Capítulo 25 — Laboratório I
Mapa da aula
Aula 25 publicada. Mapa, exemplo, EX073.
flowchart TD
N0["25.1 Preparação do laboratório"]
N1["25.2 Primeiro passo: verificar"]
N2["25.3 Exame estruturado"]
N3["25.4 Notas"]
N4["25.5 Segurança"]
N5["25.6 Conferência por um colega"]
N6["25.7 Gestão do tempo"]
N7["Familiaridade com as ferramentas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX073"]
Desenho lógico
flowchart LR
N0["25.1 Preparação do laboratório"]
N1["25.2 Primeiro passo: verificar"]
N2["25.3 Exame estruturado"]
N3["25.4 Notas"]
N4["25.5 Segurança"]
N5["25.6 Conferência por um colega"]
N6["25.7 Gestão do tempo"]
N7["Familiaridade com as ferramentas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX073"]
[25.1 Preparação do laboratório]
|
v
[25.2 Primeiro passo: verificar]
|
v
[25.3 Exame estruturado]
|
v
[25.4 Notas]
|
v
[25.5 Segurança]
|
v
[25.6 Conferência por um colega]
|
v
[25.7 Gestão do tempo]
|
v
[Familiaridade com as ferramentas]
|
v
[Exemplo resolvido] --> [Exercício EX073]
Objetivos de aprendizagem
Você vai (1) preparar uma estação de trabalho pericial segura no laboratório; (2) verificar uma imagem antes da análise; (3) fazer um primeiro exame estruturado; (4) manter as notas de laboratório dentro do padrão.
25.1 Preparação do laboratório
O laboratório de ensino usa estações de trabalho offline com ferramentas validadas, um bloqueador de escrita para mídias físicas e armazenamento para imagens sintéticas. O acesso à internet fica desabilitado nas máquinas de análise. Os exercícios ligados a malware usam máquinas virtuais isoladas com snapshots. Cada elemento protege algo. As estações offline impedem que um arquivo suspeito chegue à internet se for aberto por engano. As ferramentas validadas dão resultados confiáveis. Os snapshots permitem devolver uma VM a um estado limpo depois de cada exercício. Leah confere a ficha de preparação do laboratório no início de cada sessão e anota as versões das ferramentas que vai usar.
25.2 Primeiro passo: verificar
Leah recebe uma cópia sintética de treinamento da imagem da ws-114 com o SHA-256 da aquisição. Ela calcula o hash da sua cópia: confere. Ela registra data, hora, ferramenta e resultado nas suas notas antes de fazer qualquer outra coisa. Verificar primeiro significa que cada constatação posterior se apoia numa cópia sabidamente igual ao original. Se os hashes tivessem divergido, ela pararia, relataria a divergência e pediria uma nova cópia em vez de prosseguir. Registrar o resultado antes de qualquer análise também mostra a ordem do seu trabalho, o que importa se alguém perguntar depois se a cópia foi alterada durante o exame.
25.3 Exame estruturado
Ela segue uma lista de verificação: layout das partições; versão do sistema operacional e configurações de fuso horário; contas de usuário; atividade recente na janela do incidente; locais de persistência; pasta de downloads; histórico do navegador; logs de eventos. Cada item registra as constatações ou "nada encontrado", com a fonte. Começar pelo layout das partições e pelas configurações do sistema operacional estabelece os fatos de que dependem todas as constatações posteriores, como o fuso horário e o desvio do relógio. Registrar "nada encontrado" é tão importante quanto registrar constatações: mostra que um local foi conferido. O exemplo resolvido mostra as notas dela seguindo essa ordem, com os horários ao lado de cada passo.
25.4 Notas
As notas são contemporâneas, datadas e registram ações e observações separadamente. As capturas de tela são nomeadas e referenciadas. Separar ações de observações significa que o leitor consegue distinguir o que Leah fez ("abriu a run key no visualizador do registro") do que ela viu ("o valor Updater aponta para rundll32 update.dll"). Misturá-las torna difícil julgar o que foi observado diretamente. Capturas de tela nomeadas pelo número da constatação, como F6, ligam cada imagem à sua linha nas notas e ao laudo. Leah escreve as notas enquanto trabalha, nunca depois.
