Capítulo 19 — Perícia digital e análise de malware: escopo e teoria
Mapa da aula
Aula 19 publicada. Mapa, exemplo, EX055.
flowchart TD
N0["19.1 Definições"]
N1["19.2 Base científica"]
N2["19.3 Modelos de processo"]
N3["19.4 Abordagens de análise de malware"]
N4["19.6 Escopo deste livro"]
N5["19.7 Contexto profissional"]
N6["Papéis numa investigação"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX055"]
Desenho lógico
flowchart LR
N0["19.1 Definições"]
N1["19.2 Base científica"]
N2["19.3 Modelos de processo"]
N3["19.4 Abordagens de análise de malware"]
N4["19.6 Escopo deste livro"]
N5["19.7 Contexto profissional"]
N6["Papéis numa investigação"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX055"]
[19.1 Definições]
|
v
[19.2 Base científica]
|
v
[19.3 Modelos de processo]
|
v
[19.4 Abordagens de análise de malware]
|
v
[19.6 Escopo deste livro]
|
v
[19.7 Contexto profissional]
|
v
[Papéis numa investigação]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX055]
Objetivos de aprendizagem
Você vai (1) definir perícia digital e análise de malware; (2) explicar a base científica das conclusões periciais; (3) descrever modelos de processo; (4) dizer o que a perícia não consegue fazer.
19.1 Definições
A perícia digital aplica métodos científicos para identificar, coletar, preservar, examinar, analisar e relatar evidências digitais. A análise de malware determina o que um programa suspeito faz, como ele persiste e com o que se comunica. As duas atividades se encontram no caso da ws-114. A perícia estabelece o que aconteceu na estação de trabalho e nos logs: o e-mail, a visita à página falsa, a run key. A análise de malware pergunta para que update.dll foi feito, o que explica por que certos vestígios existem e onde mais procurar. Uma informa a outra, e o laudo mantém suas constatações claramente identificadas.
19.2 Base científica
As conclusões periciais se apoiam em conhecimento testado sobre como os sistemas se comportam, aplicado com métodos documentados. Casey (2011) enfatiza formular hipóteses e testá-las contra as evidências, incluindo as alternativas. Para Leah, o conhecimento testado inclui o experimento de prefetch do capítulo de métodos de pesquisa: agora ela pode dizer como seu build do sistema operacional registra as execuções do rundll32 porque mediu isso. Onde não existe esse conhecimento para um artefato, ela diz isso e trata qualquer conclusão tirada dele como mais fraca. Testar alternativas é o mesmo hábito aplicado às explicações: cada uma é conferida com as evidências antes que uma seja preferida.
19.3 Modelos de processo
A NIST SP 800-86 descreve coleta, exame, análise e relato. A ISO/IEC 27043 estabelece processos de investigação da prontidão ao encerramento. Ambas enfatizam a documentação em cada etapa. Os modelos diferem em escopo. A SP 800-86 se concentra nas etapas técnicas depois que os dados estão em mãos, enquanto a ISO/IEC 27043 acrescenta a prontidão antes dos incidentes e o encerramento depois deles. Para a ws-114, prontidão teria significado logs centralizados e uma retenção antes da reinstalação da imagem, as lacunas encontradas antes; encerramento significa arquivar o caso e suas evidências conforme a tabela de retenção. Leah usa os dois modelos como lista de verificação de etapas, não como sequência rígida.
19.4 Abordagens de análise de malware
Sikorski e Honig (2012) descrevem a análise estática — examinar uma amostra sem executá-la — e a análise dinâmica — executá-la num laboratório controlado para observar seu comportamento. Os estudantes começam com técnicas estáticas e seguras em amostras sintéticas. A análise estática de update.dll pode mostrar suas importações, strings embutidas e estrutura sem nenhum risco de ela ser executada. A análise dinâmica mostraria seus contatos de rede e alterações de arquivos, mas exige um laboratório isolado, um procedimento aprovado e supervisão. O trabalho estático vem primeiro porque é seguro e muitas vezes responde a perguntas suficientes para orientar o resto, como qual domínio a amostra contata.
