O sistema IPED Forense: Processador e Indexador de Evidências Digitais da Polícia Federal
Introdução
Em primeiro lugar, nesse artigo iremos fazer uma introdução sobre o Sistema IPED Forense que é uma ferramenta extremamente versátil e que permite inúmeras possibilidades de uso. Com parametrizações avançadas e configurações extremamente específicas. Nesta pesquisa nós faremos a apresentação inicial e, além disso, daremos dicas de uso básico desta incrível ferramenta forense.
O IPED (Indexador e Processador de Evidências Digitais), ou ainda, IPED Digital Forensics Tool , é uma ferramenta forense brasileira desenvolvida em meados de 2012, pelo Perito Criminal Federal Luís Filipe Nassif . Quando o Brasil passou por um volume estarrecedor de combate contra a trâmite e os assuntos digitais passou a fazer parte do cotidiano de diversos segmentos de investigação e perícia, tanto na área criminal como cível e trabalhista.
Nassif em sua página do GitHub informa hoje ser o Líder do Projeto IPED, Membro do projeto Apache Tika, Apache e ProjectVIC, bem como membro do Centro de Inovação da Interpol – Organização Internacional de Polícia Criminal.
Portanto, apesar de ter sido usado pela Polícia Federal Brasileira desde o ano de 2012, o IPED Indexador só foi disponibilizado para o público em geral no ano de 2019. Usuários quando o projeto foi autorizado a sair da Polícia Federal para se tornar um projeto de código aberto público e disponibilizado no GitHub da Polícia Federal Brasileira (‘https://github.com/sepinf-inc’).
Você vai gostar de ver também: Introdução Ao IPED Forense, Com o Prof. e Diretor Renan Cavalheiro.
Assim, consta nas informações do GitHub do departamento de Perícias em Informática da Polícia Federal Brasileira, a ferramenta o sistema IPED Forense foi desenvolvida com o objetivo de ser um Processador de Evidências Digitais eficiente. Ou seja, com foco em velocidade de processamento.
Já a questão de velocidade de processamento sempre foi um ponto importante para os profissionais das diversas áreas de atuação da Forense Digital. No entanto, no ano de 2012 as ferramentas disponíveis eram totalmente primitivas.
Indexação
Sendo assim, o termo indexação se refere à etapa de processamento de prova. Após os arquivos terem sido lidos e processados, a plataforma forense cria um catálogo contendo cada palavra identificada e sua localização na prova. Ela permite a busca por palavras-chave com resultado instantâneo eficaz e eficiente. Mas na época a maioria das plataformas forenses realizava apenas buscas por palavras-chave sem indexação. Ou seja, sem a criação de um banco de dados de palavras. Isso faz com que cada busca seja realizada do zero em cada área da prova, portanto, retardando o tempo de resposta das perguntas.
Neste contexto, o sistema IPED Forense da Polícia Federal foi concebido para trazer a agilidade necessária para dar vazão ao grande volume de evidências digitais que não paravam de chegar nos Laboratórios da Polícia Federal em meio a grandes escândalos de investigação. Tais como o inquérito contra o Banco Oportunity , operação Miquéias, Caixa de Pandora, Mensalão e a famigerada Operação Lava Jato logo em breve nos horizontes da Polícia Federal.
De acordo com nossa equipe de pesquisadores, a ferramenta IPED Forense se constitui da seguinte estrutura, sendo que é uma ferramenta extremamente versátil e de alto desempenho.
Então, com sua disponibilização aberta ao público, rapidamente o IPED Forense se tornou uma das melhores e mais populares ferramentas de processamento de recebimento digital no cenário mundial. Ganhou diversas referências de sua aplicação no FBI, Interpol, Forças Armadas, dentre outras instituições nacionais e mundiais importantes.
Configurando o Java antes de usar a ferramenta IPED
É importante também realizar o download do Java Development Toolkit – JDK. Para isso, nossa equipe foi aconselhada por um dos membros da equipe de desenvolvimento, Thiago Figueiredo – https://github.com/thiagofuer – a utilizar a biblioteca JDK da Bellsoft. Para baixar, acesse https://bell-sw.com/pages/downloads/#/java-11-lts e efetue o download do Java 11 LTS. Sendo assim, instale o JDK 11 da Bellsoft e reinicie seu sistema antes de aceitar.
