Documentação
A documentação exigida pelo administrador do sistema e um especialista em computação forense é extremamente detalhada. Eles devem documentar não só o que foi recolhido como provas, mas como foi recolhido e com quais ferramentas. A documentação do incidente deve utilizar convenções de nomenclatura consistentes para a saída da ferramenta forense. Registre a hora, data e a identidade da pessoa que realiza a coleta forense. Documente o máximo de informações possível sobre o incidente de segurança. Estas melhores práticas fornecem um guia de auditoria para o processo de coleta de informações.
Mesmo se você não for um administrador de sistema ou um perito forense computacional, é um bom hábito criar documentações detalhadas de todo o trabalho que você faz. Se você descobrir uma atividade ilegal em um computador ou rede em que você está trabalhando, no mínimo, documente o seguinte:
- Razão inicial para acessar o computador ou rede
- Hora e data
- Periféricos que estão conectados ao computador
- Todas as conexões de rede
- Área física onde o computador está localizado
- Material ilegal que foi encontrado
- Atividade ilegal que tenha testemunhado (ou que você suspeita que ocorreu)
- Quais os procedimentos que você executou no computador ou rede
Os atendentes irão querer saber o que você fez e o que não fez. A documentação pode tornar-se parte da prova na acusação de um crime. Se você fizer adições ou alterações nesta documentação, é fundamental que você informe à todas as partes interessadas.
Cadeia de Custódia
Para que as provas sejam admitidas, elas devem ser autenticadas. O administrador de sistema pode testemunhar sobre a evidência que foi coletada. Mas ele também deve ser capaz de provar como foi recolhido esta prova, onde foi armazenada fisicamente e que obteve acesso a ela entre o tempo de coleta e entrada do processo judicial. Isso é conhecido como cadeia de custódia. Para provar a cadeia de custódia, os atendentes possuem procedimentos de documentação que acompanham as provas coletadas. Estes procedimentos também impedem a adulteração de provas de modo que a integridade dos elementos possa ser assegurada.
Incorpore procedimentos de informática forense em sua abordagem para com o computador e a segurança de rede para garantir a integridade dos dados. Estes procedimentos o ajudam a capturar os dados necessários no caso de violação da rede. Garantir a viabilidade e a integridade dos dados capturados ajuda a processar o intruso.