Questão nº 107
Questão de Informática Forense · CEBRASPE PF 2025 (nº 107)
Julgue os itens a seguir, considerando que uma equipe forense tenha sido acionada para investigar possíveis crimes cibernéticos relacionados a um incidente de segurança que comprometeu o servidor de arquivos de uma instituição.
A coleta de vestígios digitais deve ser precedida pela identificação e pelo isolamento do ambiente comprometido, como forma de preservar a integridade da evidência.
Resposta comentada
Conceito-chave: Em informática forense, a cadeia de custódia (o registro de quem, quando e como mexeu na evidência) só é válida se o ambiente onde o crime ocorreu for isolado primeiro. Isso impede que dados sejam alterados, apagados ou contaminados por ações externas (como um administrador de rede tentando "consertar" o servidor), garantindo que o que for coletado depois seja exatamente o que existia no momento do incidente.
- Correta: Certo. A identificação (descobrir qual máquina/servidor foi afetado) e o isolamento (desconectar da rede, bloquear acesso físico/lógico) são passos anteriores e obrigatórios à coleta, pois sem eles a integridade da evidência já estaria comprometida.
Fica de olho: A banca adora inverter a ordem ou sugerir que o isolamento é desnecessário quando o servidor está "crítico para o negócio". Cuidado com frases como "a equipe coletou os dados imediatamente, sem interromper o serviço, para não prejudicar a instituição" — isso é errado, pois a preservação da evidência vem antes da continuidade operacional.
Fonte: CEBRASPE PF 2025 Perito Criminal Federal - Informática Forense. Reproduzida para fins de estudo.