Capítulo 28 — Perícia digital e análise de malware: análise de falhas
Mapa da aula
Aula 28 publicada. Mapa, exemplo, EX082.
flowchart TD
N0["28.1 Análise de causa raiz"]
N1["28.2 Fatores contribuintes"]
N2["28.3 Falhas da investigação"]
N3["28.4 Revisão sem culpa"]
N4["28.5 Registro de lições"]
N5["28.6 Acompanhamento"]
N6["28.7 Compartilhamento"]
N7["Linha do tempo da resposta"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX082"]
Desenho lógico
flowchart LR
N0["28.1 Análise de causa raiz"]
N1["28.2 Fatores contribuintes"]
N2["28.3 Falhas da investigação"]
N3["28.4 Revisão sem culpa"]
N4["28.5 Registro de lições"]
N5["28.6 Acompanhamento"]
N6["28.7 Compartilhamento"]
N7["Linha do tempo da resposta"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX082"]
[28.1 Análise de causa raiz]
|
v
[28.2 Fatores contribuintes]
|
v
[28.3 Falhas da investigação]
|
v
[28.4 Revisão sem culpa]
|
v
[28.5 Registro de lições]
|
v
[28.6 Acompanhamento]
|
v
[28.7 Compartilhamento]
|
v
[Linha do tempo da resposta]
|
v
[Exemplo resolvido] --> [Exercício EX082]
Objetivos de aprendizagem
Você vai (1) analisar por que o incidente teve sucesso usando métodos de causa raiz; (2) distinguir causas raiz de sintomas; (3) analisar as falhas da própria investigação; (4) registrar as lições.
28.1 Análise de causa raiz
Perguntar "por quê?" repetidas vezes leva do sintoma à causa. Por que a ws-114 foi comprometida? Uma macro rodou. Por quê? As macros de arquivos da internet eram permitidas. Por quê? A política era anterior aos recursos de marcação de arquivos vindos da internet e nunca foi revisada. A causa raiz é uma política não revisada, não o usuário. Parar em "uma macro rodou" levaria a uma correção estreita; parar em "o usuário clicou" levaria à culpa. Seguir a cadeia até a política não revisada aponta para uma correção que protege todos os usuários. A análise também mostra por que a política nunca foi revisada, o que pode revelar uma lacuna na forma como a universidade gerencia as configurações de segurança ao longo do tempo.
28.2 Fatores contribuintes
A MFA por push sem correspondência de números, o registro do compartilhamento de arquivos desligado e a reinstalação noturna da imagem, que poderia ter destruído evidências, foram fatores contribuintes. Os fatores contribuintes não iniciaram o incidente, mas o agravaram ou o tornaram mais difícil de investigar. A MFA por push sem correspondência de números deixou o login das 10:02 ter sucesso. O registro desligado deixou a P3 parcialmente sem resposta. A reinstalação noturna quase apagou as evidências do endpoint. Cada um é registrado para que sua correção seja acompanhada junto com a da causa raiz, em vez de esquecida quando a correção principal estiver feita.
28.3 Falhas da investigação
A própria investigação teve problemas: a primeira nota da equipe exagerou uma conclusão; a exportação do log do proxy cobriu inicialmente só uma hora; uma ferramenta exibia a hora local. Cada um é registrado. Registrar os problemas da própria investigação faz parte de uma prática honesta. A exportação de uma hora do proxy não teria pegado o download das 09:31:02 se não tivesse sido ampliada. A exibição em hora local causou a discordância de uma hora entre as ferramentas. Nenhum desses problemas mudou as constatações finais, mas cada um poderia ter mudado, e cada um levou a uma lição no registro abaixo.
28.4 Revisão sem culpa
As revisões se concentram em sistemas e decisões, não em indivíduos, para que as pessoas relatem os problemas com honestidade. Se o analista que exportou só uma hora de logs fosse culpado, o próximo analista poderia esconder um erro semelhante. Uma revisão sem culpa pergunta por que a janela de exportação era estreita demais, talvez porque o formulário de solicitação tinha um padrão de uma hora, e corrige isso. O objetivo é que os problemas sejam relatados cedo, quando são baratos de corrigir. A equipe de Grace escreve sua revisão em termos de etapas do processo, nunca de nomes.
