11 publicações marcadas com esta tag.
A Magnet Forensics publicou um guia técnico sobre os artefatos deixados por conexões RDP em ambos os lados da sessão — registro, logs de eventos, cache de bitmap e evidências de execução do mstsc.exe — e como correlacioná-los numa linha do tempo confiável. O artigo reforça que nenhum artefato isolado prova a história completa de uma sessão remota.
Fonte ↗O SecLog-Bench é um benchmark com 29 cenários de ataque simulados que combina logs de auditoria, de aplicação e de tráfego de rede, anotados com uma cadeia de evidências estruturada passo a passo, para avaliar se LLMs conseguem reconstruir a progressão de um ataque após a detecção inicial. Testando oito modelos mainstream, os autores encontram desempenho modesto (melhor acurácia de 44,44%, Macro-F1 de 45,07%, e apenas 54,87% de F1 no raciocínio por estágio), com casos frequentes de previsão correta acompanhada de raciocínio incorreto.
Fonte ↗Pesquisadores japoneses compararam quatro momentos possíveis para disparar um backup automático de arquivos — na abertura, na leitura, na escrita ou na renomeação — como forma de preservar cópias limpas antes que o ransomware consiga criptografá-las. Os testes usaram um protótipo baseado no sistema ROFBS sobre XFS e amostras reais de Conti, Sodinokibi, AvosLocker, REvil e HelloKitty para medir o equilíbrio entre recuperação de arquivos e volume de backups gerados.
Fonte ↗A Magnet Forensics publicou um guia metodológico que estrutura a investigação de incidentes de ransomware em cinco fases, da contenção guiada por evidências até a documentação pós-incidente. O texto enfatiza a ordem correta entre preservação de evidências voláteis e contenção, e como os achados forenses devem orientar as decisões de remediação e recuperação.
Fonte ↗Pesquisadores apresentam o CyberClear, um benchmark que avalia se agentes baseados em LLM conseguem reconstruir campanhas completas de APT a partir de logs de segurança extensos, gerando grafos de proveniência com entidades, relações causais, técnicas MITRE ATT&CK e evidências forenses. Os sistemas multiagente mais avançados ainda erram bastante na tarefa, o que motivou a proposta de um harness complementar, o CyberProvenance, focado em acumulação de evidências e validação por execução.
Fonte ↗A compilação semanal do Forensic Focus reúne o que a comunidade de forense digital publicou nos últimos dias: frameworks de IA aplicados a DFIR, ferramentas surgidas em hackathons, artefatos de desbloqueio no macOS, técnicas de correlação de logs entre plataformas e extração forense de dados do Apple Health. É uma curadoria, não um artigo técnico único, mas mapeia bem as frentes ativas de pesquisa e prática forense nesta semana.
Fonte ↗Pesquisadores propõem o TGL-APT, um framework que aplica destilação de grafos de proveniência guiada por 'nós information-bottleneck' para tornar a investigação de ataques APT mais rápida e barata. Em datasets DARPA E3, o método atingiu F1-scores de até 95,7% reduzindo tempo de treinamento, latência de detecção e uso de memória em relação ao estado da arte (KAIROS).
Fonte ↗Um diário do SANS ISC detalha o recurso de process accounting do kernel Linux, que registra automaticamente todo processo executado no sistema — inclusive fora de sessões interativas de shell, onde o bash_history nada captura. O autor mostra como ativar o recurso com o pacote acct e consultar os registros com lastcomm e sa, posicionando a técnica como complemento (não substituto) a outras fontes de auditoria.
Fonte ↗Edição semanal do Forensic Focus reúne avanços práticos em diversas frentes da perícia digital: análise de bancos SQLite em iOS Powerlogs, desafios de aquisição em ambientes serverless (AWS Lambda e Azure Functions), decodificação do banco de dados do Signal em Android 15 e novidades nas ferramentas open-source iLEAPP/ALEAPP para sinalização de imagens geradas por IA. O compilado também traz uma ferramenta de timeline para Linux e uma atualização de triagem para macOS.
Fonte ↗Análise forense de vídeo depende de acertar o tempo — taxa de quadros variável e timestamps de contêiner e codec. O artigo aborda como reconstruir a linha temporal correta de uma gravação para uso probatório.
Fonte ↗Logs de eventos do Windows rotacionam e se sobrescrevem rápido. O artigo defende o arquivamento contínuo como pré-condição para reconstruir a timeline de um incidente — sem os logs preservados, boa parte da história do ataque desaparece.
Fonte ↗