Capítulo 29 — Perícia digital e análise de malware: operações
Mapa da aula
Aula 29 publicada. Mapa, exemplo, EX085.
flowchart TD
N0["29.1 Fluxo de trabalho"]
N1["29.2 Acompanhamento de tarefas"]
N2["29.3 Passagens de trabalho"]
N3["29.4 Acompanhamento das evidências"]
N4["29.5 Comunicação"]
N5["29.6 Carga de trabalho"]
N6["29.7 Encerramento"]
N7["Ferramentas de coordenação"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX085"]
Desenho lógico
flowchart LR
N0["29.1 Fluxo de trabalho"]
N1["29.2 Acompanhamento de tarefas"]
N2["29.3 Passagens de trabalho"]
N3["29.4 Acompanhamento das evidências"]
N4["29.5 Comunicação"]
N5["29.6 Carga de trabalho"]
N6["29.7 Encerramento"]
N7["Ferramentas de coordenação"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX085"]
[29.1 Fluxo de trabalho]
|
v
[29.2 Acompanhamento de tarefas]
|
v
[29.3 Passagens de trabalho]
|
v
[29.4 Acompanhamento das evidências]
|
v
[29.5 Comunicação]
|
v
[29.6 Carga de trabalho]
|
v
[29.7 Encerramento]
|
v
[Ferramentas de coordenação]
|
v
[Exemplo resolvido] --> [Exercício EX085]
Objetivos de aprendizagem
Você vai (1) descrever as operações de uma pequena equipe de investigação; (2) gerenciar o fluxo dos casos e as passagens de trabalho; (3) acompanhar evidências e tarefas; (4) comunicar a situação.
29.1 Fluxo de trabalho
A equipe de Grace usa etapas: entrada, triagem, coleta, exame, análise, revisão, relato, encerramento. Um quadro de casos mostra a etapa e o responsável de cada caso. As etapas tornam o progresso visível e impedem que passos sejam pulados: um caso não pode passar ao relato antes de a revisão ser feita. O quadro de casos permite a Grace ver de relance quais casos estão esperando e quem está com eles. Para a ws-114, o quadro mostrava o caso em análise enquanto a análise estática de update.dll ainda estava em andamento. Cada mudança de etapa é datada.
29.2 Acompanhamento de tarefas
Para a ws-114: coletar os logs de identidade (feito), pedir a auditoria da caixa de correio (feito), análise estática de update.dll (em andamento), buscar outros hosts (feito, nenhum encontrado), rascunhar o laudo (pendente). Cada tarefa tem uma situação, um responsável e uma data. O acompanhamento torna as dependências visíveis: o laudo espera pela análise estática, e é por isso que a P2 é respondida só em parte no Laboratório II. A busca por outros hosts fica marcada como feita, com seu resultado, para que ninguém a repita. As tarefas que não podem ser concluídas são encerradas com um motivo, em vez de ficarem abertas.
29.3 Passagens de trabalho
Quando terminam as horas de estágio de Leah, ela passa as tarefas a um analista da equipe com uma nota escrita: o que está feito, onde estão os resultados, o que falta, problemas conhecidos. Uma boa nota de passagem permite ao próximo analista continuar sem fazer perguntas. A nota de Leah lista os itens de evidência em que ela trabalhou, onde suas notas estão guardadas, as tarefas ainda abertas e os problemas, como a análise estática pendente. O analista que recebe assina para reconhecer a passagem, o que também atualiza os registros de custódia de qualquer evidência repassada.
29.4 Acompanhamento das evidências
Os itens de evidência têm IDs e locais; cada movimentação é registrada nos registros de custódia. Um ID como EV-007, da captura de memória, aparece no inventário, no registro de custódia e em cada constatação que o usa. Mover a evidência, por exemplo para outro servidor de armazenamento, é registrado com horário, pessoa e motivo. Quando o caso é encerrado, os registros mostram onde cada item foi parar e quem o teve por último. Se um item não for encontrado, esse fato é relatado, já que uma lacuna na custódia afeta todas as constatações que dependem do item. Conferências regulares do depósito de evidências contra os registros detectam esses problemas cedo.