28.5 Registro de lições
Cada lição tem um responsável e um prazo: revisar a política de macros anualmente; padronizar as janelas de exportação de logs; configurar as ferramentas para exibir UTC. Responsáveis e prazos transformam lições em tarefas. "Padronizar as janelas de exportação de logs" vira uma mudança no formulário de solicitação de exportação, sob responsabilidade do administrador de logs, com prazo de um mês. "Configurar as ferramentas para exibir UTC" vira uma configuração no padrão do laboratório. O registro é revisado na reunião mensal da equipe de Grace, onde os itens atrasados são discutidos e recebem um novo prazo ou são escalados.
28.6 Acompanhamento
As lições são conferidas depois para confirmar que foram implementadas. Para a política de macros, acompanhar significa repetir o teste com a macro sintética depois da mudança e registrar o resultado. Para a janela de exportação, significa conferir se as próximas exportações usam o novo padrão. Uma lição registrada, mas nunca conferida, pode não ter sido implementada, e o mesmo problema pode aparecer no próximo caso. O registro de Grace tem uma coluna para o resultado do acompanhamento, preenchida só depois de feita a conferência, com a data e a evidência de que a mudança funciona.
28.7 Compartilhamento
As lições vão para a equipe de TI mais ampla e, anonimizadas, para o curso. O compartilhamento mais amplo espalha o benefício: a equipe de TI pode conferir outras políticas que também podem estar desatualizadas, e os estudantes aprendem com um caso realista. A anonimização remove nomes e detalhes que poderiam identificar o usuário ou revelar fraquezas remanescentes. Para o curso, o caso da ws-114 já é sintético, então pode ser usado livremente como exemplo de ensino. Num caso real, Grace pediria ao encarregado de proteção de dados que confirmasse a versão anonimizada antes que ela saísse do escritório de segurança.
Linha do tempo da resposta
Leah também monta uma linha do tempo da própria resposta: alerta às 09:35, chamado aberto às 09:50, ws-114 isolada às 10:20, credenciais redefinidas às 11:30, regra de encaminhamento removida às 11:42. As lacunas entre os passos mostram onde a resposta poderia ser mais rápida; os quase noventa minutos entre a tomada da conta às 10:02 e a redefinição às 11:30 permitiram que o encaminhamento continuasse.
Exemplo resolvido
O diagrama de causa raiz de Leah para a lacuna de evidências: "Por que o acesso ao compartilhamento de arquivos é desconhecido? Registro desligado. Por quê? Desabilitado anos atrás por custo de armazenamento. Por que não foi revisto? Não há responsável pelas decisões de registro." Recomendação: designar um responsável pela política de registro, com revisão anual.
Caso sintético. A análise é inventada.
Erros e limites
Os "cinco porquês" podem parar cedo demais ou seguir um só ramo; desenhe vários ramos quando houver várias causas.
Exercícios
- EX082 — Causa raiz. Qual foi a causa raiz de a macro ter rodado? Rubrica: 3 = política de macros não revisada; 2 = parcial; 1 = o usuário; 0 = nada.
- EX083 — Falha da investigação. Cite duas falhas da própria investigação. Rubrica: 3 = nota exagerada, exportação curta de logs, exibição em hora local; 2 = uma; 1 = vago; 0 = nada.
- EX084 — Sem culpa. Por que usar a revisão sem culpa? Rubrica: 3 = estimula relatos honestos; foco nos sistemas; 2 = parcial; 1 = só gentileza; 0 = nada.
Síntese
Remonte os incidentes e os problemas da investigação às causas raiz, designe responsáveis e faça o acompanhamento.
Continue estudando — capítulo 28 de 40
← Capítulo 27 (rascunho) · Índice de capítulos do curso · Capítulo 29 (rascunho) →