Água potável: A conta é de 2 litros por pessoa ao dia, totalizando 6 litros por indivíduo para os 3 dias. Alimentos não perecíveis: Barras de cereais, frutas secas, biscoitos e enlatados. Saúde e primeiros socorros: Medicamentos de uso contínuo, receitas médicas, álcool em gel, itens de higiene pessoal e equipamentos médicos (como medidores de glicose). Eletrônicos e comunicação: Lanterna, pilhas extras (guardadas separadamente), power bank, carregadores e um rádio AM/FM para acompanhar comunicados oficiais. Documentos e utilidades: Cópias de documentos pessoais, dinheiro em espécie, lista de contatos de emergência (armazenados em pasta impermeável), além de mudas de roupa e sacolas plásticas. Necessidades especiais: Itens dedicados a bebês, crianças, idosos e animais de estimação. https://www.facebook.com/defesacivilbra Compartilhe e ajude outras pessoas a montarem seus KITs
Forense Digital (Digital Forensics): 18 ferramentas DFIR e guia
Como investigadores encontram evidências digitais após um ataque cibernético
Forense digital · Digital forensics · DFIR · Forensic tools · OSINT Brasil
Resumo rápido
Forense digital (digital forensics) responde à pergunta central após um ciberataque: o que realmente aconteceu? As evidências ficam em três lugares: memória RAM, tráfego de rede e arquivos e metadados. Este guia reúne 18 ferramentas forenses (forensic tools) de DFIR, com instalação, links oficiais, uso com IA e prompts prontos.
Forense de Memória
A RAM guarda o que o disco não mostra: processos, conexões abertas, chaves de criptografia e malware sem arquivo. Ela é volátil, então a captura é a primeira etapa de qualquer investigação forense.
Volatility
Analisa dumps de memória (processos, DLLs, conexões, injeção de código).
Uso: floss malware.exe, somente em ambiente isolado.
Dica rápida
Nenhuma ferramenta forense conta a história completa. Fluxo comum: capturar a RAM com WinPmem, analisar com Volatility, cruzar com logs do Zeek e capturas do Wireshark, e examinar artefatos com FLOSS e ExifTool.
IA na análise forense
A IA não substitui as ferramentas. Elas coletam e extraem; a IA ajuda a interpretar, resumir e priorizar.
Fluxo: capturar → extrair → filtrar → enviar à IA para triagem → validar na ferramenta original → documentar a linha do tempo.
Exemplo: vol -f memoria.raw windows.netscan > conexoes.txt. Cole o resultado e peça: aponte conexões para IPs suspeitos e o que investigar primeiro.
Volatility: interpretar pslist, malfind e netscan.
Wireshark/tshark e Zeek: resumir capturas, escrever filtros, achar beaconing.
Snort/Suricata: explicar alertas e reduzir falsos positivos.
FLOSS, ExifTool e bulk_extractor: classificar e priorizar achados.
API: rode a ferramenta num script e envie a saída ao modelo (pip install anthropic, docs). MCP: há projetos da comunidade que ligam assistentes ao tshark e ao Volatility; avalie o código antes de instalar.
Cuidados: evidências contêm dados pessoais (use modelo local ou tenha autorização), trabalhe em cópias para manter a cadeia de custódia, trate respostas como hipóteses e filtre antes para respeitar o limite de contexto.
Prompts DFIR
Use o prompt-base primeiro e depois o da ferramenta. Substitua os campos entre chaves duplas.
Prompt-base (use sempre primeiro)
Você é um analista de DFIR. Vou pedir um script que COLETE e EXPORTE resultados de uma ferramenta forense para um relatório HTML.
REGRAS
- Trabalhe apenas sobre CÓPIAS das evidências (somente leitura).
- Calcule SHA-256 de toda entrada e saída e registre no relatório.
- Gere UM arquivo HTML autocontido (CSS inline, sem CDN, sem JS externo).
- Escape todo conteúdo vindo da evidência (evitar XSS).
- Mascare dados sensíveis (senhas, cartões, tokens).
- Estrutura: Título, Metadados do caso, Resumo executivo, Achados por severidade, IOCs, Linha do tempo, Comandos executados, Recomendações, Aviso ético.
- Trate conclusões como HIPÓTESES e indique como validar.
- Padrão visual do blog: {{PADRAO_HTML}}
- Entregue: script completo, como executar e saída esperada.
Volatility
Crie um script para Volatility 3 que, dado {{memoria.raw}}, execute windows.info, pslist, psscan, pstree, cmdline, dlllist, netscan, malfind, svcscan, filescan e registry.hivelist, com saída JSON. Compare pslist x psscan (processos ocultos), destaque pais/filhos incomuns, nomes imitando processos do sistema, regiões RWX do malfind e conexões externas. Gere o HTML com uma seção por plugin e tabela de IOCs.
WinPmem
Crie um script PowerShell (Administrador) que capture a RAM para {{destino}} registrando data/hora UTC, host, usuário, versões do Windows e do WinPmem, tamanho e SHA-256 do dump. Exporte um relatório HTML de aquisição com cadeia de custódia e campo para assinatura.
RAM Capturer
Crie um checklist e script PowerShell que registre o contexto da captura com Belkasoft RAM Capturer (hostname, hora UTC, usuário, processos, conexões, SHA-256) e gere o relatório HTML de aquisição.
Magnet RAM Capture
Gere um script que receba o dump e produza o relatório HTML de aquisição (hash, tamanho, data, host, versão, checklist de integridade) com os comandos Volatility 3 recomendados para a primeira triagem.
