◇ OpenCyber Academy
Graduação · Capítulo 38 · Português

Capítulo 38 — Execução do projeto final

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 38 — Execução do projeto final

Mapa da aula

Aula 38 publicada. Mapa, exemplo, EX112.

flowchart TD
  N0["38.1 Análise"]
  N1["38.2 Exercício de sensibilidade"]
  N2["38.3 Evidência decisiva"]
  N3["38.4 Arquivo"]
  N4["38.5 Mudanças no plano"]
  N5["38.6 Problemas"]
  N6["38.7 Orientação"]
  N7["Verificação final"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX112"]

Desenho lógico

flowchart LR
  N0["38.1 Análise"]
  N1["38.2 Exercício de sensibilidade"]
  N2["38.3 Evidência decisiva"]
  N3["38.4 Arquivo"]
  N4["38.5 Mudanças no plano"]
  N5["38.6 Problemas"]
  N6["38.7 Orientação"]
  N7["Verificação final"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX112"]

[38.1 Análise]
    |
    v
[38.2 Exercício de sensibilidade]
    |
    v
[38.3 Evidência decisiva]
    |
    v
[38.4 Arquivo]
    |
    v
[38.5 Mudanças no plano]
    |
    v
[38.6 Problemas]
    |
    v
[38.7 Orientação]
    |
    v
[Verificação final]
    |
    v
[Exemplo resolvido] --> [Exercício EX112]

Objetivos de aprendizagem

Você vai (1) realizar a análise do projeto final; (2) executar o exercício de sensibilidade às lacunas de evidência; (3) manter um arquivo reproduzível; (4) gerir mudanças no plano.

38.1 Análise

Leah conclui a linha do tempo, as buscas de indicadores, a triagem estática e a verificação para a ws-114 e para o segundo host sintético. O segundo host não mostra contato com os indicadores, o que é coerente com a resposta à P4. O segundo host funciona como controle: seu resultado limpo mostra que as buscas de indicadores não produzem falsas correspondências num host sabidamente não afetado. A análise repete os laboratórios anteriores com os dados completos e com os métodos refinados pela revisão, como a exibição em UTC em todas as ferramentas e o desvio do relógio aplicado de forma consistente.

38.2 Exercício de sensibilidade

Ela remove uma fonte por vez e deriva de novo as conclusões. Sem os logs do proxy: perdem-se o POST para a página falsa e a origem do download da DLL; o roubo de credenciais passa a ser uma inferência a partir apenas da entrada estrangeira. Sem a memória: a cadeia de processos se apoia apenas no prefetch e na run key. Sem os logs de identidade: a tomada da conta não pode ser demonstrada. Os resultados mostram de quais fontes as conclusões mais dependem. Os logs do proxy têm o maior peso: perdê-los enfraquece muito a P1. Perder a memória enfraquece a cadeia de processos, mas não a constatação de persistência. Perder os logs de identidade torna impossível a constatação de tomada da conta na P3. Esses resultados entram nas recomendações, que pedem uma retenção de logs mais longa.

38.3 Evidência decisiva

A P1 depende das evidências do proxy e do e-mail em conjunto. A P3 depende dos logs de identidade e dos logs de auditoria da caixa postal. A constatação de persistência da P2 sobrevive à perda de qualquer fonte isolada porque o disco e a memória se corroboram. A constatação de persistência da P2 é robusta porque os artefatos do disco e a memória mostram, de forma independente, a mesma coisa, que é o valor da corroboração na prática. A P1 e a P3 dependem cada uma de fontes específicas, por isso sua perda deixaria grandes lacunas. Isso diz ao escritório de segurança quais logs proteger com mais cuidado em incidentes futuros.

38.4 Arquivo

Entradas com hashes, scripts, saídas, notas e a tabela de constatações vão para um arquivo estruturado com um manifesto. O manifesto lista cada arquivo com seu hash, de modo que um revisor pode confirmar que nada mudou desde a entrega. Os scripts incluem o teste de análise de datas acrescentado após o defeito no log da caixa postal. A estrutura segue os apêndices da tese, então cada tabela da tese pode ser rastreada até os arquivos que a produziram. Um revisor que rode de novo os scripts sobre as entradas arquivadas deve obter saídas idênticas, o que Leah confere uma vez antes da entrega, executando tudo a partir de uma cópia limpa.

38.5 Mudanças no plano

O segundo host foi acrescentado tarde; ela registra a mudança e o motivo. Registrar as mudanças permite aos avaliadores julgar se elas melhoraram o trabalho ou se afastaram da proposta. Acrescentar o segundo host fortaleceu a P4, então a mudança se justifica. O registro inclui a data da decisão e a concordância do Dr. Ferreira, e o capítulo de avaliação a discute em relação ao plano original. Uma mudança que enfraquecesse o trabalho, como abandonar uma pergunta, exigiria uma justificativa mais forte. Manter um registro de mudanças ao longo do projeto torna essa discussão fácil de escrever no final.

38.6 Problemas

Um script interpretava mal um formato de data no log de auditoria da caixa postal; agora um teste cobre esse caso. Se não fosse detectado, o defeito teria deslocado os eventos da caixa postal, possivelmente alterando a linha do tempo do encaminhamento. Encontrá-lo por uma divergência com outras fontes, corrigi-lo e acrescentar um teste é o mesmo processo ensinado nos capítulos de programação. O problema e a correção ficam registrados no arquivo e são mencionados na avaliação, pois causaram o atraso de uma semana no rascunho do laudo. Sem o teste, o mesmo defeito poderia voltar despercebido após uma edição posterior.

38.7 Orientação

As atualizações quinzenais continuam; Grace confirma que a análise segue o procedimento do escritório. A confirmação de Grace importa porque o projeto final deve corresponder a como o escritório de segurança realmente trabalha. Atualizações regulares fazem os problemas aparecerem cedo, como o defeito na análise de datas, e não na entrega. As notas de cada reunião registram decisões e ações, e essas notas fazem parte do registro do projeto que os avaliadores podem ler. A orientação também confere que Leah usa apenas os dados de treinamento fornecidos pelo escritório, mantendo o projeto dentro da sua autoridade.

Verificação final

Antes de escrever o laudo, Leah calcula de novo o hash de cada entrada do arquivo e compara com o manifesto. Todos coincidem. Depois, executa de novo cada script a partir de uma cópia limpa e confirma que as saídas são idênticas, de modo que as tabelas do laudo podem ser reproduzidas por qualquer pessoa que tenha o arquivo.

Exemplo resolvido

A linha da tabela de sensibilidade de Leah: "Remover os logs de identidade → a 'tomada da conta' da P3 não pode ser estabelecida; a regra de encaminhamento permanece, mas seu criador não pode ser ligado à entrada estrangeira." A tabela mostra ao escritório de segurança quais logs são mais críticos de reter.

Caso sintético. A análise é inventada.

Erros e limites

Remover uma fonte por vez não mostra perdas combinadas; registre essa limitação.

Exercícios

Síntese

A análise de sensibilidade revela qual evidência sustenta cada conclusão e orienta a prontidão futura.

Continue estudando — capítulo 38 de 40

← Capítulo 37 (rascunho) · Índice de capítulos do curso · Capítulo 39 (rascunho) →