Capítulo 30 — Laboratório II
Mapa da aula
Aula 30 publicada. Mapa, exemplo, EX088.
flowchart TD
N0["30.1 Escopo"]
N1["30.2 Procedimento"]
N2["30.3 Lista de constatações"]
N3["30.4 Respostas às perguntas"]
N4["30.6 Revisão"]
N5["30.7 Avaliação"]
N6["Disciplina no trabalho em dupla"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX088"]
Desenho lógico
flowchart LR
N0["30.1 Escopo"]
N1["30.2 Procedimento"]
N2["30.3 Lista de constatações"]
N3["30.4 Respostas às perguntas"]
N4["30.6 Revisão"]
N5["30.7 Avaliação"]
N6["Disciplina no trabalho em dupla"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX088"]
[30.1 Escopo]
|
v
[30.2 Procedimento]
|
v
[30.3 Lista de constatações]
|
v
[30.4 Respostas às perguntas]
|
v
[30.6 Revisão]
|
v
[30.7 Avaliação]
|
v
[Disciplina no trabalho em dupla]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX088]
Objetivos de aprendizagem
Você vai (1) fazer o exame completo da imagem de treinamento da ws-114; (2) produzir uma lista de constatações com fontes; (3) responder às perguntas da investigação dentro dos limites; (4) submeter o trabalho à revisão.
30.1 Escopo
O Laboratório II cobre a imagem sintética completa da ws-114, a captura de memória e os logs. Os estudantes trabalham em duplas, mas escrevem constatações individuais. Trabalhar em duplas permite discutir os métodos, enquanto as constatações individuais garantem que cada estudante possa defender seu próprio trabalho. A imagem e os logs completos fazem os estudantes enfrentar o mesmo volume e ruído de um caso real, incluindo arquivos e eventos irrelevantes. O Dr. Ferreira fornece os hashes da aquisição e pede a cada estudante que os verifique antes de começar, exatamente como no Laboratório I.
30.2 Procedimento
Verificar todas as entradas. Estabelecer os fatos do sistema (build do sistema operacional, fuso horário, contas, desvio do relógio). Montar a linha do tempo das 09:00 às 12:00 UTC. Examinar e-mail, navegador, downloads, persistência, processos na memória e registros de rede. Registrar cada constatação com sua fonte e a ferramenta usada. A ordem importa: os fatos do sistema vêm primeiro porque a linha do tempo depende do fuso horário e do desvio do relógio. A janela das 09:00 às 12:00 cobre da entrega do e-mail até a contenção. Registrar a ferramenta de cada constatação permite montar depois a tabela de verificação sem refazer os passos.
30.3 Lista de constatações
F1 e-mail de phishing entregue às 09:12. F2 dados enviados por POST à página falsa às 09:14:30. F3 Q1_budget.xlsm salvo às 09:15:10. F4 cadeia de processos EXCEL → cmd → rundll32. F5 update.dll baixado às 09:31:02 e escrito às 09:31:05. F6 run key criada às 09:31:07. F7 login estrangeiro em s.kaur às 10:02. F8 regra de encaminhamento das 10:05 às 11:42. Cada constatação é numerada para que o laudo possa citá-la de forma breve, e cada uma tem um horário e uma fonte. A lista é cronológica, o que torna as lacunas visíveis: por exemplo, entre F6, às 09:31:07, e F7, às 10:02, não há atividade registrada, algo que os estudantes devem conferir em vez de supor.
30.4 Respostas às perguntas
P1: e-mail de phishing que levou ao roubo de credenciais e a um documento com macro. P2: a DLL estabeleceu persistência; seu comportamento além disso depende da análise estática pendente. P3: 37 mensagens encaminhadas; acesso ao compartilhamento de arquivos desconhecido. P4: nenhum outro host contatou os indicadores nos logs examinados. Cada resposta é curta e diz o que continua em aberto. A P2 espera pela análise estática; a P3 dá a contagem de mensagens encaminhadas, mas não consegue cobrir o acesso ao compartilhamento de arquivos; a P4 se limita aos logs examinados. Os estudantes são avaliados por declararem esses limites com a mesma clareza das suas constatações.
30.5 Limites
Cada resposta traz seus limites: dados pesquisados, intervalos de tempo, logs ausentes. Para a P4, o limite é a janela da exportação do proxy e o fato de que hosts usando outros caminhos de saída não apareceriam. Para a P3, são os logs ausentes do compartilhamento de arquivos. Declarar os limites ao lado de cada resposta, e não numa lista separada no fim, garante que o leitor que olha uma resposta também veja o que ela não consegue mostrar. Leah formula cada limite numa frase que nomeia os dados pesquisados.
30.6 Revisão
O Dr. Ferreira revisa as constatações de cada estudante quanto às fontes, à redação e às alternativas. A revisão procura os mesmos problemas que a lista de verificação cobre: cada constatação tem fonte, a redação é calibrada, as alternativas foram consideradas? O Dr. Ferreira devolve os comentários em forma de perguntas, e os estudantes revisam e reenviam. O histórico de revisões mostra como o raciocínio deles melhorou, o que conta para a nota final. O primeiro rascunho de Leah dizia que a regra de encaminhamento "roubou" mensagens; depois da revisão, ela escreveu "encaminhou 37 mensagens a um endereço externo", o que declara o que o log de auditoria mostra.
30.7 Avaliação
A nota recompensa a citação correta das fontes e os limites honestos tanto quanto encontrar coisas. Um estudante que encontra as oito constatações, mas exagera as conclusões, pode tirar nota menor do que um que encontra seis e declara os limites com clareza. Isso reflete a prática: um laudo exagerado pode induzir decisões erradas, enquanto um laudo cuidadoso com lacunas pode ser ampliado. A rubrica é compartilhada no início do laboratório, para que os estudantes saibam o que é valorizado antes de começar o exame. O Dr. Ferreira também avalia a tabela de verificação e as notas, já que elas mostram como as constatações foram alcançadas.
Disciplina no trabalho em dupla
Os parceiros compartilham os dados, mas não as conclusões: cada um escreve suas constatações de forma independente antes de comparar. Onde divergem, ambos voltam às evidências. Isso espelha a revisão por pares e impede que a interpretação de uma pessoa vire silenciosamente a da dupla.
Exemplo resolvido
O parceiro de Leah escreve F4 como "o malware rodou". Leah sugere "a captura de memória mostra o EXCEL como pai do cmd, que iniciou o rundll32 com update.dll carregado no momento da captura". A redação revisada declara exatamente o que o artefato mostra.
Caso sintético. A imagem de treinamento é sintética.
Erros e limites
Uma imagem de laboratório é mais limpa que os sistemas reais; os casos reais têm mais ruído e mais lacunas.
Exercícios
- EX088 — Resposta à P3. Dê a resposta à P3 com seu limite. Rubrica: 3 = 37 mensagens encaminhadas; compartilhamento de arquivos desconhecido (registro desligado); 2 = um; 1 = errado; 0 = nada.
- EX089 — Redação de F4. Por que a F4 revisada é melhor? Rubrica: 3 = declara o artefato exato e o que ele mostra; 2 = parcial; 1 = é mais curta; 0 = nada.
- EX090 — Foco da avaliação. O que a avaliação recompensa além de encontrar artefatos? Rubrica: 3 = citação das fontes e limites honestos; 2 = um; 1 = rapidez; 0 = nada.
Síntese
Um exame completo produz constatações com fontes e respostas delimitadas, revisadas antes do relato.
Continue estudando — capítulo 30 de 40
← Capítulo 29 (rascunho) · Índice de capítulos do curso · Capítulo 31 (rascunho) →