19.5 Limites
A perícia reconstrói eventos a partir de vestígios; ela pode mostrar que uma conta fez algo num sistema, raramente quem estava fisicamente presente. Vestígios ausentes deixam lacunas que devem ser declaradas, não preenchidas com suposições. Para a ws-114, as evidências mostram que a conta s.kaur estava conectada quando a planilha disparou a cadeia da DLL, não que s.kaur tenha pessoalmente clicado em algo. Também existem lacunas: os logs de acesso ao compartilhamento de arquivos estavam desligados, então não é possível determinar se arquivos foram levados das pastas compartilhadas. Leah escreve essas lacunas como limitações no laudo em vez de adivinhar, porque o leitor pode agir com base em qualquer afirmação que ela faça.
19.6 Escopo deste livro
O resto do curso acompanha a investigação da ws-114 da primeira evidência ao laudo final. Cada capítulo seguinte dá um passo nessa investigação: modelar o sistema, inventariar os dados, buscar indicadores, analisar arquivos e memória, verificar resultados e, por fim, escrever e defender o laudo. As mesmas evidências sintéticas são reutilizadas do começo ao fim, para que as melhorias de método possam ser vistas contra uma linha de base conhecida. As decisões de Leah aparecem com seus motivos, inclusive as que ela revisa depois, para que os leitores possam acompanhar como as constatações se formaram.
19.7 Contexto profissional
Os peritos trabalham em laboratórios policiais, empresas, consultorias e universidades; as normas valem para todos. Os ambientes diferem no marco legal e em quem recebe o laudo: um laboratório policial escreve para os tribunais, uma empresa para sua gestão e possivelmente para reguladores, o escritório de segurança de uma universidade para sua própria direção. Os métodos ensinados aqui, cópias verificadas, passos documentados e conclusões calibradas, servem a todos eles. O trabalho de Leah em Harrowgate é uma investigação interna, mas ela escreve como se ele pudesse um dia ser examinado por um perito externo.
Papéis numa investigação
Os primeiros a responder preservam a cena; os peritos adquirem e examinam; os analistas interpretam; os revisores conferem. Em equipes pequenas uma pessoa pode acumular vários papéis, mas o registro mostra qual papel foi exercido em cada ação, para que os revisores possam acompanhar a responsabilidade.
Exemplo resolvido
Grace pede a Leah que formule as perguntas da investigação: (1) Como a ws-114 foi comprometida? (2) O que o malware fez? (3) Algum dado foi levado? (4) Outros sistemas foram afetados? Cada uma será respondida com evidências e limites declarados.
Caso sintético. As perguntas são inventadas.
Erros e limites
Modelos de processo são referenciais; investigações reais voltam a etapas anteriores à medida que surgem novas evidências.
Exercícios
- EX055 — Estática vs. dinâmica. Contraste a análise estática e a dinâmica. Rubrica: 3 = sem executar vs. execução controlada; 2 = parcial; 1 = invertidas; 0 = nada.
- EX056 — Limite pericial. O que a perícia raramente consegue mostrar? Rubrica: 3 = quem estava fisicamente presente; 2 = parcial; 1 = nada; 0 = sem resposta.
- EX057 — Perguntas. Liste as quatro perguntas da investigação da ws-114. Rubrica: 3 = como foi comprometida, o que o malware fez, dados levados, outros sistemas; 2 = três; 1 = uma; 0 = nada.
Síntese
A perícia digital é ciência aplicada com processos definidos e limites honestos; a análise de malware é uma de suas ferramentas.
Continue estudando — capítulo 19 de 40
← Capítulo 18 (rascunho) · Índice de capítulos do curso · Capítulo 20 (rascunho) →