PALADIN: Distribuição Linux Forense da SUMURI para Triagem e Imagem de Mídias
PALADIN: Distribuição Linux Forense da SUMURI para Triagem e Imagem de Mídias
O Que Você Precisa Saber
O PALADIN é um sistema operacional Linux que inicia a partir de um pendrive USB. A inicialização foi modificada para que a mídia interna e a externa do computador examinado permaneçam inalteradas. A empresa SUMURI LLC, sediada em Delaware [EUA], desenvolve e distribui o PALADIN. A página oficial indica a versão 9.4.2 como versão atual em 29/10/2026. O examinador cria uma imagem forense, calcula o hash, busca arquivos e abre o caso no Autopsy no mesmo ambiente.
O Que É
O PALADIN é uma distribuição Linux forense baseada no Ubuntu. A versão 9 LTS usa Ubuntu 24.04 LTS. O PALADIN Toolbox, aplicativo próprio da distribuição, reúne imagem, clonagem, hash e montagem de dispositivos em uma interface gráfica sem linha de comando. A distribuição inclui o Autopsy e o The Sleuth Kit, além de ferramentas de código aberto em mais de 30 categorias: imagem e clonagem de disco, memória com Volatility 3, forense móvel e veicular, recuperação e carving de dados, análise de logs e e-mails, verificação de hash e revisão de metadados.
Para Que Serve
O PALADIN atende cinco tarefas:
[1] Aquisição de imagem forense de disco, partição ou volume.
[2] Clonagem de dispositivo para outro dispositivo.
[3] Triagem de computador ou mídia por conteúdo, nome de arquivo ou tipo MIME.
[4] Extração de espaço não alocado e de espaço livre para recuperação por carving.
[5] Análise da imagem no Autopsy, com geração de relatório.
O PALADIN inicia PCs e Macs com processador Intel. Macs com chip Apple Silicon recusam a inicialização do PALADIN. Macs com chip T2 e Secure Boot ativo também recusam a inicialização. Desativar manualmente o Secure Boot pode permitir a inicialização. Para Apple Silicon e T2, a SUMURI indica o RECON ITR.
Como Funciona
Preparação do Pendrive
A SUMURI disponibiliza a imagem ISO gratuitamente no site. O examinador confere o hash da ISO e grava a ISO no pendrive. A SUMURI recomenda o Balena Etcher. O Rufus exige o modo "DD Image" para evitar falhas de Secure Boot com mensagens como "Security Policy Violation" ou "SBAT self-check failed".
Passo a Passo de uma Aquisição
[1] Fazer cópia da chave de recuperação do BitLocker, quando o disco usar BitLocker.
[2] Ajustar o firmware do computador: Secure Boot e ordem de inicialização. A SUMURI orienta a documentar toda alteração.
[3] Iniciar em Live Session, Forensic Mode. A rede permanece desativada e nenhuma unidade é montada.
[4] Abrir o PALADIN Toolbox e conferir a data, a hora e o fuso. O fuso padrão é GMT. Os logs usam o relógio do computador.
[5] No módulo Imager, escolher a origem, o tipo de imagem, o destino e o rótulo.
[6] Marcar Verify after creation. O Toolbox calcula MD5 e SHA-1.
[7] Salvar os logs na unidade de destino escolhida pelo examinador.
[8] Abrir o Autopsy, criar o caso com o número e o nome do examinador, indicar o arquivo de imagem e configurar os módulos de ingestão.
Modos de Inicialização
Modo | Rede | Montagem de Unidades |
|---|---|---|
Live Session, Forensic Mode | Desativada | Nenhuma unidade montada; o Toolbox controla a montagem |
Live Session, Non-Forensic Mode | Ativada | Unidades internas, mídias e swap montadas |
Persistent Mode | Conforme o modo de base | Volume ext4 com rótulo writable ou casper-rw guarda configurações e arquivos entre sessões |
O manual orienta guardar no volume persistente configurações, notas e listas de palavras-chave. O manual orienta usar mídia externa para a evidência.
Formatos de Imagem
O Toolbox grava DD [bruto], EWF [.E01], EWF2 [.Ex01], SMART e DMG, além de clonagem de dispositivo. O manual também lista AFF e VHD entre os formatos aceitos. O módulo Image Converter converte um formato em outro. A opção Additional grava duas imagens em formatos diferentes na mesma operação. No destino FAT32, o tamanho máximo do segmento é de 2000 Mb.
Triagem pelo Módulo Find
O módulo Find busca conteúdo, nome de arquivo ou tipo MIME [assinatura do arquivo]. O examinador carrega lista de palavras-chave, escolhe o dispositivo ou os diretórios e define o destino dos resultados. A opção Copy Original copia os arquivos encontrados para o destino.
Edições e Custo
Edição | Conteúdo | Valor |
|---|---|---|
PALADIN | Ambiente completo, em arquivo ISO | Valor definido pelo usuário [name your price] |
PALADIN PRO | Pendrive Samsung Type-C com versões de 64 e 32 bits, partição extra de armazenamento e opção de incluir ISOs próprias | US$ 99 |
O uso comercial exige doação mínima de US$ 25 por usuário e por versão, conforme o manual. A página oficial repete o mínimo de US$ 25 para usuários corporativos.
