Embora simples, o comando dd no Linux é de grande uso na computação forense, pois está presente mesmo nas distribuições mais simples e permite a cópia de dados com grande flexibilidade. A respeito do comando dd, é correto afirmar que:
- A)ele é a opção mais recomendada para cópia do conteúdo de dispositivos de armazenamento, pois automaticamente comprime os dados de forma segura e eficiente, poupando espaço no dispositivo de destino;
Errada: o dd não comprime dados automaticamente nem é o mais recomendado por esse motivo; ele faz cópia bruta, e compressão só existiria com outros comandos ou encadeamentos.
- B)executando o comando "dd if=/dev/hdb of=inicio.raw bs=512K", serão copiados os primeiros 512 kB do dispositivo "hdb" no arquivo "inicio.raw" na pasta corrente;
Errada: bs=512K define o tamanho do bloco, não o total copiado, então o comando não limita a cópia aos primeiros 512 kB do dispositivo.
- C)com o comando "dd if=/dev/zero of=/dev/sda1", todo o conteúdo do dispositivo de destino será sobrescrito com o caractere "0" (ASCII 0x30);
Errada: /dev/zero gera bytes zero (0x00), e não o caractere '0' (ASCII 0x30); além disso, o comando sobrescreveria a partição com zeros, o que é destrutivo.
- D)para se realizar uma cópia integral do conteúdo do dispositivo "sda" em um arquivo binário de nome "img.dd" na pasta "/media", deve ser utilizado o comando "dd if=/dev/sda of=/media/img.dd";
Certa: esse comando cria uma imagem binária do dispositivo /dev/sda no arquivo /media/img.dd, que é exatamente a forma clássica de uso do dd em cópia forense.
- E)os operandos "if" e "of" são opcionais, sendo os comandos "dd if=/dev/hda of=/dev/sdb" e "dd /dev/hda /dev/sdb" equivalentes.
Errada: if e of não são opcionais nesse sentido, porque dd precisa saber explicitamente a entrada e a saída; sem eles, a sintaxe indicada fica incorreta.
Gabarito: D
O comando dd, no Linux, é um verdadeiro canivete suíço da computação forense. Ele copia dados em nível bruto, setor a setor, sem interpretar o conteúdo do arquivo ou do dispositivo, o que o torna muito útil para criar imagens forenses de discos, partições e mídias removíveis. A grande vantagem é a flexibilidade: você escolhe de onde vem a entrada (if) e para onde vai a saída (of), podendo trabalhar com discos inteiros, partições, arquivos e até dispositivos especiais como /dev/zero e /dev/null. Na prática forense, isso ajuda a preservar evidências com fidelidade, evitando alterações no conteúdo original.