Plataforma / Tz0 Forensics

Módulo · investigação digital

Tz0 Forensics

Live forensics no posto de trabalho

O incidente já aconteceu. Agora alguém vai perguntar o que foi levado, por quem e quando — e a resposta tem de valer como prova, não como suspeita.

Pedir avaliação técnica

Ver como funciona

Recolha silenciosa e remota · evidência guardada no seu servidor

Rasto de blocos a sair de um posto de trabalho, com uma lupa sobre um deles

Cadeia de eventos

Um evento isolado não prova nada.

O valor não está no registo isolado, está na ordem: o que veio antes, o que veio depois e quanto tempo separou os dois. É a sequência reconstituída que transforma uma suspeita num relato que se sustenta fora do departamento de TI.

tz0.suaempresa.local/forensics/pesquisar

Captura da consola Tz0: 489 itens apagados em 10 minutos

Tz0 Forensics · consola web

Captura da consola, de um parque em operação. Identificação de máquina e de pessoa trocada; números intactos.

O que o módulo faz

O que aconteceu na máquina, reconstituído.

É o módulo mais sensível da plataforma e, por isso, o que mais exige processo: utilização definida em política, com âmbito e autorização — não vigilância genérica.

Live forensics

Rastreio instalável que regista a ação no posto de trabalho: alteração de ficheiros, navegação, uso de recursos e conversas em aplicações de mensagens.

Gravação de sessão

Vídeo segundo a segundo durante o uso de ferramentas financeiras, de contabilidade ou de acesso remoto, com pesquisa por data, hora, utilizador ou máquina.

Reconstrução do que foi apagado

Reconstrói ficheiros eliminados e identifica quem alterou, criou ou removeu pastas.

Alerta em tempo real

Aviso programável durante um evento de fraude, com captura de ecrã, vídeo e áudio anexados como evidência.

Localização de evidência

Análise programada de alterações de ficheiros, navegação e conversas, com acesso direto ou relatório em base de dados.

Recuperação de dados

Acesso a ficheiros eliminados, e-mails e histórico de navegação por leitura de setores do disco.

Engenharia reversa de palavras-passe

Reconstrução nativa de palavras-passe de mais de 300 mecanismos — navegador, FTP e cliente de e-mail — sem força bruta.

Evidência que sustenta processos

Recolha preservada e exportável para uso em processo judicial ou averiguação interna.

Como funciona

Da suspeita à prova exportável.

Cada etapa preserva a integridade do que foi recolhido — o valor da evidência está em não ter sido contaminada pelo caminho.

Consola

A investigação inteira no navegador.

Ecrã de pesquisa de atividade do Tz0 Forensics: a pesquisa pela palavra pagamento devolve 66 registos com o dispositivo, a pessoa, o programa e a janela de cada um — **Uma palavra, e o rasto aparece.** Pesquisa por “pagamento”: 66 registos, cada um com a máquina, a pessoa, o programa e o título da janela — aqui, “Microsoft Excel — Pagamentos 2026”. A investigação começa por um termo, não por um palpite sobre quem observar.

Captura da consola Tz0: Cada ecrã, por ordem — **Cada ecrã, por ordem.** Percorra captura a captura, veja um monitor de cada vez e exporte o excerto em PDF; o número verde mostra quantos excertos de texto o OCR leu nesse ecrã.

Captura da consola Tz0: Ruído fora da vista, nunca fora da conta — **Ruído fora da vista, nunca fora da conta.** 72% das eliminações eram build, cache e ficheiros temporários; ficam contadas aqui, e o que sobra é o que importa.

Ecrã de atividade de ficheiros em rede do Tz0 Forensics, com criações, substituições, renomeações e eliminações em pastas partilhadas — **E o que se moveu na rede.** 79 operações em pastas partilhadas na semana — criação, substituição, renomeação, eliminação — cada uma com a máquina, a pessoa, a hora e o caminho. O que acontece na partilha deixa de ser invisível.

Captura da consola Tz0: O que entrou e o que saiu pelo navegador — **O que entrou e o que saiu pelo navegador.** Em 7 dias, 207 transferências, 28 de risco e 3 envios prováveis de gravidade alta, entre eles um backup lido 161 mil vezes pelo navegador.

Captura da consola Tz0: Criou, renomeou, substituiu, apagou — **Criou, renomeou, substituiu, apagou.** 175 movimentações relevantes de uma pessoa, separadas por local, rede e pen USB, com alerta para ficheiros que passaram a executáveis ou perderam a extensão.

Captura da consola Tz0: Um backup inteiro lido pelo navegador durante 155 minutos — **Um backup inteiro lido pelo navegador durante 155 minutos.** O Tz0 não vê o site de destino pelo disco, mas mostra o ficheiro, o navegador e o horário — e indica que se confiram os URL do mesmo momento.

Captura da consola Tz0: Mudar de navegador não esconde — **Mudar de navegador não esconde.** O Tz0 acompanha 48 navegadores, do Chrome ao Tor, ao Arc e ao Comet; 37 deles não mexeram no disco nesta semana.

