UFPA | MINISTÉRIO PÚBLICO DO ESTADO DO PARÁ | SATF
SATF Auditabilidade e Triagem Forense
Início Fundamentação Painel Operacional Entrar

Trabalho de Conclusão de Curso · Universidade Federal do Pará (UFPA)

Detecção Automatizada de Adulteração em Documentos Digitais Submetidos como Prova Eletrônica no Ministério Público Utilizando Modelos de Linguagem e Análise Forense Multivetorial

SATF — Sistema de Auditabilidade e Triagem Forense: aplicação prática que submete provas eletrônicas a uma análise forense multivetorial automatizada, preservando a cadeia de custódia e emitindo uma Ficha de Triagem Técnica auditável.

Curso
Pós-Graduação Lato Sensu — Curso de Especialização em Sistemas de Segurança Integrada da Informação e Cibersegurança
Unidade
Universidade Federal do Pará (UFPA)
Instituto de Tecnologia (ITEC)
Programa de Especialização em Sistemas de Segurança Integrada da Informação e Cibersegurança
Autor
Jorgyvan Braga Lima
Orientador
Prof. Dr. Allan Douglas Bento da Costa — UFPA
Órgão beneficiário
Ministério Público do Estado do Pará — MPPA (Promotorias de Justiça, GAECOs, GSI e Núcleos de Apoio Técnico-Pericial)

Proposta ao Ministério Público do Estado do Pará

Um Forensic Triage Engine para mitigar o gargalo pericial

Promotorias, GAECOs e Núcleos de Apoio Técnico-Pericial recebem volumes crescentes de PDFs, digitalizações, contratos e e-mails apresentados como prova. A verificação manual de cada arquivo é lenta e a perícia oficial é um recurso escasso. O SATF realiza a triagem técnica automatizada: classifica o risco de adulteração e aponta, de forma explicável, onde o perito deve concentrar a análise — sem substituir o laudo oficial (CPP, art. 159).

  1. 01 · RECEBIMENTO

    Isolamento WORM

    Upload autenticado; o vestígio é gravado uma única vez, em modo somente leitura, sem possibilidade de sobrescrita ou exclusão.

  2. 02 · FIXAÇÃO

    Hash duplo

    BLAKE3 (alta vazão em lote) e SHA-256 (interoperabilidade com Judiciário e Polícia Federal), em leitura única por blocos de 64 KB.

  3. 03 · PROCESSAMENTO

    Análise em 3 vetores

    Estrutural (ISO 32000), visual (ELA/DCT) e semântico (NLP/LLM local), executados em segundo plano por workers Celery.

  4. 04 · ARMAZENAMENTO

    FTT em PDF/A

    Ficha de Triagem Técnica com hashes, escores, achados justificados, trilha de custódia e assinatura técnica verificável por QR code.

Fundamentação teórico-jurídica

Cadeia de custódia, normas técnicas e validade científica

Pacote Anticrime — CPP, arts. 158-A a 158-F

Lei nº 13.964/2019

Positivou a cadeia de custódia: o conjunto de procedimentos que documenta a história cronológica do vestígio, da coleta ao descarte.

  • 158-A — conceito de cadeia de custódia e de vestígio.
  • 158-B — as dez etapas: reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte.
  • 158-C — coleta preferencialmente por perito oficial; vedada a entrada em locais isolados e a remoção de vestígios sem autorização.
  • 158-D — acondicionamento em recipiente lacrado, que preserve as características do vestígio.
  • 158-E — centrais de custódia para guarda e controle dos vestígios.
  • 158-F — após a perícia, o material retorna à central de custódia.

No SATF: cada etapa gera um evento append-only encadeado por SHA-256 (estrutura de ledger), tornando qualquer adulteração do histórico detectável.

ABNT NBR ISO/IEC 27037 e 27042

Evidência digital — 2013 e 2018

  • 27037:2013 — diretrizes para identificação, coleta, aquisição e preservação de evidência digital. Princípios de auditabilidade, repetibilidade, reprodutibilidade e justificabilidade.
  • 27042:2018 — diretrizes para análise e interpretação: métodos validados, documentação do raciocínio e possibilidade de reexame independente.

No SATF: o original nunca é alterado; o motor é determinístico, versionado e registra parâmetros, tempos e justificativas de cada achado.

Critérios Daubert e rejeição de “caixas-pretas”

Daubert v. Merrell Dow Pharmaceuticals (1993)

  • A técnica pode ser (e foi) testada?
  • Foi submetida à revisão por pares?
  • Tem taxa de erro conhecida ou estimável?
  • Existem padrões que controlam sua aplicação?
  • Goza de aceitação geral na comunidade científica?

No SATF: explicabilidade (XAI) por construção — cada ponto do escore remete a um achado com peso, evidência, trecho e referência bibliográfica ou normativa.

Arquitetura multivetorial

Três camadas analíticas independentes, uma fusão explicável

ENTRADA

Vestígio digital

PDF, digitalizações (JPEG/PNG/TIFF), e-mails (.eml) e texto

SHA-256 ‖ BLAKE3 → WORM

VETOR 1 · peso 0,35

Sintático e Estrutural

ISO 32000 / hexadecimal · pikepdf + pdfminer.six

  • Atualizações incrementais ocultas (múltiplos %%EOF, /XRef, /Prev)
  • /CreationDate × /ModDate × XMP
  • Softwares de edição (iLovePDF, Canva, Photoshop…)
  • Conteúdo após assinatura digital (/ByteRange)
  • E-mail: cronologia Received e hash de corpo DKIM

VETOR 2 · peso 0,35

Visual e Documentoscópico

PyMuPDF + Pillow + OpenCV

  • Error Level Analysis (recompressão JPEG 90%)
  • Matriz DCT 8×8: inconsistência de quantização
  • Clonagem copy-move por blocos DCT
  • Assinaturas/carimbos colados com canal alfa
  • Mapas de calor para inspeção humana

VETOR 3 · peso 0,3

Semântico e NLP Forense

Camada nativa ou Tesseract OCR · LLM local (Ollama)

  • Anacronismos (ex.: “chave PIX” em documento de 2017)
  • Norma jurídica superveniente citada
  • CPF/CNPJ com dígito verificador inválido
  • Quebras de densidade lexical e de perplexidade

SAÍDA

Ficha de Triagem Técnica

PDF/A-2b com trilha de custódia, achados e assinatura HMAC verificável

Fusão probabilística ponderada

Sglobal = 0,35·Ssint + 0,35·Svis + 0,30·Ssem

BAIXO < 0,35 MÉDIO 0,35–0,70 CRÍTICO ≥ 0,70

Regras de precedência transparentes: um achado individual de peso ≥ 0,8 eleva o nível mínimo para MÉDIO; divergência de hash de custódia eleva para CRÍTICO.

Infraestrutura

Python 3.12 Django 5 PostgreSQL 16 Redis 7 Celery Docker Compose Nginx pikepdf · pdfminer.six PyMuPDF · OpenCV · Pillow Tesseract OCR BLAKE3 · SHA-256 ReportLab · Ghostscript (PDF/A) Ollama (LLM local, opcional)

Processamento 100% local: nenhum vestígio é enviado a serviços externos, inclusive o modelo de linguagem, que roda no próprio servidor.