Muitas vezes, ao iniciarmos uma perícia digital, o primeiro instinto de quem não é da área é “desligar o computador da tomada”. Na computação forense moderna, esse pode ser um erro fatal para a investigação.
Hoje quero falar sobre a memória RAM. Diferente do HD ou SSD, ela é volátil, mas guarda os segredos mais recentes de uma invasão ou atividade ilícita:
- Processos em execução que não deixam rastros no disco (Malwares fileless);
- Senhas e chaves de criptografia descriptografadas;
- Conexões de rede ativas no momento da coleta;
- Fragmentos de chats e documentos que ainda não foram salvos.
O insight do perito: a análise de memória (memory forensics) deixou de ser um “extra” para se tornar o coração da resposta a incidentes. Coletar o dump da memória antes de qualquer outra ação preserva a volatilidade da prova e pode ser o diferencial entre encontrar o “fio da meada” ou bater em uma porta criptografada e sem saída.
Na sua empresa ou nos seus processos, a ordem de preservação de evidências segue a hierarquia da volatilidade? Lembre-se: em forense, a ordem dos fatores altera, sim, o produto final.