Ecrãs de um parque real em operação, não de um ambiente de demonstração. A identificação de pessoas e os nomes de clientes em caminhos de rede foram trocados por equivalentes genéricos antes da publicação; as miniaturas de sessão foram deixadas ilegíveis de propósito. Números, percentagens e interface estão intactos.

Visualização

O dia em ecrãs, com a conclusão pronta.

As capturas de todas as máquinas num painel: pico de utilização, a sessão que mais ecrãs gerou, os períodos sem uso e o ecrã atual de cada máquina.

Captura da consola Tz0: Um dia de ecrãs num painel — **Um dia de ecrãs num painel.** 2.020 capturas de 7 máquinas, com pico às 11h e a conclusão pronta: uma única sessão gerou 40% dos ecrãs do dia.

Captura da consola Tz0: A sessão contada em cinco linhas — **A sessão contada em cinco linhas.** O Tz0 aponta o site que mais tempo ficou no ecrã (70 ecrãs), o intervalo de 42 minutos sem uso e os 3 vídeos que uma regra gravou sozinha; a pesquisa encontra o momento e mostra os ecrãs dos 15 minutos antes e depois.

Captura da consola Tz0: O ecrã atual de cada máquina — **O ecrã atual de cada máquina.** 7 de 16 estão em direto; as outras 9 mostram há quantos dias a imagem não chega, de 13 a 1.540.

OCR

O texto do ecrã torna-se pesquisável.

Tudo o que apareceu no ecrã é lido e indexado. Palavras-passe visíveis, documentos confidenciais, categorias especiais de dados do RGPD e uso de IA tornam-se pesquisas prontas.

Captura da consola Tz0: O que apareceu no ecrã torna-se texto pesquisável — **O que apareceu no ecrã torna-se texto pesquisável.** 42,9 mil linhas lidas em 3.298 ecrãs num só dia, com 48 deteções prontas: 20 palavras-passe visíveis, 28 documentos confidenciais e 36 ecrãs de IA.

Captura da consola Tz0: Pesquisas prontas para o que importa — **Pesquisas prontas para o que importa.** Palavra-passe, cartão e chave de API a sair pelo ecrã; CPF, saúde e categorias especiais de dados do RGPD (art. 9.º); uso de IA; sinais de RH. Neste dia: 20 credenciais, 28 confidenciais, 36 ecrãs de IA.

Captura da consola Tz0: Encontrou uma palavra-passe no ecrã, mostra-a mascarada — **Encontrou uma palavra-passe no ecrã, mostra-a mascarada.** Cada deteção traz o excerto lido, quem, em que máquina e a ação: bloquear ou marcar para rever.

Nuvem

Quem está a levar ficheiros para fora.

O que o OneDrive sincroniza sozinho, separado do que a pessoa enviou pelo site, com uma nota de risco por pessoa e a VPN no mesmo quadro.

Captura da consola Tz0: Nota 22 em 100 para o risco de fuga de dados pela nuvem — **Nota 22 em 100 para o risco de fuga de dados pela nuvem.** O Tz0 separa o que o OneDrive sincroniza sozinho do que foi enviado pelo site, aponta a pessoa que passou da nota 40 e os 3 envios que saíram por outro caminho.

Captura da consola Tz0: Tudo o que passou pela nuvem, ficheiro a ficheiro — **Tudo o que passou pela nuvem, ficheiro a ficheiro.** 80 ficheiros no recorte, 2 de gravidade alta: ficheiros comprimidos que o próprio utilizador carregou para o OneDrive. Um filtro mostra só o que saiu do controlo da empresa.

Captura da consola Tz0: Uma nota por pessoa, com o motivo ao lado — **Uma nota por pessoa, com o motivo ao lado.** Quem carregou 16 ficheiros, 2 deles sensíveis, aparece primeiro com nota 40; VPN e envios fora do horário somam pontos.

Captura da consola Tz0: VPN e nuvem no mesmo quadro — **VPN e nuvem no mesmo quadro.** 4 máquinas ligaram a VPN na semana e nenhuma enviou ficheiros no mesmo dia; o parque tem instalado de tudo, de WireGuard e Tailscale a NordVPN e Proton.

Pesquisa de ficheiros

Onde o ficheiro nasceu, por onde passou, onde desapareceu.

Um termo de pesquisa devolve o caminho inteiro do ficheiro entre máquinas e pessoas, com a rotina posta de lado e a conclusão escrita.

Captura da consola Tz0: Procure “contrato” e veja o caminho inteiro — **Procure “contrato” e veja o caminho inteiro.** 10 eventos em 4 ficheiros, 3 máquinas e 3 pessoas: 3 de gravidade alta, 1 saiu da máquina e 4 foram apagados. 6 dos 16 eventos eram rotina e saíram da vista sozinhos.

