Aula 04 — Aquisição e duplicação forense
Este apoio complementa a aula sobre formatos RAW/E01, cópias de trabalho, integridade e exame de uma imagem. A máquina virtual Windows 11, com documentos do Office e exclusões feitas em laboratório, serve de fonte de dados para o exercício de análise.
Continuidade didática: o aluno começa pela imagem RAW já disponibilizada, verifica o SHA-256 e documenta o exame no Autopsy. O arquivo de evidência não fica hospedado neste portal.
Sequência de trabalho
- Conferir autorização, origem da imagem e SHA-256.
- Criar um caso com nome e número identificáveis.
- Importar o RAW como Disk Image or VM File.
- Localizar documentos Office e examinar metadados.
- Identificar arquivos excluídos e tentar extrair apenas uma cópia.
- Correlacionar palavras-chave, horários e achados.
- Marcar itens e produzir relatório técnico.