IPED Download – Fazendo o download do sistema IPED
A forma mais usual de realizar o download da Ferramenta IPED, por exemplo, é através da seção “ releases ” no GitHub, localizada no canto superior direito da página, ou ainda, clicando aqui para fazer o download direto da ferramenta versão 4.0.6.
Após o acesso à área de release , vá até a seção “assets” na página seguinte.
Depois do download, extraia o conteúdo do arquivo zip do IPED obtido no GitHub do projeto em alguma pasta de fácil acesso. A partir desse documento, crie uma pasta em C:\IPED.
Você vai gostar de ver também: Introdução Ao IPED Forense, Com o Prof. e Diretor Renan Cavalheiro.
A primeira visão que se após a originada do arquivo zip da ferramenta IPED, é a estrutura de 4 pastas:
- Regripper
- MPplayer
- Plugins
- Iped-06
Sendo assim, estas massas representam, respectivamente, módulos de processamento terceirizados, plugins e pastas efetivamente da ferramenta IPED. Conforme mencionado acima, o sistema IPED Forense é certificado em duas classes. A primeira se refere ao módulo de processamento e indexação de comprovantes. A segunda é o módulo de análise denominado IPED SearchApp .
Para usar o processador IPED, podemos fazer uso do binário para Windows ou diretamente a biblioteca Java. Para utilizar o binário do Windows, basta executá-lo via linha de comando com o PowerShell . Na tela abaixo, utilizamos o comando “iped.exe -h” para demonstrar seu funcionamento.
O mesmo funcionamento pode ser obtido quando utilizado a biblioteca Java, através do comando “java -jar iped.jar -h”.
Operando o sistema IPED Forense: Indexador e Processador de Evidências Digitais
O módulo de processamento e indexação de evidência do IPED permite inúmeras configurações e parametrizações específicas. Conforme mencionado no início deste documento, o objetivo deste trabalho é apresentar o uso básico, deixando espaço para outros trabalhos mais avançados.
A sintaxe básica do sistema IPED Forense exige pelo menos 3 parâmetros:
- Dados de origem para processamento, geralmente uma imagem forense
- Pasta de saída do projeto onde serão salvos os arquivos resultantes do processamento
- Perfil de processamento a ser usado
Item 1
Dados de origem, são controlados através do parâmetro “-data” ou “-d” seguido do endereço do objeto que será protegido a processamento. Isso permite ser uma unidade de processamento físico, uma imagem forense física ou lógica, e ainda arquivos ou pastas individuais.
Os formatos legíveis pelo sistema IPED Forense, segundo consta na página oficial da ferramenta, são discos físicos e virtuais imagens raw (dd, 001, ISSO, etc), E01, EX01, AD1, segmentadas ou sequenciais 2 .
Item 2
Pasta de saída do projeto, consulte o local onde o projeto de saída será salvo. É neste local onde você irá executar uma interface de análise posteriormente ao processamento. Sendo assim, você perceberá que nele também estão salvos os bancos de dados da indexação, arquivos exportados, dentre diversos outros itens. A pasta de saída deve ser indicada através do parâmetro “-output” ou “-o”.
item 3
Perfil de processamento se refere ao conjunto de parametrizações que serão utilizados no processamento da imagem. Isso dá, inclusive, a possibilidade de criação de perfis personalizados. Eles se baseiam na parametrização dos arquivos LocalConfig.txt, IPEDConfig.txt e dos diversos arquivos de configuração contidos na pasta “conf”.
