When a senior employee leaves for a competitor, the first question is often whether confidential information was copied. The more immediate question is narrower and more important: what evidence may disappear before that question can be examined properly?
Audit records may have limited retention. Cloud activity can continue after departure. A personal device may contain both business material and intensely private information. Encrypted messaging may leave little accessible message content. A collection that is technically extensive can still be difficult to defend if its authority, scope, methods or chain of custody were not documented.
O princípio central é simples: preservar primeiro as evidências mais voláteis e relevantes, começando por fontes controladas pela empresa e medidas administrativas proporcionais. A coleta deve então prosseguir em etapas definidas, utilizando exportações nativas do provedor e métodos direcionados a dispositivos, sempre que possível. Um dispositivo pessoal não deve se tornar o ponto de partida padrão apenas por poder conter evidências relevantes.
A janela de preservação é uma questão de decisão, não simplesmente uma corrida para adquirir equipamentos de imagem.
As primeiras horas após a saída de um funcionário devem ser utilizadas para registrar os fatos relevantes e identificar fontes que possam mudar ou expirar. Isso inclui o horário de saída, alterações de acesso, dispositivos devolvidos ou retidos, contas relevantes, preocupações conhecidas levantadas pelo RH ou TI e qualquer indício de que arquivos foram copiados, baixados, compartilhados ou transferidos.
As diretrizes do NIST sobre a integração de técnicas forenses na resposta a incidentes enfatizam a importância da ordem de volatilidade e da coordenação entre as atividades de resposta e forenses. Na prática, isso significa que registros de auditoria, rede, VPN, proxy, CASB e DLP de curta duração podem exigir preservação urgente, enquanto o conteúdo em nuvem pode ser preservado por meio de retenções administrativas antes que uma coleta mais intrusiva seja considerada.
Um processo defensável registra quem realizou cada ação, quando ela ocorreu, qual autoridade a respaldou, quais sistemas e contas estavam envolvidos e quais ferramentas ou funções da plataforma foram utilizadas. O registro de preservação faz parte da narrativa das evidências.
O que preservar primeiro
1. Contas corporativas e repositórios em nuvem
A prioridade inicial deve ser, em geral, as fontes controladas pelo locatário associadas ao custodiante. Dependendo do ambiente da organização, isso pode incluir a caixa de correio, o OneDrive, o SharePoint, o Teams, os espaços de trabalho do Slack, o Google Drive e outros repositórios corporativos.
O Microsoft Purview e o Google Vault fornecem exemplos de funcionalidades de retenção que podem preservar o conteúdo do servidor e suspender a exclusão rotineira, quando configuradas e disponíveis. As retenções devem ser documentadas por escopo, proprietário, período, justificativa e contas ou repositórios afetados. Uma retenção não substitui um plano de coleta, mas pode fornecer uma primeira etapa de menor impacto enquanto esse plano é desenvolvido.
Registros relevantes de auditoria e atividade também devem ser preservados. Isso pode incluir registros de auditoria unificados, eventos de autenticação, atividade de compartilhamento de arquivos, ações de administrador, alertas de DLP, eventos de download e alterações de compartilhamento. A disponibilidade, retenção e campos exatos variam de acordo com a plataforma, a configuração do locatário e o licenciamento. Esses detalhes devem ser verificados no ambiente de destino, em vez de serem presumidos a partir de descrições gerais do produto.
2. Telemetria de rede e segurança
Os registros de VPN, proxy, firewall, CASB e DLP podem ajudar a identificar transferências, padrões de acesso incomuns, uploads grandes ou acessos fora da atividade normal. Seus períodos de retenção dependem da plataforma e da política, portanto, a equipe responsável deve identificar e proteger os registros relevantes prontamente.
Esses registros podem corroborar a atividade observada em um repositório ou endpoint na nuvem. Eles não estabelecem, por si só, o significado ou a intenção completa de um evento. Seu valor probatório depende do contexto, da sincronização temporal, da configuração do sistema e da confiabilidade dos registros associados.
3. Pontos finais de propriedade da empresa
Um laptop ou dispositivo móvel corporativo pode exigir triagem forense ou criação de imagem, dependendo da questão, do estado do dispositivo e da autorização para a coleta. Se um sistema estiver em execução e os dados relevantes forem sensíveis ao tempo, considerações de resposta imediata podem ser aplicáveis. Se uma imagem for criada, o processo deve abordar o método de aquisição, a proteção contra gravação (quando aplicável), os hashes, as versões das ferramentas, a validação e o armazenamento da saída original.
