O que é hipótese de leitura e por que você precisa entender isso antes de extrair dados
A hipótese de leitura é um conceito da análise forense digital que se refere à interpretação que o investigador faz sobre como um arquivo foi criado, modificado ou executado em um sistema. Na prática, você olha para artefatos como registros do Registro do Windows, logs de eventos, arquivos de log de navegador e metadados de documentos e constrói uma narrativa coerente sobre o que aconteceu. Não existe um botão mágico que responda isso. Você lê os indícios, cruza horários, descarta ruído e chega a uma conclusão que precisa ser defensável em depoimento ou em relatório pericial. Isso soa simples até você se deparar com um arquivo .pst de Exchange extraído com uma ferramenta de varredura genérica e perceber que os timestamps de criação e modificação não batem com os logs do servidor. Aí a hipótese de leitura entra como disciplina, não como opção. Você precisa decidir se confia mais no sistema de arquivos local, no arquivo de log do aplicativo ou nos metadados do provedor.
Como aplicar a hipótese de leitura em investigações reais
O primeiro passo é definir quais artefatos são relevantes para a pergunta investigativa. Se a questão é saber quando um usuário acessou um site, não adianta focar só no histórico do navegador. Você precisa cruzar com logs de proxy, DNS cache, files system timestamps e, se houver, logs do servidor web. O método que costuma funcionar é o seguinte: liste as fontes, hierarquize por confiança relativa, extraia os dados, normalize os timestamps para UTC, identifique inconsistências e só então construa a linha do tempo. Para normalizeção de timestamps, use UTC como referência única desde o início. Trabalhar com múltiplos fusos horário na fase de coleta é a maneira mais rápida de criar confusão em análise subsequente. Ferramentas como Autopsy, FTK Imager e Cellebrite UFED permitem exportar dados com coluna UTC padronizada. Se o seu relatório final misturar GMT, BRT e horário de verão sem registro dessa conversão, a hipótese de leitura fica fragilizada.
Outro ponto que as pessoas costumam pular: a diferenciação entre timestamps de crescimento, modificação, acesso e mudança de metadata (MAC vs MACE). O Windows NTFS guarda MFT entry modification time além dos três convencionais. Ignorar o E-time é perder informação que muitas vezes resolve ambiguidade. Em um caso recente, um suspeito alegava que havia deletado um arquivo antes de determinada data, mas o E-time da entrada MFT indicava modificação posterior. A hipótese de leitura mudou de "arquivo excluído na data X" para "conteúdo do arquivo alterado após a exclusão lógica", o que fez toda a diferença na conclusão. Para análise de documentos ofimáticos, os metadados do Office contêm campos como Created, Modified, Print Date, Revision Number e Application. Cross-check esses valores entre o documento .docx e os artefatos do sistema. Um arquivo com data de criação de 2018 mas application_version igual a Microsoft Office 365 Version 2308 já levanta uma bandeira vermelha imediata. Documente essa divergência na hipótese de leitura com a evidência correspondente.
Armazenando e organizando a hipótese de leitura
Uma hipótese de leitura não é um palpite solto. Ela precisa ser registrada de forma estruturada para que outro perito consiga reproduzir o raciocínio. O formato que eu uso consiste em três partes: afirmação, fonte e nível de confiança. Cada conclusão recebe uma nota explicando qual artefato a sustentou e por que outras explicações foram descartadas. Isso transforma a análise em algo auditável. Na prática, crio uma planilha com colunas para artefato, campo extraído, valor convertido para UTC, observação sobre confiabilidade, conflito identificado e conclusão parcial. Quando o volume de dados é maior, migro para um banco SQLite com tabelas normalizadas. Funciona bem porque permite queries para cruzar eventos entre fontes distintas sem depender de software proprietário.
👉 Clique no botão abaixo para saber mais sobre o assunto!
Para extração em larga escala, a combinação mais estável que tenho usado envolve o libyal do projeto libyal combinado com scripts Python que consomem output XML/CSV padronizado. Não é o método mais rápido do mercado, mas é reproduzível e não depende de licença. Se o ambiente é corporativo e o orçamento permite, soluções comerciais entregam resultados em menos tempo, mas o custo de lock-in e a dificuldade de auditar o pipeline interno são desvantagens reais.
Quando a hipótese de leitura falha e o que fazer nesses casos
A hipótese de leitura depende da integridade das fontes. Se o sistema de arquivos foi comprometido, os timestamps podem ter sido alterados por ferramentas como Timestomp ou scripts PowerShell especializados. Nesse cenário, a confiança em MAC times cai drasticamente. O que eu faço é buscar confirmação externa. Logs de domínio, backup de servidor, emails enviados, metadados de arquivos na nuvem e logs de aplicação fornecem âncoras temporais independentes do sistema de arquivos local. Um problema específico que encontrei foi com imagens de disco criadas a partir de VMs onde o hypervisor fazia snapshot automático a cada 15 minutos. Os arquivos de snapshot criavam entradas MFT com timestamps que pareciam indicar atividade em horários impossíveis. A solução foi identificar o padrão de periodicidade nos timestamps, mapear quais partições correspondiam aos snapshots e excluir essas entradas da linha do tempo principal, mantendo-as como contexto separado no relatório.
Outro cenário comum: discos com setor de boot corrompido e sistema de arquivos RAW. Nesse caso, a hipótese de leitura tradicional baseada em estrutura NTFS perde eficácia. A alternativa é recorrer à análise estocástica de carvões e magic bytes para identificar tipos de arquivo recuperados, combinada com análise de conteúdo sem depender de metadados de sistema de arquivos. O resultado é menos preciso temporalmente, mas ainda produz hipóteses defensáveis se você deixar claro no relatório o nível de incerteza. Hardware com relógio defeituoso também gera distorções. Já vi casos em que o BIOS marcava datas anos à frente devido a bateria CMOS fracassada. A correção exige referência a eventos externos conhecidos, como datas de instalação de software registradas em logs de evento do Windows ou certificados digitais presentes nos arquivos. Sem âncora externa, a data do hardware sozinha é inútil para construção de linha do tempo.
Documentação e apresentação da hipótese de leitura
Relatórios periciais precisam transformar a hipótese de leitura em algo que um leigo consiga acompanhar sem perder a precisão técnica. O formato que adotei inclui uma seção dedicada chamada Hipótese de Leitura onde cada afirmação relevante é acompanhada de: artefato examinado, hash de verificação, extração realizada, conversão horária aplicada, alternativa considerada e motivo de rejeição. Essa estrutura evita acusações de seletividade na análise. Para anexos técnicos, incluo extrações brutas em formatos abertos (CSV, JSON, XML) com colunas claramente nomeadas. Evito screenshots de interfaces de software como prova única. Um print mostra o que a ferramenta exibiu, mas não garante que a extração foi correta. Hash SHA-256 de arquivos de saída e log de comando executed são o mínimo aceitável para repetibilidade.
Se o objetivo é compartilhar a metodologia com outras equipes, um repositório Git com scripts de extração, templates de planilha de hipótese de leitura e exemplos de relatórios anonimizados funciona melhor do que documentação estática em PDF. A atualização de ferramentas e técnicas é frequente o suficiente para que manuais impressos ou documentos fixos fiquem desatualizados em poucos meses. A hipótese de leitura é, no fundo, um exercício de pensamento crítico aplicado a dados incompletos e frequentemente contraditórios. Nenhuma ferramenta substitui a capacidade de questionar fontes, buscar confirmação cruzada e registrar claramente o raciocínio. O resto é detalhe de implementação.
