Capítulo 21 — Perícia digital e análise de malware: modelos de sistema
Mapa da aula
Aula 21 publicada. Mapa, exemplo, EX061.
flowchart TD
N0["21.1 Por que modelar primeiro"]
N1["21.2 Mapear perguntas para fontes"]
N2["21.3 Dependências"]
N3["21.4 Lacunas"]
N4["21.5 Fronteiras de confiança"]
N5["21.6 Modelo vivo"]
N6["21.7 Compartilhar o modelo"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX061"]
Desenho lógico
flowchart LR
N0["21.1 Por que modelar primeiro"]
N1["21.2 Mapear perguntas para fontes"]
N2["21.3 Dependências"]
N3["21.4 Lacunas"]
N4["21.5 Fronteiras de confiança"]
N5["21.6 Modelo vivo"]
N6["21.7 Compartilhar o modelo"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX061"]
[21.1 Por que modelar primeiro]
|
v
[21.2 Mapear perguntas para fontes]
|
v
[21.3 Dependências]
|
v
[21.4 Lacunas]
|
v
[21.5 Fronteiras de confiança]
|
v
[21.6 Modelo vivo]
|
v
[21.7 Compartilhar o modelo]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX061]
Objetivos de aprendizagem
Você vai (1) modelar o ambiente da ws-114 como um sistema de componentes e fluxos de dados; (2) identificar onde cada pergunta investigativa pode ser respondida; (3) mapear as fontes de evidência para as perguntas; (4) encontrar lacunas antes da análise.
21.1 Por que modelar primeiro
Antes de mergulhar nos artefatos, Leah esboça o sistema: usuário, estação de trabalho, serviço de e-mail, proxy, provedor de identidade, compartilhamento de arquivos, internet. Setas mostram os fluxos de dados. O modelo lhe diz onde deveriam existir evidências sobre cada pergunta. Sem um modelo, os peritos tendem a começar pelos artefatos que conhecem melhor e a esquecer fontes em que não pensam. Para a ws-114, o modelo mostrou que o provedor de identidade e a caixa de correio faziam parte do incidente, não só a estação de trabalho, o que levou ao login estrangeiro e à regra de encaminhamento. Desenhar as setas leva minutos e orienta dias de trabalho.
21.2 Mapear perguntas para fontes
P1 (como foi comprometida): gateway de e-mail, histórico do navegador, proxy, artefatos de arquivos e processos do endpoint. P2 (o que o malware fez): persistência no endpoint, memória, análise estática de update.dll. P3 (dados levados): volumes do proxy, logs de identidade, regras da caixa de correio, logs de acesso ao compartilhamento de arquivos. P4 (outros sistemas): logs de firewall, proxy e identidade de outros hosts e contas. Algumas fontes respondem a várias perguntas: o proxy contribui para P1, P3 e P4. Isso faz dele a primeira fonte a verificar e a conferir quanto ao relógio, já que um erro ali afetaria três respostas de uma vez. A P3 depende em parte de logs do compartilhamento de arquivos que, como mostra a parte seguinte, não estavam disponíveis.
21.3 Dependências
Algumas respostas dependem de outras: identificar os destinos de rede do malware (P2) permite à equipe buscar nos logs do proxy outros hosts que os contataram (P4). Na ws-114 a dependência era real: a análise estática de update.dll apontou para cdn-update.example.org, e buscar esse domínio nos logs do proxy foi como a equipe conferiu os outros hosts. Registrar as dependências ajuda a planejar a ordem do trabalho. Tarefas que destravam outras, como identificar os destinos da DLL, são feitas primeiro, enquanto tarefas independentes podem correr em paralelo com membros diferentes da equipe. A equipe de Grace usa a lista para distribuir o trabalho em cada reunião matinal.