Para indicar o perfil desejado, utilize-se o parâmetro “-p” seguido do nome do perfil, exemplo: “-p forensic”, para indicar a utilização do perfil forensic . Por padrão, a ferramenta IPED contém 5 perfis de processamento. Eles são os sentidos abaixo conforme o manual de ajuda disponível na página oficial GitHub da ferramenta IPED. Bem como na interpretação dos parâmetros de conteúdo de configuração na pasta “perfis” do projeto IPED 3 .
a) Padrão
O padrão é usado automaticamente quando nenhum perfil é indicado pelo usuário. Este perfil fará uso dos parâmetros de processamento padrão, ativando o calculador de função Hash MD5, SHA-1 e SHA-256 em todos os arquivos processados. Expande arquivos compostos, realiza indexação de dados e metadados, gera miniaturas de imagens e conduz a busca por alguns padrões de uso de expressões regulares de texto. Este perfil não realiza recuperação de dados “ data carving ”, e não faz indexação da área não alocada e espaços de folga (“ slackspaces ”).
b) Cego
Já o perfil blind , como o nome sugere, foi criado para extrações “cegas”. Quando o Perito recebe a incumbência de realizar a garantia apenas de dados relevantes para o processo, antes de analisar o conteúdo do dispositivo. Para fazer isso, o IPED tem o recurso de Exportar Arquivos de acordo com alguns recursos. Seja por categoria do arquivo, seja por incidência de uma palavra-chave pré-configurada.
Por padrão, o blind irá exportar arquivos categorizados como e-mails, documentos de texto, PDF, RTF, XML, bases de dados, planilhas, apresentações, cartões de contato, conversas e mensagens ou arquivos resultantes de busca por palavras-chave indicadas no arquivo “KeywordsToExport” localizado na pasta conf.
c) Modo rápido
Fastmode visa dar agilidade ao Perito em situações de campo. Ele possibilita uma pré-visualização rápida de dados, sem uma necessidade de processamentos demorados. Principalmente porque este perfil irá exibir uma estrutura de pastas e organizar os arquivos por categorias.
d) Forense
Forense é o mais completo dos perfis pré-configurados. Ele realiza tudo o que foi descrito no perfil padrão, somando a realização de escavação de dados “data carving” , indexação dos espaços de folga “slackspace” e da área não alocada . A lém de ativar a comparação dos hashes dos arquivos com as bibliotecas de hash , caso tenham sido configurados.
e) Pedo
O pedo foi desenvolvido para agilizar a busca por fotografias relacionadas a crimes contra criança e adolescente. Ele permite uma identificação de imagens de forma eficiente através da verificação com diversas bibliotecas de hashes . A maioria de uso fechado das forças de prisão.
f) Triagem
Triagem, ou “triagem”, é semelhante ao perfil fastmode. Porém realiza a indexação de arquivos de algumas categorias, tais como arquivos office, pdf, emails, arquivos de texto, dentre outros.
A sintaxe básica de uso, por fim, será entendida de pelo menos estes três parâmetros apresentados. Por exemplo, ficando assim: “Java -jar iped.jar -d imagemForense.E01 -o ProjetoIPED -p forensic”. Para demonstração nesta pesquisa, usaremos a imagem do caso Mantooth.
Pós o processamento, se tudo ocorreu bem, o sistema IPED Forense terá criado uma pasta com o nome do projeto de saída indicado pelo parâmetro de saída “-o”. Nele contém a pasta do projeto, o binário para executar o IPED SearchApp , o banco de dados do sleuthkit e alguns arquivos seguidores que seguem conforme o perfil de processamento utilizado.
Para iniciar a análise das evidências processadas pela ferramenta IPED, basta executar o IPED SearchAPp.
Alavanque sua carreira com o Treinamento Perícia Judicial na Prática
g) Analisando Evidências com o IPED SearchApp
Logo, assim como o IPED Processador, a ferramenta IPED SearchApp é extraordinária. Ela permite a realização de uma análise forense extremamente eficiente, através da aplicação de diversos filtros. Tais como filtros por recurso de processamento, filtro por categoria, filtro por estrutura de massas, filtros por metadados ou filtros por palavras-chave. Isso faz com que todos eles sejam combinados gerando um efeito de funil resultante da aplicação de diversos filtros em conjunto.
Você vai gostar de ver também: Introdução Ao IPED Forense, Com o Prof. e Diretor Renan Cavalheiro.