Captura da consola Tz0: O produto escreve a conclusão: 1 ficheiro foi para uma pasta de nuvem sincronizada e sai sozinho da máquina; 4 foram apagados, verifique o backup — **O produto escreve a conclusão: 1 ficheiro foi para uma pasta de nuvem sincronizada e sai sozinho da máquina; 4 foram apagados, verifique o backup.** O rasto aponta a máquina onde cada nome apareceu primeiro.

Atividade de teclado

O que foi escrito, onde e quando.

Excertos escritos por programa, com pesquisas prontas para palavras-passe, ecrãs de início de sessão, capturas de ecrã coladas logo a seguir e escrita fora do horário.

Captura da consola Tz0: O produto lê o que foi escrito e aponta o risco — **O produto lê o que foi escrito e aponta o risco.** 6 excertos mencionam palavras-passe fora de editores de código; uma lista de palavras-passe foi escrita num ficheiro de texto aberto. 19% da escrita aconteceu antes das 7h ou depois das 19h.

Captura da consola Tz0: Pesquisas prontas para quem investiga — **Pesquisas prontas para quem investiga.** Em 6 dias, 1.436 excertos escritos em 47 programas: 6 mencionam palavras-passe, 41 foram escritos em ecrãs de início de sessão ou cofres e houve 26 capturas de ecrã, 7 delas coladas logo a seguir.

Inteligência artificial

Texto que entra e sai das ferramentas de IA.

Texto escrito ou colado em ferramentas de IA, verificado contra dados sensíveis. O tema tem página própria: governação de IA.

Captura da consola Tz0: O que vai para a IA, e o que vem dela — **O que vai para a IA, e o que vem dela.** Em 7 dias, 126 excertos escritos em ferramentas de IA, 39 colados de outros programas, nenhum com dados sensíveis; 4 vezes o texto da IA foi colado num documento.

Navegação

Tudo o que foi navegado, num só relatório.

Páginas, sites, categorias e risco por pessoa num relatório que sai em PDF com um clique.

Captura da consola Tz0: Dossiê de navegação pronto para a reunião — **Dossiê de navegação pronto para a reunião.** 7.833 páginas em 160 sites, 91% categorizadas, 8 sites de risco com 332 visitas e 5% dos acessos fora do horário. Um clique gera o PDF.

Captura da consola Tz0: Risco além da categoria: em 7 dias, 294 visitas a IA não homologada, 15 a nuvem pessoal, 13 a acesso remoto e 3 transferências de executáveis — **Risco além da categoria: em 7 dias, 294 visitas a IA não homologada, 15 a nuvem pessoal, 13 a acesso remoto e 3 transferências de executáveis.** O mapa marca a hora em que cada risco aconteceu.

Captura da consola Tz0: Uma nota de risco por pessoa, com o motivo ao lado — **Uma nota de risco por pessoa, com o motivo ao lado.** A mais alta, 83, vem de 83 visitas a IA não homologada em 1.080 páginas.

Cadeia de custódia

Do plano ao relatório pericial, com selo.

Cada investigação torna-se um caso com ciclo fechado. Cada passo entra numa cadeia de hashes, e o pacote entregue sai com os hashes para quem o recebe verificar.

Captura da consola Tz0: Cada investigação torna-se um caso com ciclo fechado: plano, preservação, exame, relatório pericial e encerramento — **Cada investigação torna-se um caso com ciclo fechado: plano, preservação, exame, relatório pericial e encerramento.** Cada passo entra numa cadeia de hashes, e nada do que a IA escreve entra no relatório como constatação.

Captura da consola Tz0: Caso encerrado, selado com SHA-256 — **Caso encerrado, selado com SHA-256.** O selo cobre cada ficheiro do cofre, o relatório e as evidências; o pacote de 3,1 MB sai com o hashes.sha256 para quem o recebe verificar, e fica guardado até 09/10/2028.

Captura da consola Tz0: Prova de que o cofre continua íntegro: 2 casos selados, 0 com integridade violada — **Prova de que o cofre continua íntegro: 2 casos selados, 0 com integridade violada.** O próprio painel avisa que 1 caso nunca foi verificado desde a selagem e que 1 não tem entrega registada.

O que muda na prática

Oito coisas que deixam de ser a palavra de um contra a de outro.

O que foi copiado, alterado ou apagado fica registado.

O ficheiro eliminado pode ser reconstruído.

A sessão no sistema financeiro tem vídeo, não só log.

O alerta de fraude chega durante o evento, não depois.

A evidência sai num pacote que sustenta um processo judicial.

A averiguação não depende de a máquina estar na mesa do perito.

A recolha corre sem alarmar quem está a ser investigado.

O âmbito da investigação fica documentado desde a abertura.

Acompanham o módulo

Três ferramentas no mesmo pacote.

Um relatório novo não se torna um projeto. Não fazemos desenvolvimentos à medida de um cliente, mas analisamos todos os pedidos: quando a necessidade serve o conjunto, o relatório entra no produto e chega a todos na atualização seguinte.

Tz0 EIS