De acordo com a RFC 3227, que define diretrizes para coleta e arquivamento de evidências, a ordem de volatilidade das evidências deve ser considerada em uma coleta, iniciando-se pela mais volátil e seguindo até a menos volátil. Segundo essa RFC, a ordem deve ser:
- A)Tabela de roteamento, cache ARP, tabela de processo, estatísticas do kernel, memória - Registros, cache - Sistemas de arquivos temporários - Disco - Registro remoto e dados de monitoramento relevantes - Configuração física, topologia de rede - Mídias externas;
Errada, porque coloca a tabela de roteamento e outros dados de memória antes de registros e caches, invertendo a ordem de volatilidade da RFC.
- B)Registros, cache - Tabela de roteamento, cache ARP, tabela de processo, estatísticas do kernel, memória - Sistemas de arquivos temporários - Disco - Registro remoto e dados de monitoramento relevantes - Mídias externas - Configuração física, topologia de rede;
Errada, porque começa por registros e caches, mas depois embaralha a sequência ao colocar a tabela de roteamento e a memória antes dos elementos mais voláteis do grupo seguinte.
- C)Configuração física, topologia de rede - Registros, cache - Tabela de roteamento, cache ARP, tabela de processo, estatísticas do kernel, memória - Sistemas de arquivos temporários - Disco - Registro remoto e dados de monitoramento relevantes - Mídias externas;
Errada, porque traz configuração física e topologia de rede no início, quando esses dados são menos voláteis e devem ficar quase no final da coleta.
- D)Registro remoto e dados de monitoramento relevantes - Registros, cache - Tabela de roteamento, cache ARP, tabela de processo, estatísticas do kernel, memória - Sistemas de arquivos temporários - Disco - Configuração física, topologia de rede - Mídias externas;
Errada, porque coloca registros remotos e dados de monitoramento antes de memória e caches, contrariando a ordem correta de preservação do mais volátil para o menos volátil.
- E)Registros, cache - Tabela de roteamento, cache ARP, tabela de processo, estatísticas do kernel, memória - Sistemas de arquivos temporários - Disco - Registro remoto e dados de monitoramento relevantes - Configuração física, topologia de rede - Mídias externas.
Certa, porque segue a ordem de volatilidade da RFC 3227, começando por registros e caches e terminando com mídias externas.
Gabarito: E
A RFC 3227 trata da ordem de volatilidade na coleta de evidências digitais. A lógica é simples: primeiro você preserva o que some mais rápido, depois vai descendo para o que é mais estável. Em investigação, isso importa porque uma ação mal colocada pode apagar justamente a prova mais valiosa. Pense como se estivesse fotografando uma cena em que as pegadas estão sendo apagadas pela chuva: você começa pelo que vai desaparecer primeiro. A ordem indicada pela RFC começa por registros e caches, porque eles são extremamente voláteis. Em seguida vêm tabela de roteamento, cache ARP, tabela de processos, estatísticas do kernel e memória, que também mudam o tempo todo. Depois aparecem os sistemas de arquivos temporários, o disco, e só então os registros remotos e dados de monitoramento relevantes. Por fim, vêm a configuração física, a topologia de rede e, por último, as mídias externas, que são as menos voláteis. É exatamente isso que a alternativa E reproduz. Ela respeita a ideia central da RFC 3227: coletar primeiro o que desaparece rápido e deixar por último o que tende a permanecer estável. Na prática forense, isso ajuda a reduzir perda de prova e aumenta a confiabilidade da coleta. Em prova, a banca costuma trocar a posição de itens que parecem próximos na volatilidade, especialmente memória, disco e logs remotos. Então vale decorar a sequência geral e, principalmente, a lógica de preservação do mais frágil para o mais resistente.