Por outro lado, a ausência dos responsáveis por sistemas críticos pode resultar em preservação incompleta.

Mapa inicial de fontes

O mapa de fontes deve relacionar pessoas, identidades, equipamentos e sistemas.

A classificação deve ser ajustada ao ambiente real. Um log com retenção de sete dias pode ser mais urgente que um notebook guardado fisicamente.

Ordem de volatilidade empresarial

A ordem de volatilidade é frequentemente associada à memória e ao estado de sistemas ativos. Em investigações corporativas, existe também uma volatilidade administrativa.

Podem desaparecer rapidamente:

• memória;
• processos e conexões;
• sessões autenticadas;
• tokens;
• dados de aplicações efêmeras;
• logs de curta retenção;
• eventos Git;
• mensagens configuradas para eliminação;
• gravações temporárias;
• caixas postais de contas removidas;
• dados de dispositivos submetidos a limpeza remota;
• snapshots sujeitos a rotação;
• arquivos temporários de nuvem.

A priorização pode combinar:

[
U = V \times I \times D
]

em que:

• (V) representa a volatilidade;
• (I) corresponde à importância investigativa;
• (D) representa a dificuldade de recuperação posterior.

Quanto maior o resultado, maior a urgência de preservação.

Desligamento de empregados

O processo de desligamento é uma das situações mais sensíveis.

Rotinas administrativas podem:

• bloquear a conta;
• revogar sessões;
• apagar o perfil;
• converter a caixa postal;
• transferir arquivos;
• remover licenças;
• redefinir o dispositivo;
• excluir a conta;
• aplicar limpeza remota;
• entregar o notebook a outro empregado.

Essas medidas podem ser corretas do ponto de vista operacional, mas precisam ser coordenadas com a preservação.

A documentação da Microsoft sobre remoção de antigos empregados inclui procedimentos para bloquear acesso e proteger dados corporativos. A própria Microsoft apresenta alternativas para preservar ou exportar a caixa postal antes da eliminação definitiva.

Uma investigação pode exigir que a empresa:

1. preserve os dados;
2. registre o estado da conta;
3. exporte logs de identidade;
4. revogue acessos;
5. retenha a caixa e o armazenamento;
6. preserve o equipamento;
7. execute a transição operacional.

A ordem depende do risco. Se houver atividade em curso, a contenção pode ter prioridade, mas deve ser documentada.

Endpoints corporativos

O método de preservação do endpoint depende do estado e das perguntas investigativas.

Equipamento desligado

O dispositivo pode ser apreendido, identificado, acondicionado e submetido a aquisição. Deve-se evitar inicialização desnecessária, pois o boot modifica registros, timestamps, caches e arquivos de sistema.

Equipamento ligado

O sistema ativo oferece dados voláteis, mas qualquer interação também o altera.

Podem ser relevantes:

• memória;
• processos;
• conexões;
• volumes montados;
• usuários conectados;
• chaves de criptografia;
• máquinas virtuais;
• contêineres;
• sessões remotas;
• sincronizações em andamento.

O desligamento abrupto preserva o armazenamento em determinado estado, mas elimina conteúdo volátil. A manutenção do equipamento ligado conserva sessões e memória, mas permite que o sistema continue mudando.

Essa decisão deve ser técnica e contextual.

Criptografia

Em equipamento ligado e desbloqueado, volumes criptografados podem estar acessíveis. Após o desligamento, a aquisição poderá depender de credenciais ou chaves disponíveis.

A preservação deve considerar:

• BitLocker, FileVault ou tecnologia equivalente;
• custódia de chaves;
• TPM;
• credenciais institucionais;
• estados de suspensão;
• risco de bloqueio;
• conectividade;
• capacidade de aquisição ativa.

Imagem completa e coleta direcionada

Uma imagem forense abrangente preserva maior quantidade de dados, incluindo áreas sem alocação e artefatos não previstos inicialmente. Entretanto, pode envolver grande volume, tempo, custo e coleta de informações alheias ao caso.

A coleta direcionada limita-se a fontes ou categorias previamente definidas.

O SWGDE trata a coleta focada como mecanismo de eficiência e delimitação, considerando cadeia de custódia, privacidade e requisitos aplicáveis.