1. Filtro por características resultantes do processamento
Através deste filtro, localizado no canto superior esquerdo da ferramenta IPED SearchApp, é feita a filtragem de arquivos com base em características identificadas pós-processamento. Como é o caso dos arquivos ativos, arquivos recuperados por escavação de dados, arquivos deletados a nível de sistema de arquivos, arquivos com hashes conhecidos, dentre outros.
2. Filtro de Categorias
Este permite isolar arquivos com base em sua categorização, a qual é dividido em arquivos derivados de internet, bases de dados, documentos, arquivos compactados, e-mails, arquivos multimídia, dentre outros.
3. Filtro de evidência
O de evidência permite não navegar apenas na estrutura de pastas do sistema de arquivos de evidência. Como também utilizar esta navegação para filtrar os conteúdos de cada pasta em conjunto com os demais filtros, tais como os de processamento, de metadados ou resultados de buscas por palavras-chave.
4. Área de Resultados
Porque a área de resultados permite a visualização da listagem de arquivos resultantes da aplicação ou não dos diversos filtros, podendo assim exibir os itens em formato de tabela de metadados, galeria de multimídia, mapas de geolocalização ou ainda por vínculos de relacionamento.
5. Área de busca
Na região central superior da ferramenta IPED SearchApp, você encontra uma área de busca. Ou seja, é ela que permite a realização de buscas por palavras-chave e que atua em conjunto com os demais filtros. Por exemplo, seguindo a exibição de resultados por determinada palavra-chave, somente em determinada categoria de arquivos.
6.Filtro por Marcadores
Conforme uma análise forense é realizada, é comum que o profissional responsável pela investigação ou perícia forense queira marcar alguns arquivos relevantes para seu objeto de análise. E o sistema IPED Forense dá suporte a esta metodologia de trabalho. Ou seja, não apenas permitindo a criação de marcadores personalizados, como também de filtro por arquivos marcados.
7.Filtro por metadados
Já o de metadados é um dos recursos mais poderosos e inovadores da ferramenta IPED SearchApp. Ele permite uma identificação rápida por metadados, como nome, hash, carimbos de tempo, dentre outras categorias de metadados.
8.Painel Auxiliar
Através dele, é possível identificar alguns sinais importantes durante a condução das análises. Como a quantidade de incidências resultantes de uma busca por uma palavra-chave, arquivos anexos, itens duplicados ou referências em relação ao arquivo selecionado na tabela de resultados.
9.Painel de Conteúdo
Sendo assim, é possível visualizar efetivamente, através do painel de conteúdo, o conteúdo dos arquivos. Seja em formato hexadecimal, em formato de texto decodificado com diversos formatos de formação de caracteres. Seja com a visualização dos metadados específicos ou uma pré-visualização do item selecionado na tabela de resultados .
9. Treinamento de IPED Forense
Você sabia que a AFD foi pioneira em curso focado na ferramenta IPED Forense? O Prof. Renan Cavalheiro criou este treinamento com foco em detalhar cada funcionalidade desta incrível ferramenta, veja mais detalhes sobre o Treinamento de IPED Forensics – do Zero ao Avançado.
10.Painel de Conteúdo
De fato, este projeto de pesquisa protege a utilização básica do IPED Digital Forensics Tool. Ele é um dos melhores sistemas a nível mundial para processamento, indexação e análise de evidências digitais. Além de que capaz de processar grandes volumes de dados e permitir uma análise inteligente e eficiente nos mais diversos tipos de dados casos de Investigação e Perícia de dispositivos eletrônicos.
Referências
- BRASIL. Policia Federal. Departamento de Serviços de Perícias em Informática. Github do Projeto IPED. 2022. Disponível em: https://github.com/sepinf-inc/IPED/. Acesso em: 30 nov. 2022.
- BRASIL . Policia Federal. Departamento de Serviços de Perícia em Informática. Guia do Iniciante: projeto iped. Projeto IPED. 2022. Disponível em: https://github.com/sepinf-inc/IPED/wiki/Beginner’s-Start-Guide. Acesso em: 30 nov. 2022