29.5 Comunicação
Reuniões diárias rápidas durante incidentes ativos; um informe escrito ao CIO, em intervalos combinados, com fatos, perguntas em aberto e próximos passos. Os informes de situação separam os fatos das perguntas em aberto para que o CIO não confunda uma hipótese de trabalho com uma constatação. Para a ws-114, um informe inicial poderia dizer: "Confirmado: ws-114 comprometida via phishing; conta s.kaur acessada do exterior, regra de encaminhamento removida às 11:42. Em aberto: se outros dados foram levados." Seguem os próximos passos e seus responsáveis, com o horário do próximo informe.
29.6 Carga de trabalho
Os casos são priorizados pelo risco: um comprometimento ativo passa à frente de uma reclamação sobre política. O risco depende do que está em jogo agora: um comprometimento ativo pode ainda estar se espalhando, enquanto uma reclamação sobre política pode esperar um dia. Grace revisa as prioridades toda manhã. Quando chega um novo caso ativo, o trabalho de prioridade menor é pausado com uma nota, para que possa ser retomado sem problemas. Registrar a decisão ajuda a explicar os atrasos a quem espera pelos casos pausados e mostra que a escolha foi deliberada. Os casos pausados são revistos na reunião matinal seguinte.
29.7 Encerramento
Um caso é encerrado quando as perguntas são respondidas ou os motivos pelos quais não podem ser respondidas são documentados, as recomendações são entregues e a retenção das evidências é definida. Para a ws-114, o encerramento inclui declarar que o acesso ao compartilhamento de arquivos não pôde ser determinado porque o registro estava desligado. A retenção das evidências é definida conforme a política, e os dados pessoais que não são mais necessários são apagados. Um caso encerrado pode ser reaberto se surgirem novas evidências, e é por isso que seus registros e evidências são mantidos em ordem até o fim da retenção.
Ferramentas de coordenação
A equipe usa um sistema de chamados para as tarefas e um repositório de casos separado, com acesso controlado, para as evidências. Misturá-los exporia as evidências a todos que podem ver os chamados. Leah observa que os chamados se referem às evidências apenas pelo ID, nunca anexando arquivos, e que o acesso ao repositório de casos é revisto sempre que muda a composição da equipe. A regra está escrita nos procedimentos da equipe, para que os novos membros a sigam desde o primeiro dia.
Exemplo resolvido
O CIO pergunta às 14:00 se dados foram roubados. A nota de situação de Grace: "Sabido: a caixa de correio de s.kaur encaminhou 37 mensagens para fora entre 10:05 e 11:40; regra removida às 11:42. Desconhecido: acesso ao compartilhamento de arquivos (registro desligado). Próximo passo: revisar a lista de mensagens encaminhadas com a encarregada de proteção de dados."
Caso sintético. A situação é inventada.
Erros e limites
Informes de situação sob pressão correm o risco de exagerar a certeza; separe explicitamente o sabido do desconhecido.
Exercícios
- EX085 — Nota de passagem. O que contém a nota de passagem de Leah? Rubrica: 3 = feito, local dos resultados, o que falta, problemas; 2 = três; 1 = um; 0 = nada.
- EX086 — Estrutura do informe. Como é estruturada a nota de situação para o CIO? Rubrica: 3 = sabido, desconhecido, próximo passo; 2 = dois; 1 = narrativa; 0 = nada.
- EX087 — Critérios de encerramento. Quando um caso é encerrado? Rubrica: 3 = perguntas respondidas ou motivos documentados; recomendações entregues; retenção definida; 2 = dois; 1 = um; 0 = nada.
Síntese
Etapas claras, tarefas acompanhadas, passagens escritas e informes que separam o sabido do desconhecido mantêm as investigações sob controle.
Continue estudando — capítulo 29 de 40
← Capítulo 28 (rascunho) · Índice de capítulos do curso · Capítulo 30 (rascunho) →