A escolha deve considerar:

• hipótese investigativa;
• risco de expansão futura;
• volume;
• privacidade;
• tempo disponível;
• capacidade de repetir a coleta;
• existência de artefatos excluídos;
• possibilidade de destruição da fonte;
• dependência de metadados do sistema de arquivos.

Uma coleta direcionada de documentos atuais pode ser insuficiente se a investigação envolver exclusão, ocultação ou uso de mídias removíveis.

Dispositivos móveis

Smartphones apresentam desafios adicionais:

• criptografia;
• bloqueio;
• eliminação remota;
• sincronização;
• aplicativos com conteúdo efêmero;
• atualizações automáticas;
• armazenamento em nuvem;
• perfis pessoais e corporativos;
• autenticação biométrica;
• bateria limitada.

A preservação pode exigir isolamento de rede, manutenção de energia e avaliação do estado de bloqueio. Entretanto, o isolamento também pode interromper sincronizações ou modificar conectividade.

Em modelos BYOD, a delimitação técnica assume importância especial. A coleta deve respeitar o escopo corporativo definido e evitar expansão indiscriminada sobre conteúdo pessoal.

Conteúdo em Microsoft 365

O Microsoft Purview eDiscovery permite criar casos, aplicar holds, pesquisar, coletar e exportar conteúdo.

Segundo a documentação da Microsoft, os holds podem abranger:

• caixas do Exchange;
• contas do OneDrive;
• sites SharePoint;
• Microsoft Teams;
• Microsoft 365 Groups;
• outros locais suportados.

O processamento de um hold pode levar algum tempo. A documentação indica que sua aplicação pode demandar até 24 horas, dependendo do contexto.

A validação deve verificar:

• fontes incluídas;
• contas corretas;
• estado do hold;
• erros;
• licenciamento;
• consulta;
• intervalo;
• locais de conteúdo;
• grupos e sites associados;
• data de aplicação;
• responsável.

Um hold baseado em consulta pode preservar apenas dados que correspondam aos critérios. Se a consulta estiver errada ou excessivamente restrita, conteúdo relevante poderá permanecer fora do escopo.

Conteúdo em Google Workspace

O Google Vault organiza holds, pesquisas e exportações em matters. A documentação do Google descreve o matter como um espaço para manter os componentes associados a uma investigação.

Holds podem ser aplicados a:

• Gmail;
• Google Drive;
• Google Chat;
• Groups;
• outros serviços suportados.

A documentação sobre holds no Google Vault esclarece que o mecanismo pode preservar conteúdo abrangido, mas não impede necessariamente a edição de arquivos no Drive. Para arquivos nativos do Google, as versões são preservadas conforme as condições apresentadas pelo serviço.

Isso demonstra a diferença entre preservar o histórico e congelar a interface operacional.

Holds e exportações

Um hold protege conteúdo no sistema. Uma exportação produz uma cópia que pode ser armazenada e analisada separadamente.

Os dois mecanismos podem ser complementares.

O hold pode preservar:

• conteúdo atual;
• versões;
• itens posteriormente excluídos;
• dados que correspondam à política.

A exportação pode fornecer:

• cópia independente;
• arquivos para processamento;
• metadados;
• manifesto;
• relatórios;
• identificadores;
• estrutura de diretórios.

A exportação deve ser validada quanto a:

• escopo;
• completude;
• erros;
• itens não processados;
• formatos;
• metadados;
• transformação;
• fuso horário;
• duplicação;
• limitações da API.

O número de itens retornados deve ser comparado aos relatórios do sistema, sempre que possível.

Logs corporativos

Logs são fontes frequentemente mais voláteis que o conteúdo principal.

Podem ser relevantes:

• autenticação;
• auditoria de aplicações;
• e-mail;
• fluxo de mensagens;
• VPN;
• firewall;
• proxy;
• DNS;
• EDR;
• DLP;
• SIEM;
• servidores;
• bancos de dados;
• repositórios de código;
• sistemas de acesso físico;
• telefonia;
• impressão.

A preservação deve registrar:

• produto e versão;
• fonte;
• período;
• fuso;
• filtros;
• formato;
• campos;
• volume;
• paginação;
• API;
• limitações;
• retenção;
• horário da exportação.

Um arquivo CSV exportado por interface pode conter menos campos do que a API. Uma consulta paginada incorretamente pode omitir registros. Um SIEM pode normalizar campos e perder detalhes do evento original.

