Criando CD Forense Inicializável para Aquisição Live: Ferramentas e Procedimento

Propósito

Um CD/USB forense inicializável fornece ambiente confiável, com bloqueio escrita, para adquirir dados de sistema live (rodando) sem alterar SO hospedeiro — crítico para resposta incidentes, análise malware, e preservação evidência.

Principais Plataformas Forenses Inicializáveis

Plataforma	Base	Ferramentas Incluídas	Licença	Ideal Para
Kali Linux (Modo Forense)	Debian	dd, dc3dd, Guymager, FTK Imager CLI, Autopsy, Sleuth Kit, Volatility, Bulk Extractor, ewfacquire	Grátis / Open Source	Aquisição live geral, captura memória, triagem
CAINE (Computer Aided INvestigative Environment)	Ubuntu	Todas acima + Photorec, TestDisk, RegRipper, WinHex, scripts especializados	Grátis / Open Source	Padrão LE Itália; GUI amigável
DEFT (Digital Evidence & Forensics Toolkit)	Lubuntu	DART (Digital Advanced Response Toolkit), Autopsy, Volatility, ferramentas forense rede	Grátis / Open Source	Resposta live, memória, rede
Paladin (SUMURI)	Ubuntu	Suíte extensa pré-instalada, auto-mount write-block, templates relatórios	Grátis / Suporte Pago	Workflow GUI abrangente
FTK Imager (Standalone Inicializável)	WinPE / Linux	FTK Imager (imagem, hash, montagem, captura RAM)	Grátis (registro)	Formato imagem confiável (E01, AFF, raw)
EnCase Portable / Endpoint Investigator	WinPE	Aquisição EnCase, análise, scripting	Comercial	Empresarial, workflows aceitos corte

Criando Mídia Inicializável

1. Baixe ISO fonte oficial (verifique SHA256).
2. Grave em USB (preferido sobre CD: mais rápido, regravável, maior) usando:
   • Rufus (Windows) — selecione modo "DD Image" para ISOs Linux.
   • BalenaEtcher (Multiplataforma).
   • dd (Linux/macOS): dd if=forensic.iso of=/dev/sdX bs=4M status=progress oflag=sync
3. Teste boot em máquina não-alvo: verifique write-blocker ativo (cheque /sys/block/sdX/ro = 1), ferramentas abrem, config rede.

Realizando Aquisição Live

1. Documente: ID Caso, Examinador, Data/Hora, Detalhes Sistema Alvo, Hash Mídia Boot.
2. Boot Alvo: Insira mídia, dê boot (pode precisar menu BIOS/UEFI boot, desative Secure Boot).
3. Selecione Modo Forense: Auto write-block + sem automount.
4. Identifique Drive Alvo: lsblk, fdisk -l. Anote tamanho, partições.
5. Adquira:
   • Imagem Disco Completo (dd/dc3dd/ewfacquire): ewfacquire -t /mnt/evidence/image.E01 /dev/sdX
   • Arquivos/Pastas Lógicos: FTK Imager GUI, cp -a (com cautela).
   • Memória (RAM): lime, avml, WinPMEM (Linux/Win).
   • Dados Voláteis: Conexões rede (ss -tunap), processos (ps aux), usuários logados (w), arquivos abertos (lsof).
6. Verifique: Hash (MD5/SHA1/SHA256) fonte vs imagem. Logue tudo.
7. Preserve Cadeia Custódia: Sele, rotule, armazenamento seguro.

Imperativos Legais e Éticos

• Autorização adequada (mandado, consentimento, política).
• Minimize impacto sistema (somente leitura, sem escritas alvo).
• Documente cada comando, saída, timestamp.
• Treinamento: SANS FOR500/508, GCFA, EnCE, certs vendors.

• Pode Desformatar CD? Realidade CD-R vs CD-RW
• Deve Armazenar Dados Sensíveis num CD? (Spoiler: Não)