O método apropriado é específico para cada caso. Uma imagem completa não é automaticamente o primeiro passo mais proporcional ou útil. O planejamento da coleta de dados deve refletir a questão probatória e a volatilidade dos dados relevantes.
Utilize preservação e coleta nativas da nuvem sempre que possível.
As evidências na nuvem têm limites diferentes das evidências armazenadas em um dispositivo local. O NIST SP 800-201 fornece uma estrutura para considerar a arquitetura da nuvem, as responsabilidades e os padrões de coleta. Registros nativos do provedor e mecanismos de exportação podem preservar conteúdo ou contexto do lado do servidor que uma cópia da pasta de sincronização local de um usuário não preserva. Sua proveniência, escopo, abrangência e limitações ainda exigem avaliação em relação ao provedor relevante, à configuração do locatário, à identidade da conta e aos parâmetros de exportação.
Quando suportado e devidamente autorizado, utilize os recursos de retenção, descoberta eletrônica (eDiscovery) ou exportação da plataforma para coletar conteúdo específico e metadados associados. Exemplos identificados no Pacote de Pesquisa incluem as APIs de eDiscovery e Exportação do Microsoft Graph, o Google Vault e o Slack Discovery ou mecanismos de exportação corporativos.
Uma exportação segura para a nuvem deve preservar a saída bruta e seu manifesto ou relatório associado. Registre a tarefa de exportação, os parâmetros relevantes, o escopo da conta ou repositório, os carimbos de data/hora, as permissões, a versão da ferramenta ou API (quando disponível) e os checksums. Um checksum auxilia na verificação posterior da integridade da saída capturada, protegendo-a contra alterações; ele não garante, por si só, que a exportação foi completa, autêntica, abrangente ou tenha valor probatório. O escopo da exportação, o processo do provedor, a autoridade da conta, as limitações de cobertura e a corroboração independente são questões distintas. Os campos exatos da exportação e a cobertura exigem confirmação para o produto, licença e locatário relevantes.
A cópia manual pode resultar na perda de contexto do servidor, informações de versão ou registros de atividades. A coleta nativa do provedor pode, portanto, preservar o contexto que uma cópia local não preserva, mas ainda é necessário compreender a exportação específica em termos do que ela inclui e exclui.
Plataformas de colaboração exigem cautela específica para cada plataforma.
Plataformas como Teams, Slack e similares podem conter mensagens, anexos, links e registros de atividades. Os caminhos de coleta desses dados dependem do plano da organização, das permissões, das configurações de retenção e dos recursos de descoberta ou exportação disponíveis.
Para o Teams, o Pacote de Pesquisa identifica os recursos de exportação do Microsoft Purview e do Microsoft Graph eDiscovery como rotas de coleta relevantes. Para o Slack, a API de Descoberta ou mecanismos de exportação corporativos podem estar disponíveis, sujeitos à aprovação da organização e à configuração da plataforma. Quando a exportação por descoberta não estiver disponível, os registros de auditoria administrativa e os arquivos retidos ainda podem ser relevantes, mas não devem ser tratados como equivalentes a uma coleta completa de mensagens.
Conteúdos que envolvem canais compartilhados, participantes externos ou espaços de trabalho interorganizacionais exigem atenção especial. A abrangência pode variar, e o comportamento exato de uma determinada exportação deve ser verificado antes de se fazer afirmações sobre sua operacionalidade ou integridade.
BYOD: separe as evidências comerciais dos materiais pessoais.
Um dispositivo pessoal pode conter aplicativos de trabalho relevantes, arquivos corporativos e registros de contas, além de comunicações pessoais, fotografias, informações de saúde e outros materiais que estão fora do escopo da investigação. Isso torna a autoridade, a proporcionalidade e a minimização fundamentais para o planejamento da coleta de dados.
A criação de uma imagem forense genérica não deve ser a abordagem padrão sem autorização ou consentimento explícitos. A sequência preferencial geralmente consiste em preservar e coletar primeiro o material controlado pela empresa e, em seguida, usar o método mais específico adequado para o dispositivo pessoal. Dependendo do ambiente, isso pode incluir:
- Extração de dados de um contêiner corporativo, perfil de trabalho ou aplicativo gerenciado;
- Utilizando controles MDM ou MAM como possíveis mecanismos de gerenciamento, delimitação ou separação de dados corporativos, sujeitos ao produto, configuração e aplicação; não se deve presumir que esses controles forneçam uma coleta forense de conteúdo empresarial;
- Realizar uma triagem limitada para determinar se existem candidaturas ou ficheiros relevantes;
- Aplicar limites de tempo, repositório, tipo de arquivo ou palavra-chave onde esses limites sejam tecnicamente confiáveis; e
- Ampliar o âmbito de aplicação apenas quando necessário e com o apoio da autoridade competente.