Sempre que possível, devem ser preservados tanto os dados normalizados quanto a fonte bruta.

Coleta remota

Trabalho remoto e ambientes distribuídos tornam frequente a aquisição pela rede.

A coleta remota pode envolver:

• agente forense;
• solução EDR;
• script;
• compartilhamento seguro;
• ferramenta corporativa de gestão;
• conexão com API;
• exportação realizada pelo usuário.

O SWGDE recomenda que a coleta remota seja executada por profissionais familiarizados com ferramentas, técnicas e limitações próprias desse método.

Devem ser avaliados:

• largura de banda;
• interrupção;
• compressão;
• criptografia;
• autenticação;
• retomada;
• arquivos abertos;
• falhas;
• impacto do agente;
• armazenamento temporário;
• verificação de integridade;
• cadeia de custódia.

A coleta remota pode ser a única opção viável, mas seu método deve ser documentado.

Evidência em nuvem

Na nuvem, a empresa raramente possui acesso direto ao armazenamento físico. A aquisição depende da interface disponibilizada pelo provedor.

Pode envolver:

• API;
• exportação administrativa;
• snapshot;
• ferramenta de eDiscovery;
• console;
• serviço de backup;
• suporte do provedor.

O documento do SWGDE sobre aquisição, preservação e análise em provedores de nuvem destaca que a diversidade de plataformas impede um único procedimento aplicável a todos os serviços.

A documentação deve incluir:

• tenant;
• conta;
• região;
• serviço;
• identificador do objeto;
• versão;
• consulta;
• API;
• formato;
• horário;
• erros;
• escopo;
• credencial administrativa;
• ferramenta utilizada.

Cadeia de custódia e proveniência

A cadeia de custódia registra quem recebeu, transportou, armazenou, analisou e transferiu cada item.

Em ambiente digital, a proveniência deve registrar também como o dado foi obtido.

Para cada fonte, convém documentar:

• identificador único;
• descrição;
• proprietário ou custodiante;
• local de origem;
• método;
• ferramenta;
• versão;
• operador;
• data e horário;
• fuso;
• hash;
• tamanho;
• destino;
• lacre ou controle lógico;
• transferências posteriores;
• observações e falhas.

Em dados de nuvem, identificadores do provedor e relatórios de exportação podem ser tão importantes quanto o nome do arquivo produzido.

Verificação de integridade

Hashes são utilizados para verificar se uma cópia permaneceu inalterada após determinada etapa.

O hash deve ser calculado e registrado em momentos coerentes:

• após aquisição;
• após exportação;
• antes de transferência;
• após recebimento;
• antes da análise;
• ao produzir cópias de trabalho.

A correspondência de hashes demonstra identidade entre os conjuntos de bytes comparados. Ela não prova, isoladamente, autoria, origem histórica ou completude da aquisição.

Além do hash, a validação pode incluir:

• tamanho;
• contagem de itens;
• manifesto;
• logs da ferramenta;
• relatórios de erro;
• verificação de formatos;
• comparação com totais da fonte;
• reprocessamento amostral.

Cronologia da própria preservação

A investigação precisa incorporar suas próprias ações à linha temporal.

Devem ser registrados:

• recebimento da notícia;
• definição do escopo;
• bloqueio da conta;
• aplicação de hold;
• isolamento do endpoint;
• início e fim da aquisição;
• captura de logs;
• redefinição de senha;
• revogação de sessões;
• remoção de regras;
• transferência de arquivos;
• desligamento do equipamento;
• entrega ao laboratório.

Essa cronologia permite diferenciar eventos preexistentes de alterações produzidas pela resposta.

Exemplo de coordenação

Considere uma investigação iniciada após denúncia de compartilhamento de documentos comerciais.

O empregado ainda possui conta ativa, notebook ligado e smartphone corporativo. O ambiente utiliza Microsoft 365, DLP, EDR e armazenamento em nuvem.

A resposta coordenada pode seguir esta ordem:

1. identificar pessoas, sistemas e intervalo;
2. exportar logs sujeitos a curta retenção;
3. registrar sessões, regras e aplicações;
4. aplicar hold à caixa, OneDrive, Teams e SharePoint relacionados;
5. preservar alertas de DLP e telemetria de endpoint;
6. registrar o estado do notebook;
7. capturar dados voláteis, se pertinentes;
8. adquirir ou coletar o endpoint;
9. preservar o perfil corporativo móvel;
10. bloquear a conta e revogar sessões;
11. validar holds e exportações;
12. registrar todas as ações.