25.5 Segurança
Arquivos suspeitos são exportados apenas para arquivos compactados protegidos por senha na VM de análise isolada, nunca abertos na estação de exame. Arquivos compactados protegidos por senha impedem que o arquivo seja aberto por acidente e que algumas ferramentas de segurança o apaguem. Mantê-lo na VM isolada significa que, mesmo se fosse aberto, ele não alcançaria outras máquinas. No exemplo resolvido, a nota de Leah sobre a run key termina com "Não aberto", o que registra que ela seguiu essa regra para update.dll na primeira passagem.
25.6 Conferência por um colega
Um colega revisa as notas dela contra a lista de verificação e repete duas constatações de forma independente. Repetir duas constatações de forma independente testa se as notas de Leah são completas o bastante para que outra pessoa as siga. Se o colega não conseguir reproduzir uma constatação a partir das notas, falta algo nelas, mesmo que a constatação esteja correta. As divergências são registradas e resolvidas, e a nota do laboratório dá crédito a esse processo, não só às constatações. No laboratório de Leah, o colega repetiu a run key e a listagem de Downloads e confirmou ambas, mas percebeu que a nota dela sobre o histórico do navegador não nomeava o perfil examinado; ela o acrescentou.
25.7 Gestão do tempo
As sessões de laboratório têm tempo marcado; os itens não concluídos são listados para a próxima sessão, não adivinhados. Adivinhar sob pressão de tempo é como constatações sem sustentação entram nos laudos. Listar os itens não concluídos, como "logs de eventos das 09:30 às 10:00 ainda não revisados", torna a lacuna visível e permite que a próxima sessão comece onde esta terminou. Num caso real, o mesmo hábito impede que um prazo transforme uma pergunta em aberto numa afirmação confiante, mas não testada. A lista de Leah para a próxima sessão é a primeira coisa que ela lê quando volta a se sentar.
Familiaridade com as ferramentas
Antes de usar uma ferramenta na imagem de treinamento, Leah lê a documentação e a executa numa imagem sintética minúscula cujo conteúdo ela conhece. Se a saída da ferramenta discordar do que ela plantou, ela investiga antes de confiar nela na imagem do caso, e anota a verificação.
Exemplo resolvido
As notas de Leah: "10:02 — SHA-256 da cópia verificado, confere com a aquisição. 10:10 — build do sistema operacional registrado; fuso horário configurado como UTC+0. 10:25 — Downloads: Q1_budget.xlsm e update.dll presentes. 10:40 — run key HKCU…\Run, valor 'Updater' → rundll32 update.dll. Não aberto."
Caso sintético. A imagem de treinamento é sintética.
Erros e limites
As listas de verificação garantem a cobertura dos locais conhecidos; artefatos novos podem estar em outro lugar.
Exercícios
- EX073 — Primeira ação. Qual é a primeira ação ao receber a imagem? Rubrica: 3 = verificar o hash contra a aquisição e registrar; 2 = parcial; 1 = navegar pelos arquivos; 0 = nada.
- EX074 — Arquivos suspeitos. Como os arquivos suspeitos são tratados no laboratório? Rubrica: 3 = exportados para arquivo protegido na VM isolada, nunca abertos na estação; 2 = parcial; 1 = abertos; 0 = nada.
- EX075 — Conferência por um colega. O que envolve a conferência por um colega? Rubrica: 3 = revisar as notas contra a lista; repetir duas constatações; 2 = parcial; 1 = revisão do texto; 0 = nada.
Síntese
Verifique primeiro, siga uma lista de verificação, mantenha notas adequadas, manuseie as amostras com segurança e faça seu trabalho ser conferido.
Continue estudando — capítulo 25 de 40
← Capítulo 24 (rascunho) · Índice de capítulos do curso · Capítulo 26 (rascunho) →