Capítulo 24 — Perícia digital e análise de malware: controles | Graduação Perícia digital e análise de malware

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX070.

flowchart TD
  N0["24.1 O que funcionou"]
  N1["24.2 O que falhou"]
  N2["24.3 Recomendações baseadas em evidências"]
  N3["24.4 Priorização"]
  N4["24.5 Evitar excessos"]
  N5["24.6 Verificar os controles"]
  N6["24.7 Comunicação"]
  N7["Risco residual"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX070"]

Desenho lógico

flowchart LR
  N0["24.1 O que funcionou"]
  N1["24.2 O que falhou"]
  N2["24.3 Recomendações baseadas em evidências"]
  N3["24.4 Priorização"]
  N4["24.5 Evitar excessos"]
  N5["24.6 Verificar os controles"]
  N6["24.7 Comunicação"]
  N7["Risco residual"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX070"]

[24.1 O que funcionou]
    |
    v
[24.2 O que falhou]
    |
    v
[24.3 Recomendações baseadas em evidências]
    |
    v
[24.4 Priorização]
    |
    v
[24.5 Evitar excessos]
    |
    v
[24.6 Verificar os controles]
    |
    v
[24.7 Comunicação]
    |
    v
[Risco residual]
    |
    v
[Exemplo resolvido] --> [Exercício EX070]

Objetivos de aprendizagem

Você vai (1) identificar quais controles falharam ou funcionaram no incidente da ws-114; (2) recomendar controles com base nas evidências; (3) distinguir controles preventivos, detectivos e corretivos; (4) evitar recomendações que as evidências não sustentam.

24.1 O que funcionou

O proxy registrou as requisições (detectivo); o alerta de indicador disparou (detectivo); a segmentação impediu que a ws-114 alcançasse os servidores da equipe (preventivo); o escritório de segurança respondeu em poucas horas (corretivo). Listar o que funcionou não é autoelogio; identifica os controles a manter e financiar. O valor da segmentação é fácil de ignorar, porque seu sucesso é uma ausência: nenhum servidor da equipe foi alcançado. Os logs do proxy, que tornaram possível a linha do tempo, seriam um alvo óbvio de cortes de orçamento se seu papel neste caso não fosse registrado.

24.2 O que falhou

O gateway de e-mail entregou o phishing (preventivo falhou); o push de MFA do usuário foi aprovado (preventivo falhou); macros podiam rodar a partir de documentos baixados (lacuna preventiva); o registro do compartilhamento de arquivos estava desligado (lacuna detectiva). Cada falha corresponde a uma camada de controle: a filtragem do gateway, o método de MFA, a política de macros e a configuração de registro. Descrevê-las como lacunas de controle, e não como falhas pessoais, mantém a análise útil. A lacuna das macros é o elo mais direto da cadeia, já que Q1_budget.xlsm, salvo às 09:15:10, iniciou a sequência de EXCEL para cmd e para rundll32.

24.3 Recomendações baseadas em evidências

Bloquear macros em arquivos vindos da internet; trocar a MFA para correspondência de números, para reduzir a fadiga de push; habilitar os logs de acesso ao compartilhamento de arquivos; reter a reinstalação da imagem das máquinas com alerta. Cada uma se liga a uma constatação específica. Ligar cada recomendação a uma constatação permite aos tomadores de decisão ver por que ela importa e permite aos auditores conferir depois se ela resolveu o problema. A correspondência de números faz o usuário digitar um código mostrado na tela de login, o que um usuário que não iniciou o login não consegue fazer, então um push inesperado como o das 10:02 falharia.

24.4 Priorização

As recomendações são ordenadas por redução de risco e esforço. Bloquear macros da internet tem alto impacto e baixo esforço. Bloquear macros da internet teria interrompido a cadeia da ws-114 no seu primeiro passo executável e exige só uma mudança de política. Habilitar os logs do compartilhamento de arquivos é ainda mais barato, mas detecta em vez de prevenir. Trocar o método de MFA afeta todos os usuários e exige comunicação, então fica alto em impacto, mas médio em esforço. Leah apresenta a ordenação numa pequena tabela para que os tomadores de decisão vejam as contrapartidas de uma só vez.

