Capítulo 2 — Sistemas computacionais
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX004.
flowchart TD
N0["2.1 Componentes"]
N1["2.2 Dados em repouso e em uso"]
N2["2.3 Firmware"]
N3["2.4 Efeitos da inicialização"]
N4["2.5 Efeitos do desligamento"]
N5["2.6 Periféricos"]
N6["2.7 Nuvem"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX004"]
Desenho lógico
flowchart LR
N0["2.1 Componentes"]
N1["2.2 Dados em repouso e em uso"]
N2["2.3 Firmware"]
N3["2.4 Efeitos da inicialização"]
N4["2.5 Efeitos do desligamento"]
N5["2.6 Periféricos"]
N6["2.7 Nuvem"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX004"]
[2.1 Componentes]
|
v
[2.2 Dados em repouso e em uso]
|
v
[2.3 Firmware]
|
v
[2.4 Efeitos da inicialização]
|
v
[2.5 Efeitos do desligamento]
|
v
[2.6 Periféricos]
|
v
[2.7 Nuvem]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX004]
Objetivos de aprendizagem
Você vai (1) descrever as partes de um sistema computacional; (2) explicar onde os dados residem em repouso e em uso; (3) relacionar componentes a fontes de evidência; (4) descrever os efeitos da inicialização e do desligamento.
2.1 Componentes
Processador, memória, armazenamento, firmware, dispositivos de entrada e saída e interfaces de rede. Cada um guarda ou transmite dados de que um perito pode precisar. Na ws-114, cada componente sugere uma pergunta: o processador e a memória mostram o que estava em execução, o disco mostra o que estava armazenado e quando, o firmware registra as configurações de inicialização e o relógio, e a interface de rede mostra com quais hosts a máquina conversou. Listar primeiro os componentes ajuda o perito a planejar a coleta para que nada seja esquecido ou destruído pela ordem do trabalho.
2.2 Dados em repouso e em uso
Em repouso, os dados ficam em discos, cartões de memória flash e armazenamento em nuvem. Em uso, vivem na RAM, nos caches do processador e nos buffers de rede. A RFC 3227 pede que os coletores trabalhem do mais volátil para o menos volátil, porque os dados em uso desaparecem depressa. Na ws-114, isso significa capturar a memória antes de tudo, já que o processo que executa update.dll só existe na RAM enquanto a máquina está ligada. O disco continuará lá depois da captura, mas uma reinicialização apagaria a lista de processos e qualquer código descompactado na memória.
2.3 Firmware
O firmware BIOS ou UEFI inicia a máquina e pode guardar configurações como a ordem de inicialização e a hora do relógio. Os peritos costumam registrar o relógio do firmware em comparação com uma referência para calcular a defasagem. Suponha que o relógio do firmware marque 10:02 quando um relógio de referência marca 10:00. Todo carimbo de tempo do relógio local dessa máquina está então cerca de dois minutos adiantado, e o perito subtrai essa defasagem ao montar uma linha do tempo com outras fontes, como registros de servidor. Registrar a defasagem no momento da coleta é o único meio confiável, porque relógios derivam e podem ser reajustados depois.
2.4 Efeitos da inicialização
Inicializar normalmente, a partir do próprio disco, um computador apreendido grava registros, atualiza carimbos de tempo e pode executar tarefas de limpeza. É por isso que os peritos geram a imagem do disco através de um bloqueador de escrita ou inicializam a partir de uma mídia externa confiável. Um bloqueador de escrita repassa ao disco os comandos de leitura, mas bloqueia as escritas, de modo que a imagem corresponde ao disco tal como foi apreendido. O perito registra o modelo do bloqueador e o testa antes do uso. Os hashes do disco calculados antes e depois da aquisição devem coincidir, o que mostra que o processo não alterou nada.
2.5 Efeitos do desligamento
Um desligamento normal descarrega os caches e pode apagar arquivos temporários; cortar a energia preserva o estado do disco, mas perde a memória. A escolha entre os dois é uma decisão documentada, baseada no caso. Na ws-114, a memória já tinha sido capturada, então cortar a energia para preservar o estado do disco era a melhor opção: um desligamento normal poderia ter deixado o malware executar tarefas de limpeza ao sair. As anotações de Grace registram a hora em que a energia foi cortada e o motivo, para que leitores posteriores entendam eventuais lacunas na evidência do disco.
2.6 Periféricos
Pendrives, impressoras e celulares conectados a um computador deixam registros no hospedeiro, como históricos de conexão de dispositivos. No Windows, esses registros aparecem no registro do sistema e nos logs de instalação, com os números de série dos dispositivos e os horários da primeira e da última conexão. Se um pendrive foi conectado à ws-114 durante a janela do incidente, seu número de série liga o hospedeiro a esse dispositivo, que depois pode ser rastreado até uma pessoa. O perito registra quais artefatos foram verificados, para que a ausência de registros tenha significado.
2.7 Nuvem
Alguns dados nunca chegam ao armazenamento local; ficam com os provedores e exigem um procedimento legal para serem obtidos. Na ws-114, isso poderia incluir a caixa de correio da conta da vítima e os arquivos sincronizados com um serviço de nuvem da universidade. O próprio e-mail de phishing pode estar guardado apenas pelo provedor de e-mail. O perito lista essas fontes cedo, porque pedidos de preservação levam tempo e os provedores podem apagar dados após um período de retenção. Pedir ao provedor que preserve os registros é uma etapa separada de obtê-los, e muitas vezes vem primeiro.
Exemplo resolvido
O escritório de segurança da universidade, chefiado pela fictícia Grace Lin, encontra uma estação de um laboratório estudantil, a ws-114, com comportamento estranho. Um técnico quer reiniciá-la "para ver se ela se resolve sozinha". Grace o impede: a memória pode guardar evidências do que está em execução, e uma reinicialização altera o disco. Ela registra a tela, desconecta o cabo de rede e pede a captura da memória conforme o procedimento de incidentes.
Caso sintético. A ws-114 e o incidente são inventados.
Erros e limites
Isolar uma máquina pode disparar comportamentos em alguns malwares; registre a hora e a ação para que os efeitos possam ser interpretados.
Exercícios
- EX004 — Risco da reinicialização. Por que Grace impediu a reinicialização? Rubrica: 3 = memória perdida, disco alterado; 2 = um; 1 = lentidão; 0 = nada.
- EX005 — Relógio do firmware. Por que registrar o relógio do firmware em comparação com uma referência? Rubrica: 3 = calcular a defasagem dos carimbos de tempo; 2 = parcial; 1 = inventário; 0 = nada.
- EX006 — Dados em nuvem. Como os dados que só existem na nuvem costumam ser obtidos? Rubrica: 3 = junto ao provedor, por procedimento legal; 2 = parcial; 1 = a partir do disco; 0 = nada.
Síntese
Cada componente guarda evidências de volatilidade diferente; as ações num sistema ligado devem ser escolhidas e registradas.
Continue estudando — capítulo 02 de 40
← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →