◇ OpenCyber Academy
Graduação · Capítulo 40 · Português

Capítulo 40 — Tese e apresentação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 40 — Tese e apresentação

Mapa da aula

Aula 40 publicada. Mapa, exemplo, EX118.

flowchart TD
  N0["40.1 Estrutura da tese"]
  N1["40.2 Resumo primeiro"]
  N2["40.3 Citação"]
  N3["40.4 Apresentação"]
  N4["40.5 Perguntas"]
  N5["40.6 Ligando o curso"]
  N6["40.7 Depois da formatura"]
  N7["Acessibilidade do laudo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX118"]

Desenho lógico

flowchart LR
  N0["40.1 Estrutura da tese"]
  N1["40.2 Resumo primeiro"]
  N2["40.3 Citação"]
  N3["40.4 Apresentação"]
  N4["40.5 Perguntas"]
  N5["40.6 Ligando o curso"]
  N6["40.7 Depois da formatura"]
  N7["Acessibilidade do laudo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX118"]

[40.1 Estrutura da tese]
    |
    v
[40.2 Resumo primeiro]
    |
    v
[40.3 Citação]
    |
    v
[40.4 Apresentação]
    |
    v
[40.5 Perguntas]
    |
    v
[40.6 Ligando o curso]
    |
    v
[40.7 Depois da formatura]
    |
    v
[Acessibilidade do laudo]
    |
    v
[Exemplo resolvido] --> [Exercício EX118]

Objetivos de aprendizagem

Você vai (1) escrever a tese de bacharelado como um laudo pericial mais uma reflexão; (2) apresentar as constatações a uma banca; (3) responder às perguntas com evidências; (4) ligar as partes do curso.

40.1 Estrutura da tese

Resumo das constatações; escopo e autoridade; inventário de evidências; métodos e ferramentas; constatações com fontes; respostas às perguntas com limites; avaliação das lacunas de evidência; recomendações; reflexão; apêndices (linha do tempo, tabela de verificação, manifesto do arquivo). A estrutura segue a lógica da investigação: primeiro a autoridade e o escopo, depois a evidência, os métodos, as constatações e as respostas. Os apêndices guardam o detalhe que sustenta cada afirmação, para que o texto principal continue legível. Um leitor pode ir de uma afirmação do resumo até a constatação correspondente e, dali, até a evidência no apêndice, usando os números das constatações.

40.2 Resumo primeiro

Leitores como gestores podem ler apenas o resumo: quatro perguntas, quatro respostas delimitadas, as principais recomendações. O resumo de Leah apresenta o incidente, as quatro respostas com seus graus e as três principais recomendações, tudo em menos de uma página. Um gestor que leia só essa página consegue tomar decisões. Cada afirmação do resumo cita um número de constatação, para que o leitor que queira detalhes saiba onde procurar no texto principal. O resumo também declara os principais limites, como o acesso desconhecido ao compartilhamento de arquivos, para que um gestor não leia as respostas como mais completas do que são.

40.3 Citação

Normas e literatura são citadas: NIST SP 800-86 para o processo, ISO/IEC 27037 para a preservação, ISO/IEC 27042 para a interpretação, RFC 3227 para a volatilidade, Carrier (2005) para a análise de sistemas de arquivos, Casey (2011) para o raciocínio, Sikorski e Honig (2012) para a triagem estática. Cada fonte é citada onde sustenta um método ou uma afirmação específica, e não como pano de fundo genérico. Usar fontes primárias, como ela aprendeu no capítulo de escrita, permite aos leitores conferir a orientação diretamente. A lista de referências inclui versões e identificadores, como DOIs, para que os leitores encontrem os mesmos documentos que ela usou.

40.4 Apresentação

Quinze minutos: incidente, abordagem, principais constatações com evidências, lacunas, recomendações. Os slides mostram artefatos, não decoração. Quinze minutos permitem cerca de três minutos por parte. Mostrar artefatos, como a árvore de processos e a tabela da linha do tempo, deixa a banca ver a evidência em vez de só ouvir falar dela. Cada slide enuncia seu ponto numa frase no topo. Leah ensaia com cronômetro e prepara respostas para as perguntas que espera, como as levantadas no seminário sobre o desvio do relógio e os limites da geolocalização da F7.

40.5 Perguntas

Um membro da banca pergunta: "s.kaur poderia ter criado ela mesma a regra de encaminhamento?" Leah responde: a regra foi criada três minutos depois da entrada estrangeira, a partir daquela sessão, segundo o log de auditoria da caixa postal; isso sustenta a criação pela sessão do atacante, embora o log identifique sessões, não pessoas. A resposta separa o que o log mostra, uma sessão, do que ele não pode mostrar, uma pessoa. Ela usa como evidência o horário e o registro de sessão do log de auditoria, e declara o limite. Esse é o hábito que todo o curso construiu: afirmações calibradas e ligadas às fontes.

40.6 Ligando o curso

O raciocínio matemático moldou os resumos; a programação construiu os parsers; as redes explicaram a evidência do proxy; a ética fixou o escopo; os métodos de pesquisa moldaram a comparação e o exercício de sensibilidade. A lista mostra que cada capítulo inicial teve um uso concreto na investigação. O raciocínio sobre taxas de base, vindo da estatística, explicou por que um único alerta não bastava; o capítulo de privacidade moldou a resposta ao pedido da secretaria acadêmica. A tese de Leah termina nomeando essas ligações, o que mostra à banca como o curso se integra numa única prática de investigação cuidadosa e verificável.

40.7 Depois da formatura

Leah se candidata a uma vaga de analista no escritório de segurança. Sua candidatura cita a investigação da ws-114, a comparação de ferramentas e sua experiência na clínica, tudo com evidências do arquivo e dos registros. O escritório de Grace conhece seu trabalho pela orientação do projeto final. Os hábitos construídos no curso, cópias verificadas, constatações com fonte e limites declarados, são exatamente o que a função de analista exige. Ela lista na candidatura a evidência específica de cada habilidade: a tabela de verificação, o laudo revisado e o registro da clínica. Seja qual for o resultado, o arquivo e a tese continuam sendo um registro de como ela trabalha, que um futuro empregador pode examinar tão facilmente quanto Grace fez.

Acessibilidade do laudo

Leah confere se as figuras têm descrições em texto, se as tabelas têm cabeçalhos e se as siglas são escritas por extenso no primeiro uso. Um leitor que use leitor de tela ou imprima em preto e branco não perde nada essencial.

Exemplo resolvido

A primeira linha do seu resumo: "A ws-114 foi comprometida em 10 de fevereiro de 2026, depois que um e-mail de phishing levou ao envio de credenciais e de uma planilha com macros; a conta s.kaur foi então acessada a partir do exterior e 37 mensagens foram encaminhadas para fora antes da contenção, às 11:42 UTC."

Caso sintético. A tese é inventada.

Erros e limites

Uma tese é avaliada como um todo; constatações fortes não desculpam limites ausentes.

Exercícios

Síntese

A tese é um laudo pericial completo e com fontes; a apresentação o defende com evidências e limites.

Continue estudando — capítulo 40 de 40

← Capítulo 39 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →

Resoluções

Respostas-modelo para EX001–EX120. Leah Moreau, o Dr Samuel Ferreira, Grace Lin, a Harrowgate University, a ws-114 e todos os valores são sintéticos. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.

EX001. Média de 420.013 KB; mediana de 14,5 KB. A mediana é mais representativa porque um único arquivo de 4,2 GB infla a média.

EX002. "Nove dos dez arquivos tinham menos de 25 KB; um, um vídeo, tinha 4,2 GB."

EX003. 500 GB em 300 segundos dão cerca de 1,7 GB por segundo, muito além das velocidades típicas de aquisição pericial, então o número precisa ser conferido.

EX004. Reiniciar apagaria o conteúdo da memória, que poderia mostrar o que estava em execução, e alteraria registros e carimbos de tempo no disco.

EX005. Para medir quanto o relógio do computador difere da hora real, de modo que os carimbos de tempo registrados possam ser corrigidos.

EX006. Junto ao provedor do serviço, pelo procedimento legal adequado, já que os dados podem nunca ter estado no dispositivo local.

EX007. invoice.pdf tem cabeçalho MZ, então é um executável do Windows disfarçado com nome de documento.

EX008. Arquivos DOCX são contêineres ZIP de partes XML, e arquivos ZIP começam com PK\x03\x04.

EX009. Que o arquivo é seguro; um PDF verdadeiro ainda pode carregar conteúdo malicioso.

EX010. A RFC é o documento primário e autorizado, que os leitores podem conferir diretamente; o blog é um resumo secundário que pode estar errado.

EX011. A RFC 3227 oferece orientações que dependem das circunstâncias, então um "sempre" absoluto a distorce.

EX012. Não: a redação copiada deve estar entre aspas e com citação, ou ser genuinamente reescrita com suas próprias palavras.

EX013. O domínio do remetente é example.net, e não o da universidade; o texto visível do link diz intranet login, mas aponta para login-portal.example.net; a mensagem pede ao usuário que verifique as credenciais com urgência.

EX014. Uma chave de execução automática (run key) no registro e uma tarefa agendada (os serviços são outra opção).

EX015. Informando o que a conta fez e quando, sem caracterizar a pessoa como descuidada ou responsável.

EX016. O EXCEL iniciou o cmd, que iniciou o rundll32, que carregou update.dll.