Se uma imagem do dispositivo for essencial, a coleta deve ser feita em etapas. Primeiro, identifique as fontes de dados relevantes. Em seguida, considere uma coleta lógica direcionada ou outro método proporcional. Se uma imagem mais abrangente for obtida, o material privado deve ser segregado e protegido por meio de acesso restrito, filtragem, redação e um fluxo de trabalho de revisão apropriado. Qualquer cópia de revisão filtrada, redigida ou segregada deve ser criada a partir de uma fonte preservada e inalterada, mantendo-se rastreável a ela. O método de separação, a base de validação e as limitações técnicas devem ser documentados; a filtragem, por si só, não garante que o material comercial e o privado estejam perfeitamente separados.
A base legal para acessar ou obter imagens de um dispositivo pessoal depende da jurisdição, do contexto de trabalho, dos termos do provedor e do processo específico de cada caso. Este artigo não determina essa base legal. É recomendável consultar um advogado e, quando pertinente, o encarregado da proteção de dados antes de qualquer coleta intrusiva ou transferência internacional de dados.
A troca de mensagens criptografadas pode impor um limite técnico rígido.
A criptografia de ponta a ponta permite limitar o acesso do servidor ao conteúdo das mensagens. Dependendo da aplicação e da configuração, o texto não criptografado relevante pode existir apenas em um dispositivo desbloqueado ou em um backup para o qual a chave ou senha necessária esteja disponível.
O objetivo da preservação não deve, portanto, limitar-se ao texto da mensagem. Artefatos relevantes podem incluir instalação de aplicativos, metadados da conta, registros de data e hora, registros de entrega, presença no banco de dados local, artefatos do sistema operacional e metadados de backup. Um provedor pode reter algumas informações da conta ou de entrega mesmo quando não puder fornecer o conteúdo da mensagem.
A recuperação a partir de um backup é condicional e não garantida. Criptografia, armazenamento de chaves do dispositivo, senhas controladas pelo usuário e limitações do provedor podem impedir o acesso. A limitação resultante deve ser registrada, em vez de ser tratada silenciosamente como uma falha de coleta ou transformada em uma suposição sobre o que foi comunicado.
Uma sequência ilustrativa de triagem em estágio inicial.
A sequência a seguir é ilustrativa e não representa um prazo universal de 0 a 72 horas nem um padrão operacional internacional. As prioridades imediatas dependem dos períodos de retenção conhecidos, do estado do sistema, da autoridade disponível, dos processos do provedor e do risco de que as informações sejam alteradas ou perdidas.
At the outset
Registre os fatos que desencadearam o alerta e identifique o responsável, as contas relevantes, os dispositivos, os repositórios e a atividade suspeita. Coordene com as partes interessadas das áreas jurídica, de RH, de TI e de privacidade.
Aplique bloqueios em contas e repositórios corporativos relevantes, quando disponíveis. Preserve os registros de auditoria e DLP e identifique os logs de rede e segurança de curto prazo. Proteja as cópias com controles de acesso apropriados e documente a ação, o escopo e o horário.
Qualquer suspensão de conta, alteração de credenciais ou restrição de compartilhamento externo deve ser autorizada e documentada. Essas medidas podem ser operacionalmente necessárias, mas devem ser consideradas levando em conta as implicações legais, de privacidade e de preservação de dados.
Durante a próxima fase de coleta
Execute exportações nativas do provedor para caixas de correio, sites, armazenamento em nuvem e plataformas de colaboração relevantes. Preserve os arquivos nativos, metadados disponíveis, manifestos, identificadores de exportação e checksums. Considere os checksums como suporte para verificação de integridade das saídas definidas, e não como prova de completude ou autenticidade. Priorize a triagem de endpoints corporativos e projete uma abordagem BYOD separada e baseada em autoridade.
Nos casos em que mensagens criptografadas ou armazenamento pessoal em nuvem sejam relevantes, preserve os backups disponíveis e os metadados da conta e avalie se é necessário o auxílio do provedor, a preservação voluntária ou um processo legal. A administração do locatário não garante, por si só, o acesso ou a disponibilização de dados mantidos em uma conta pessoal separada; pode ser necessário seguir os procedimentos adequados do provedor e obter aconselhamento jurídico.
Durante a coleta e revisão
Mantenha um registro de preservação ou de atividades atualizado para cada ação. Registre o responsável, a data e a hora, o método, as ferramentas e versões utilizadas, a fonte, o resultado, a autoridade competente, o escopo e o local de armazenamento.
