Capítulo 22 — Perícia digital e análise de malware: dados e dependências
Mapa da aula
Aula 22 publicada. Mapa, exemplo, EX064.
flowchart TD
N0["22.1 Inventário"]
N1["22.2 Proveniência"]
N2["22.3 Dependências de confiabilidade"]
N3["22.4 Ordem de coleta"]
N4["22.5 Completude"]
N5["22.6 Integridade"]
N6["22.7 Formatos"]
N7["Dados derivados"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX064"]
Desenho lógico
flowchart LR
N0["22.1 Inventário"]
N1["22.2 Proveniência"]
N2["22.3 Dependências de confiabilidade"]
N3["22.4 Ordem de coleta"]
N4["22.5 Completude"]
N5["22.6 Integridade"]
N6["22.7 Formatos"]
N7["Dados derivados"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX064"]
[22.1 Inventário]
|
v
[22.2 Proveniência]
|
v
[22.3 Dependências de confiabilidade]
|
v
[22.4 Ordem de coleta]
|
v
[22.5 Completude]
|
v
[22.6 Integridade]
|
v
[22.7 Formatos]
|
v
[Dados derivados]
|
v
[Exemplo resolvido] --> [Exercício EX064]
Objetivos de aprendizagem
Você vai (1) inventariar os conjuntos de dados de evidência; (2) registrar sua proveniência; (3) entender como a confiabilidade de um conjunto de dados afeta os outros; (4) planejar a ordem de coleta.
22.1 Inventário
Os dados do caso da ws-114: imagem de disco (SHA-256 registrado), captura de memória, mensagem de e-mail com cabeçalhos, logs do proxy das 09:00 às 12:00, logins de s.kaur no provedor de identidade ao longo de sete dias, log de auditoria da caixa de correio, logs do firewall. Cada entrada lista fonte, responsável pela coleta, horário, hash e formato. O inventário é o índice da investigação: cada constatação posterior cita uma entrada pelo seu identificador. Registrar o formato importa porque algumas exportações são texto e outras são proprietárias, e o revisor precisa saber qual ferramenta as lê. Sete dias de logins, em vez de só o dia do incidente, permitem à equipe procurar atividades suspeitas anteriores na conta de s.kaur.
22.2 Proveniência
De onde veio cada conjunto de dados, quem o exportou e como? Os logs do proxy exportados por um administrador pelo console são registrados com o nome desse administrador, a consulta de exportação e o horário. Se os logs do proxy fossem questionados depois, o nome do administrador, a consulta e o horário da exportação permitiriam a alguém reproduzir a exportação e comparar. Uma exportação de origem desconhecida, talvez enviada por e-mail sem anotações, seria muito mais fraca. Leah pede os detalhes de proveniência no momento em que recebe os dados, porque eles são difíceis de reconstruir semanas depois.
22.3 Dependências de confiabilidade
As linhas do tempo combinam fontes; se o relógio do proxy estiver errado, todo horário derivado do proxy estará errado. Leah confere o relógio de cada fonte: o proxy está sincronizado com a hora da rede; a ws-114 estava 47 segundos atrasada. Conferir o relógio de cada fonte é rápido quando feito cedo e caro quando feito tarde. Um proxy sincronizado com a hora da rede pode servir de referência para comparar os horários do endpoint. Se o provedor de identidade usasse outro fuso horário na exportação, seus horários estariam deslocados em horas inteiras, o que Leah confere procurando um evento que apareça tanto no log de identidade quanto no proxy, como uma requisição da página de login.
22.4 Ordem de coleta
Dados voláteis e com prazo primeiro: memória (já capturada), logs de identidade (retenção de 30 dias), auditoria da caixa de correio (90 dias), depois as fontes menos urgentes. O princípio de volatilidade da RFC 3227 se estende naturalmente aos prazos de retenção. Os logs de identidade, com retenção de 30 dias, eram a exportação mais urgente depois da memória: se a investigação tivesse esperado um mês, o login estrangeiro das 10:02 teria sido apagado. O log de auditoria da caixa de correio, com 90 dias, deixava mais tempo, mas foi coletado na mesma semana. Leah lista a retenção de cada fonte ao lado da data de coleta para mostrar que nada corria risco de expirar.
22.5 Completude
Cada exportação registra a consulta e o intervalo de tempo para que as lacunas fiquem visíveis; "logs do proxy das 09:00 às 12:00" significa que nada fora dessa janela foi examinado. Uma constatação de que nenhum outro host contatou os indicadores vale apenas para os logs pesquisados. Se o domínio tivesse sido contatado às 12:30, fora da exportação das 09:00 às 12:00, a busca não o encontraria. Leah anota a janela ao lado de cada resultado negativo e pede uma exportação mais ampla quando uma pergunta depende de atividade posterior, como saber se o malware voltou a contatar seu servidor depois do isolamento.
22.6 Integridade
Cada arquivo exportado recebe um hash no recebimento. Calcular o hash no recebimento registra o estado do arquivo quando chegou a Leah; qualquer alteração posterior aparece como divergência. O hash vai para a entrada do inventário, ao lado dos detalhes da exportação. Quando um arquivo é passado a outro perito, quem o recebe calcula o hash de novo e compara, o que mostra que a transferência não o alterou. É o mesmo princípio aplicado à imagem de disco, estendido a toda exportação de log, por menor ou mais rotineira que ela pareça.
22.7 Formatos
Os formatos nativos são mantidos junto com qualquer versão convertida. Converter um log proprietário para CSV facilita a análise, mas pode perder campos ou mudar formatos de hora. Manter o arquivo nativo permite ao revisor voltar ao original se uma conversão for questionada. Leah registra a ferramenta de conversão e sua versão e confere à mão algumas linhas convertidas com o arquivo nativo. Se um campo foi descartado, ela anota isso para que os leitores posteriores saibam o que falta no CSV e possam voltar ao arquivo nativo.
Dados derivados
Alguns dados são produzidos pela equipe: CSVs analisados, linhas do tempo, laudos. Cada arquivo derivado registra quais entradas e qual versão de script o produziram, para que qualquer número possa ser regenerado a partir das fontes originais se for questionado.
Exemplo resolvido
Ao combinar os horários do proxy e do endpoint, Leah primeiro soma 47 segundos aos horários da ws-114. Sem correção, a run key marca 09:30:20, antes do download da DLL registrado pelo proxy às 09:31:02; com a correção, o download a precede em alguns segundos, uma sequência que faz sentido.
Caso sintético. O inventário é inventado.
Erros e limites
Os registros de proveniência dependem da honestidade e do cuidado de quem exporta os dados; fontes independentes ajudam a fazer a verificação cruzada.
Exercícios
- EX064 — Campos do inventário. Liste os campos registrados para cada conjunto de dados. Rubrica: 3 = fonte, responsável pela coleta, horário, hash, formato; 2 = três; 1 = um; 0 = nada.
- EX065 — Efeito do relógio. O que aconteceu quando os horários da ws-114 não foram corrigidos? Rubrica: 3 = a run key apareceu antes do download; ordem impossível; 2 = parcial; 1 = nada; 0 = sem resposta.
- EX066 — Prioridade de coleta. Por que coletar os logs de identidade antes dos logs do firewall? Rubrica: 3 = retenção menor, expiram primeiro; 2 = parcial; 1 = aleatório; 0 = nada.
Síntese
Inventário, proveniência e conferência dos relógios tornam confiável a análise combinada; colete primeiro o que expira.
Continue estudando — capítulo 22 de 40
← Capítulo 21 (rascunho) · Índice de capítulos do curso · Capítulo 23 (rascunho) →