21.4 Lacunas
O registro de acesso ao compartilhamento de arquivos estava desabilitado para as pastas dos estudantes. A P3 pode ser respondida só em parte quanto aos dados do compartilhamento; Leah anota a lacuna agora, em vez de descobri-la na hora de escrever o laudo. Declarar a lacuna cedo muda o trabalho: a equipe procura outras evidências sobre o acesso a arquivos, como volumes de upload no proxy ou contagens de encaminhamento da caixa de correio, em vez de supor que a pergunta pode ser respondida. Isso também alimenta as recomendações depois, já que habilitar o registro do compartilhamento de arquivos é um dos controles que o laudo propõe. Os leitores do laudo final veem a lacuna descrita com as mesmas palavras com que foi registrada pela primeira vez.
21.5 Fronteiras de confiança
O modelo marca onde os dados saem do controle da universidade — o site de login falso, o endereço externo de encaminhamento —, porque as evidências além dessas fronteiras exigem outros caminhos. O site de login falso é operado pelo atacante, então seus logs estão fora de alcance; as evidências sobre ele vêm do lado da universidade, como os registros do proxy sobre o POST. O endereço externo de encaminhamento pertence a outro provedor, a quem só se poderia pedir informações por vias legais. Marcar essas fronteiras diz à equipe de Grace onde terminam suas próprias evidências e onde seriam necessários pedidos a terceiros.
21.6 Modelo vivo
À medida que as evidências chegam, o modelo é atualizado: uma conexão recém-descoberta com cdn-update.example.org acrescenta uma seta. Manter o modelo atualizado significa conferir cada nova constatação com ele: ela se encaixa numa seta existente, ou revela um fluxo que ninguém esperava? A conexão com cdn-update.example.org acrescentou um caminho da ws-114 até a internet que explicou de onde veio update.dll. Leah data cada versão do diagrama para que o laudo possa mostrar como o entendimento evoluiu durante a investigação.
21.7 Compartilhar o modelo
O diagrama vai para o arquivo do caso e é revisado com a equipe de Grace. Revisar o diagrama com as pessoas que operam os sistemas revela erros, como uma fonte de log ausente ou um fluxo de dados que não existe. O administrador de rede de Grace observa que um software configurado para contornar o proxy chegaria à internet diretamente, então esse tráfego apareceria nos logs do firewall, mas não nos do proxy. O diagrama ganha uma seta da ws-114 passando pelo firewall, e Leah acrescenta a exportação do firewall à sua busca pelos endereços dos dois domínios.
Exemplo resolvido
A matriz de evidências de Leah tem as perguntas como linhas e as fontes como colunas, com cada célula marcada como disponível, parcial ou ausente. A célula P3/compartilhamento de arquivos diz "ausente (registro desligado)". Grace usa a matriz para pedir cedo ao provedor de e-mail os logs de auditoria da caixa de correio, antes que a retenção expire.
Caso sintético. O modelo é inventado.
Erros e limites
Os modelos refletem o que a equipe sabe; sistemas desconhecidos (um celular pessoal, um dispositivo não gerenciado) não aparecem até serem descobertos.
Exercícios
- EX061 — Fontes para a P3. Quais fontes tratam dos dados levados? Rubrica: 3 = volumes do proxy, logs de identidade, regras da caixa de correio, logs do compartilhamento de arquivos; 2 = duas; 1 = uma; 0 = nada.
- EX062 — Dependência. Como a P2 ajuda a responder à P4? Rubrica: 3 = destinos do malware buscados em outros hosts; 2 = parcial; 1 = vago; 0 = nada.
- EX063 — Pedido antecipado. Por que Grace pediu cedo os logs de auditoria da caixa de correio? Rubrica: 3 = antes que a retenção do provedor expire; a matriz mostrou a necessidade; 2 = parcial; 1 = hábito; 0 = nada.
Síntese
Um modelo do sistema e uma matriz de evidências mostram onde estão as respostas, o que depende do quê e quais lacunas tratar cedo.
Continue estudando — capítulo 21 de 40
← Capítulo 20 (rascunho) · Índice de capítulos do curso · Capítulo 22 (rascunho) →