24.5 Evitar excessos

As evidências não mostram que o usuário ignorou o treinamento, então "retreinar o usuário" não é recomendado como ação baseada em constatações; um lembrete geral de conscientização pode ser considerado à parte. Uma recomendação sem evidência que a sustente enfraquece o laudo, porque os leitores podem passar a duvidar das outras também. Ela também corre o risco de culpar a vítima de um ataque bem elaborado. Se o escritório de segurança quiser revisar o treinamento de conscientização, essa decisão pode ser tomada pelos próprios méritos, fora do laudo pericial. O laudo de Leah se atém aos controles que as evidências ligam ao incidente.

24.6 Verificar os controles

Depois das mudanças, testes confirmam que elas funcionam: um documento sintético com macro vindo da internet deve ser bloqueado. Testar com um documento sintético confirma que a política se aplica aos tipos de arquivo e às origens certas. O teste é registrado como qualquer outra evidência: data, arquivo usado, resultado esperado, resultado obtido. Sem o teste, a universidade poderia acreditar que estava protegida enquanto uma política mal configurada deixava as macros rodarem. Um teste semelhante para a correspondência de números usa uma conta de treinamento para confirmar que um push inesperado não pode ser aprovado.

24.7 Comunicação

As recomendações são escritas para os tomadores de decisão: o quê, por quê (constatação), esforço, responsável. Os tomadores de decisão raramente precisam de detalhes técnicos; precisam saber o que aprovar e por quê. Uma linha como "bloquear macros em arquivos da internet: interrompe a cadeia de ataque da ws-114 na etapa do documento; esforço de um dia; responsável: equipe de desktops" lhes dá isso. As evidências técnicas ficam no apêndice do laudo para quem quiser conferi-las. Cada linha do resumo traz o identificador da constatação em que se apoia, para que um gestor que duvide de uma recomendação possa pedir essa constatação e ver as evidências diretamente.

Risco residual

Depois das mudanças recomendadas, algum risco permanece: os atacantes ainda podem roubar credenciais com páginas convincentes, e surgem novos métodos de entrega. O laudo de Leah declara o risco residual com clareza, para que a direção não suponha que o problema está resolvido, e ela propõe uma revisão em seis meses.

Exemplo resolvido

A linha da tabela de Leah: "Constatação F3: a macro em Q1_budget.xlsm iniciou cmd e rundll32. Recomendação: bloquear macros em arquivos marcados como vindos da internet. Esforço: baixo (política). Responsável: equipe de desktops. Verificação: documento de teste sintético bloqueado."

Caso sintético. As constatações são inventadas.

Erros e limites

Os controles reduzem o risco; nenhum conjunto de controles torna os incidentes impossíveis.

Exercícios

EX070 — Controles que falharam. Cite dois controles preventivos que falharam.
Mostrar critérios de avaliação
Rubrica: 3 = gateway de e-mail, push de MFA (ou macros permitidas); 2 = um; 1 = vago; 0 = nada.
EX071 — Mudança na MFA. Que mudança na MFA foi recomendada, e por quê?
Mostrar critérios de avaliação
Rubrica: 3 = correspondência de números; reduzir aprovações por fadiga de push; 2 = parcial; 1 = remover a MFA; 0 = nada.
EX072 — Excesso. Por que "retreinar o usuário" não é uma recomendação baseada em constatações?
Mostrar critérios de avaliação
Rubrica: 3 = as evidências não mostram que o treinamento foi ignorado; 2 = parcial; 1 = é, sim; 0 = nada.

Síntese

Recomende controles que remontem às constatações, ordene-os, verifique-os e evite afirmações que as evidências não sustentam.

Continue estudando — capítulo 24 de 40

← Capítulo 23 (rascunho) · Índice de capítulos do curso · Capítulo 25 (rascunho) →