Se o risco de continuidade da atividade for elevado, o bloqueio poderá ocorrer antes de algumas etapas. Nesse caso, a alteração deve integrar a cronologia técnica.

Falhas recorrentes

Algumas falhas comprometem investigações internas com frequência:

• reformatar o notebook para outro empregado;
• excluir a conta antes de preservar seus dados;
• trocar a senha sem registrar sessões e métodos;
• aplicar hold à caixa e esquecer o OneDrive;
• preservar mensagens e ignorar anexos armazenados em sites;
• exportar apenas o conteúdo visível;
• deixar logs expirarem;
• usar capturas de tela como única evidência;
• coletar grandes volumes sem registrar o escopo;
• omitir erros da ferramenta;
• misturar originais e cópias de trabalho;
• deixar de registrar o fuso horário;
• permitir acesso desnecessário às evidências;
• depender de apenas uma fonte.

Essas falhas resultam menos da ausência de tecnologia do que da falta de coordenação.

Prontidão organizacional

A preservação eficiente começa antes da investigação.

A empresa pode preparar:

• inventário de fontes;
• matriz de retenção;
• procedimento de desligamento;
• responsáveis por cada plataforma;
• permissões emergenciais;
• ferramentas testadas;
• armazenamento seguro;
• modelos de registro;
• contatos de fornecedores;
• capacidade de hold;
• exportação contínua de logs críticos;
• sincronização de relógios;
• treinamento;
• testes periódicos.

O NIST SP 800-61 Rev. 3 integra a resposta a incidentes ao gerenciamento contínuo de riscos, enfatizando preparação, coleta e análise de dados, limitação de danos e recuperação.

A organização que conhece previamente suas fontes reduz o tempo entre a decisão e a preservação efetiva.

Linguagem do relatório técnico

Uma formulação excessiva seria:

“Todas as evidências foram integralmente preservadas.”

Uma descrição mais defensável seria:

“Foram preservadas as fontes identificadas no registro de evidências, pelos métodos e períodos ali descritos. O hold do Microsoft 365 foi aplicado às localizações relacionadas e posteriormente validado quanto ao estado de processamento. Os logs de identidade foram exportados dentro do período disponível. A coleta do endpoint abrangeu as fontes especificadas, com as limitações registradas. Outras fontes podem existir fora do escopo inicialmente comunicado.”

Essa redação evita afirmar completude absoluta sem base verificável.

Síntese e implicações técnico-forenses

A preservação nas primeiras horas de uma investigação interna é uma atividade de coordenação técnica.

O objetivo é manter as fontes em estado que permita responder às perguntas relevantes sem ignorar segurança, continuidade, privacidade e escopo.

A estratégia deve considerar:

• volatilidade;
• importância;
• dificuldade de recuperação;
• localização;
• método de aquisição;
• retenção;
• impacto das medidas de contenção;
• possibilidade de validação.

Holds, snapshots, imagens, exportações, registros de auditoria e custódia física são mecanismos complementares. Nenhum deles resolve sozinho todas as necessidades.

A qualidade futura da análise depende das decisões tomadas antes que os dados sejam alterados, transferidos, expirados ou eliminados. Uma investigação bem preservada começa com um mapa claro de fontes, responsabilidades definidas e documentação contemporânea de cada ação.

Referências

• NIST. Digital Evidence Preservation: Considerations for Evidence Handlers — NIST IR 8387.
• NIST. Incident Response Recommendations and Considerations for Cybersecurity Risk Management — SP 800-61 Rev. 3.
• SWGDE. Best Practices for Digital Evidence Collection.
• SWGDE. Considerations for Focused Collection of Digital Evidence.
• SWGDE. Best Practices for Remote Collection of Digital Evidence from an Endpoint.
• SWGDE. Best Practices for Digital Evidence Acquisition, Preservation and Analysis from Cloud Service Providers.
• MICROSOFT. Create holds in eDiscovery.
• MICROSOFT. Manage hold policies for eDiscovery cases.
• MICROSOFT. Remove a former employee.
• GOOGLE. Get started with holds in Google Vault.
• GOOGLE. Create and manage matters.