Wireshark (tshark)
Crie um script Bash que, dado {{captura.pcap}}, execute capinfos, -z io,phs, -z conv,ip, -z conv,tcp, -z endpoints,ip, extração de DNS, HTTP (host, URI, user-agent), SNI de TLS e -z expert. Identifique top talkers, portas incomuns, beaconing e possível exfiltração. Gere o HTML com tabelas e linha do tempo.
NetworkMiner
A partir dos CSVs exportados (Hosts, Files, DNS, Sessions, Credentials), crie um script Python que cruze hosts, arquivos e sessões, calcule SHA-256 dos arquivos, destaque executáveis, scripts e documentos com macros e MASQUE credenciais. Exporte o HTML com inventário.
Zeek
Crie um script que rode zeek -r {{captura.pcap}} e processe conn, dns, http, ssl, files, notice e weird. Detecte beaconing, DGA e tunelamento DNS, certificados autoassinados, downloads de executáveis e todos os notices. Gere o HTML com resumo por log, IOCs e linha do tempo.
Snort
Crie um script que execute o Snort 3 offline sobre {{captura.pcap}} com alertas em JSON. Agrupe por SID, severidade e origem/destino, aponte prováveis falsos positivos e sugira ajustes de regra. Exporte o HTML com ranking de alertas.
Suricata
Crie um script que rode suricata -r {{captura.pcap}} e leia o eve.json (alerts, flows, dns, http, tls, fileinfo, anomaly). Agrupe por signature_id, liste IOCs e arquivos com hash e sugira falsos positivos. Gere o HTML com gráficos em SVG inline.
Arkime
Gere um script que importe {{captura.pcap}} com arkime-capture -r e consulte a API do viewer para top IPs, domínios, protocolos e sessões de maior volume. Liste 10 expressões de busca para pivotar nos IOCs e exporte em HTML.
Kismet
Crie um script que leia o arquivo {{.kismet}} com kismetdb_dump_devices e kismetdb_to_pcap. Liste APs, clientes, SSIDs, criptografia, canais e fabricantes. Destaque redes abertas, WEP e possíveis evil twins. Exporte o HTML com inventário e linha do tempo.
bulk_extractor
Crie um script que rode bulk_extractor em {{imagem.dd}} e consolide email, url, domain, ip, ccn e telephone com histogramas. Mascare cartões e documentos, priorize domínios e IPs raros e exporte o HTML com contagens e IOCs.
binwalk
Crie um script que execute binwalk em {{firmware.bin}} (assinaturas, entropia, extração) e calcule SHA-256 de cada arquivo extraído. Procure credenciais hardcoded, chaves, endpoints e componentes desatualizados. Gere o HTML com mapa de offsets, gráfico de entropia e achados.
ExifTool
Crie um script que rode exiftool -json -r em {{pasta}} e analise autor, software, datas, GPS e dispositivo. Destaque inconsistências (modificação anterior à criação, software incompatível). Exporte o HTML com tabela ordenável e linha do tempo.
Foremost
Crie um script que rode foremost em {{imagem.dd}}, liste cada arquivo recuperado com tipo, tamanho e SHA-256, valide cabeçalhos com file e rode exiftool nos recuperados. Marque duplicados e corrompidos. Exporte o HTML com inventário e miniaturas em base64.
Scalpel
Crie um script que configure o scalpel.conf para {{pdf, jpg, docx, exe}}, rode scalpel em {{imagem.dd}} e gere o inventário com offset, tipo, tamanho e SHA-256. Compare com o Foremost, se disponível, e exporte em HTML.
FLOSS
Crie um script que rode floss -j em {{malware.exe}} (somente em ambiente isolado) e classifique strings estáticas, empilhadas e decodificadas em URLs, IPs, caminhos, chaves de registro, comandos, APIs e mutex. Indique comportamentos prováveis e mapeie para MITRE ATT&CK como hipótese. Exporte o HTML com IOCs.
Prompt final: consolidar tudo
Recebi os relatórios HTML/JSON de várias ferramentas (abaixo). Una tudo em UM relatório HTML no padrão {{PADRAO_HTML}}: linha do tempo única, IOCs deduplicados, correlação entre memória, rede e arquivos, hipóteses ranqueadas com nível de confiança e o que falta validar.
{{cole aqui os resumos ou JSONs}}
Perguntas frequentes
O que é forense digital (digital forensics)?
É o processo de coletar, preservar e analisar evidências digitais de memória, rede e arquivos para entender o que aconteceu em um incidente, mantendo a cadeia de custódia.
Qual a primeira etapa após um ciberataque?
Capturar a memória RAM, pois ela é volátil e guarda processos, conexões e malware sem arquivo que desaparecem ao desligar o equipamento.
Quais ferramentas forenses open source são mais usadas?
Volatility para memória, Wireshark e Zeek para rede, Suricata para detecção, ExifTool para metadados e FLOSS para strings ofuscadas em malware.
A IA pode ser usada em investigações forenses?
Sim, como apoio à triagem e interpretação, sempre sobre cópias, com cuidado com dados sensíveis e validando as conclusões na ferramenta original.
Aviso ético
Investigue apenas dispositivos e redes que você possui ou para os quais tem autorização expressa. Respeite a privacidade das pessoas envolvidas, preserve a cadeia de custódia e trate toda evidência com cuidado e confidencialidade.
Comandos e links refletem as documentações oficiais mais comuns, mas versões e métodos de instalação mudam. Confira sempre a página oficial antes de instalar.
Comentários
Postar um comentário