Mantenha esse registro distinto do registro de custódia. Quando relevante, o registro de custódia deve documentar transferências, acessos, controles de armazenamento e as pessoas responsáveis pelo manuseio do resultado definido, para que a continuidade da posse possa ser avaliada. Hashes ou checksums podem auxiliar na verificação da integridade desses resultados definidos, mas não estabelecem, por si só, proveniência, integridade, autenticidade ou valor probatório.
Teste as ferramentas forenses e os métodos de análise sintática em relação a dados conhecidos, quando apropriado, e documente a base de validação para as alegações metodológicas relevantes. Utilize um processo de revisão segregado para material privado, privilegiado ou sensível. Limitar o acesso dos revisores não é apenas uma medida de privacidade; também ajuda a manter a questão da revisão alinhada ao escopo autorizado.
O que as evidências podem e não podem estabelecer
Um registro de auditoria na nuvem pode mostrar que uma conta acessou, baixou, compartilhou ou modificou um item, sujeito ao comportamento de registro e retenção da plataforma. Uma exportação de arquivo pode mostrar o conteúdo e os metadados disponíveis no servidor. Um registro de rede pode corroborar um evento de transferência. Um artefato de dispositivo pode fornecer contexto sobre um aplicativo, arquivo ou conta.
Nenhuma dessas fontes deve ser automaticamente considerada como prova de intenção, autoria ou uso não autorizado. A interpretação depende de controles de identidade, contas compartilhadas, configuração do sistema, registros de data e hora, retenção, integridade e corroboração. A análise mais robusta normalmente compara múltiplas fontes em vez de se basear em um único registro de evento.
O inverso também é importante. A ausência de conteúdo da mensagem não comprova necessariamente que não houve comunicação. Pode refletir criptografia, exclusão, chaves indisponíveis, retenção limitada na plataforma ou um limite de exportação. O relatório deve distinguir entre evidências que não foram encontradas, evidências que não foram retidas e evidências que não puderam ser acessadas pelo método autorizado.
Um projeto de preservação defensável é deliberadamente estreito no início.
Para profissionais de litígios e investigações, o objetivo imediato não é coletar tudo. É evitar perdas desnecessárias, preservando a capacidade de responder às perguntas relevantes posteriormente.
Isso geralmente significa começar com retenções controladas pela empresa, capturas de auditoria e exportações direcionadas para a nuvem; em seguida, avaliar dispositivos de propriedade da empresa, BYOD (Bring Your Own Device – Traga Seu Próprio Dispositivo) e aplicativos criptografados de acordo com a autoridade, volatilidade, relevância e proporcionalidade. Significa também manter um registro transparente das limitações, incluindo dados indisponíveis do provedor, retenção incerta, cobertura de exportação incompleta e restrições jurisdicionais.
A perspectiva da IVIDENTIA é que as evidências digitais devem ser compreendidas antes de serem coletadas em excesso. Um plano de preservação e coleta deve deixar claro o que cada fonte pode comprovar, o que não pode, como o material privado será protegido e quais decisões exigem aprovação legal ou de privacidade.
Este artigo fornece orientações técnicas gerais e não constitui aconselhamento jurídico. Antes de coletar dados de dispositivos pessoais ou transferir dados de contas pessoais para outros países, consulte as autoridades competentes, os requisitos de privacidade e os procedimentos locais.
Fontes
- NIST Cloud Computing Forensic Reference Architecture (NIST SP 800-201) — NIST.
- Guidelines on Mobile Device Forensics (NIST SP 800-101 Rev. 1) — NIST.
- Guide to Integrating Forensic Techniques into Incident Response (NIST SP 800-86) — NIST.
- ISO/IEC 27037:2012 — Guidelines for identification, collection, acquisition and preservation of digital evidence — ISO/IEC.
- Create a hold to suspend documents or items — Microsoft.
- Place Drive, Meet, and Sites data on hold — Google Workspace.
- Get started with auditing solutions — Microsoft.
- Drive log events — Google.
- Slack — Review your workspace’s settings / Discovery API & Audit Logs — Slack.
- Microsoft Graph eDiscovery Export API docs — Microsoft / Microsoft Graph.
- ACPO Good Practice Guide for Digital Evidence — Association of Chief Police Officers / NPCC.
- ENFSI Best Practice Guidelines for Digital Forensics — ENFSI.
- Forensic Science Regulator — Code of Practice and method validation guidance — Forensic Science Regulator.
- EDPB employment-context data protection materials — European Data Protection Board.
- Practitioner/technical commentary on message recovery and mobile artefacts — Digital forensics practitioner literature.