Bloqueio de Escrita por Software e por Hardware
Bloqueador de escrita é o mecanismo que impede a gravação de dados no dispositivo examinado. O programa Computer Forensics Tool Testing [CFTT] do NIST publicou duas especificações separadas, uma para hardware e outra para software.
Critério | Bloqueador de Hardware | Bloqueador de Software |
|---|---|---|
Posição | Dispositivo conectado entre o computador e o dispositivo de armazenamento | Ferramenta que substitui ou monitora a interface de acesso ao disco |
Mecanismo | Intercepta e bloqueia comandos que modificam dados antes de chegarem ao dispositivo de armazenamento | Monitora comandos de entrada e saída enviados ao disco e intercepta comandos que modificam o disco |
Especificação do NIST | HWB, versão 1.0 em rascunho, de 29/10/2003, para interfaces ATA, SCSI, USB e FireWire | SWB, versão 3.0, de 01/09/2003, com escopo limitado à interface INT 13h do BIOS e com hardware fora do escopo |
Requisito central | Bloquear comandos modificadores e transmitir os demais | Bloquear comandos das categorias write, configuration e miscellaneous em drives protegidos; transmitir comandos das categorias read, control e information |
O PALADIN pertence à categoria software. A SUMURI descreve o mecanismo em dois pontos. O processo de inicialização modificado impede a montagem das mídias. O manual informa que as unidades conectadas durante a inicialização ou depois dela recebem proteção contra gravação. A página oficial anuncia um bloqueio de escrita integrado, sem hardware adicional.
As duas especificações do NIST datam de 2003. A especificação de software limita o escopo a ferramentas que usam a interface INT 13h do BIOS. A especificação de hardware assume um ambiente sem hostilidade. Nenhuma das duas descreve teste de sistema Linux de inicialização como o PALADIN. O manual do PALADIN informa que versões foram testadas pelo NIST. A publicação não localizou relatório do CFTT sobre o PALADIN.
O manual atribui a validação ao examinador. O Toolbox calcula MD5 e SHA-1 de volumes físicos ou lógicos, o que permite comparar os valores antes e depois da aquisição e salvar os logs no destino.
Limites e Cuidados
[1] O manual atribui ao examinador o teste de qualquer ferramenta antes do uso.
[2] O Secure Boot pode bloquear a inicialização do PALADIN PRO. A SUMURI descreve três caminhos: desativar o Secure Boot, usar a edição padrão com a opção de certificado de terceiros ou registrar uma chave MOK. A SUMURI restringe o registro de chave MOK a sistemas do examinador, ou a sistemas de evidência com autoridade forense e documentação.
[3] O BitLocker pode exigir a chave de recuperação após a alteração do firmware.
[4] O módulo Logical Imager decifra a partição BitLocker com a senha informada pelo examinador.
[5] O Persistent Mode exige espaço livre adicional além da instalação base.
Em Termos Simples
O PALADIN é um pendrive que inicia o computador num sistema próprio. O sistema próprio lê o disco do computador e o protege contra gravação. O examinador copia o disco para um arquivo, confere a cópia com um número de verificação [hash] e examina o arquivo em outro programa, o Autopsy. A proteção contra gravação do PALADIN opera por software. O manual atribui ao examinador a validação da ferramenta.
Glossário de Termos
Autopsy: plataforma de código aberto de análise forense digital com interface gráfica, desenvolvida pela Basis Technology.
BitLocker: recurso de cifragem de volume inteiro do Microsoft Windows.
Carving: técnica de recuperação de arquivos a partir de assinaturas de conteúdo no espaço bruto de uma mídia.
Hash: valor de tamanho fixo calculado a partir do conteúdo de um conjunto de dados.
Imagem Forense: arquivo que reproduz o conteúdo integral de um dispositivo de armazenamento, bit a bit.
Live Session: sessão de sistema operacional executada a partir de mídia removível, com a memória do computador como área de trabalho.
MIME: padrão de identificação de tipo de arquivo por assinatura de conteúdo.
Modo Persistente: modo de inicialização do PALADIN que usa um volume rotulado como writable ou casper-rw para guardar dados entre sessões.
Secure Boot: recurso do firmware UEFI que verifica a assinatura do software de inicialização.
Write Blocker: mecanismo de hardware ou software que bloqueia comandos de gravação enviados a um dispositivo de armazenamento.
Referências Bibliográficas
NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Hardware Write Blocker Device [HWB] Specification. Versão 1.0, rascunho. [S. l.]: NIST, 29 out. 2003. Disponível em: https://www.nist.gov/document/cftt-hwb-hardware-write-block-specs-version-10-draft. Acesso em: 29 out. 2026.
NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Software Write Block Tool Specification & Test Plan. Versão 3.0. [S. l.]: NIST, 1 set. 2003. Disponível em: https://www.nist.gov/document/cftt-swb-software-write-block-specs-version-30-final. Acesso em: 29 out. 2026.
SUMURI. PALADIN Version 9 Quick Start Guide. Magnolia: SUMURI LLC, 2026. Disponível em: https://sumuri.com/media/2026/03/Master-for-PALADIN-Version-9-Quick-Start-Guide-2026.pdf. Acesso em: 29 out. 2026.
SUMURI. PALADIN, Linux Forensic Suite. Magnolia: SUMURI LLC, 2026. Disponível em: https://sumuri.com/paladin/. Acesso em: 29 out. 2026.
profamr.org