EX017. A interseção dos arquivos criados na janela do incidente com o conjunto dos executáveis.

EX018. Não; o caminho sustenta H, mas outras explicações, como um processo separado que tenha gerado a mesma cadeia, ainda precisam ser consideradas.

EX019. Que a ws-114 enviou dados à página falsa; não quais eram os dados.

EX020. De baixo para cima, já que cada servidor acrescenta seu cabeçalho no topo à medida que a mensagem viaja.

EX021. Muitas pessoas usam a máquina, então os registros de rede identificam apenas a estação; logons e outras evidências são necessários para delimitar quem a estava usando.

EX022. Contá-las e relatar os números das linhas, para que os revisores vejam exatamente o que foi excluído, em vez de descartá-las em silêncio.

EX023. O nome e o SHA-256 do arquivo de entrada, o número de linhas, o número de malformadas e a versão do script.

EX024. Registros que guardam só a hora do dia podem ordenar os eventos de depois da meia-noite antes dos de pouco antes dela, a menos que as datas sejam tratadas.

EX025. A caixa de entrada do webmail às 09:13:55 e a página falsa de verificação às 09:14:30 UTC.

EX026. Abrir o arquivo original pode aplicar seu registro de escrita antecipada ou alterá-lo de outro modo, então a análise usa uma cópia verificada.

EX027. Nada conclusivo: o histórico pode ter sido apagado, a navegação privada pode ter sido usada ou os dados podem não ter sido sincronizados.

EX028. A universidade é dona da estação, e sua política de uso aceitável autoriza investigações de segurança em seus equipamentos.

EX029. O consentimento informado do estudante ou o procedimento legal adequado, porque a política da universidade não abrange dispositivos pessoais.

EX030. Foram registradas como presentes, mas não examinadas, por não terem relação com a pergunta autorizada sobre o phishing.

EX031. Uma chave de execução automática (run key) no registro que inicia o rundll32 com update.dll na inicialização.

EX032. A cópia geralmente recebe um novo horário de criação, mas mantém o horário de modificação original.

EX033. Mostra de qual conta era a sessão ativa quando a chave apareceu, e não que a titular da conta a tenha criado conscientemente.

EX034. Cerca de 19 alertas verdadeiros e 100 alertas falsos, então P(infectado | alerta) = 0,160.

EX035. A infecção é rara (20 em 10.000), então 1% dos 9.980 hosts limpos produz muito mais alertas do que 95% dos 20 infectados.

EX036. O registro do proxy com os dados enviados por POST para a página falsa, a run key apontando para update.dll e update.dll carregado no rundll32 na memória.

EX037. Uma entrada a partir de um país distante pouco depois de os dados terem sido enviados à página falsa, com um push de MFA aprovado.

EX038. Redefinir a senha, revogar as sessões ativas e revisar tudo o que a conta acessou depois da entrada suspeita.

EX039. As bases de geolocalização são aproximadas, e VPNs ou proxies podem fazer uma conexão parecer vir de outro lugar.

EX040. A imagem da ws-114, os registros relevantes do proxy e do sistema e os registros de entrada de s.kaur — não todo o conteúdo da caixa de correio dela.

EX041. Grace recusou a caixa de correio inteira e entregou um resumo com o número de mensagens encaminhadas, as datas e os domínios dos destinatários.

EX042. Estabelecem quais dados pessoais saíram, quando e para onde, o que determina se é preciso comunicar e a quem.

EX043. Ferramenta de aquisição e versão, resumo SHA-256, perito, horários de início e fim, e modelo do bloqueador de escrita com o número de série do disco.

EX044. A defasagem do relógio da estação; uma fotografia do relógio do BIOS ao lado de um relógio de referência mostrou que a ws-114 estava 47 segundos atrasada.

EX045. Repetibilidade é o mesmo perito obter o mesmo resultado com o mesmo método; reprodutibilidade é outro perito ou outra ferramenta chegar a resultados coerentes.

EX046. O proxy registra as requisições web por host; o provedor de identidade registra as entradas.

EX047. Todas as evidências da estação ws-114 — a run key, update.dll, os carimbos de tempo dos arquivos e os artefatos de execução.

EX048. Suspender a reinstalação noturna de qualquer máquina com alerta aberto e encaminhar os registros das estações ao coletor central.

EX049. Existem colisões práticas de MD5, então alguém poderia criar deliberadamente dados diferentes com o mesmo resumo.

EX050. Uma correspondência mostra que o arquivo é idêntico a uma amostra já relatada naquele feed; a falta de correspondência não mostraria que o arquivo é inofensivo, já que as variantes diferem.

EX051. Registrar que ele está cifrado e obter o acesso de forma legal, por exemplo por meio das chaves de recuperação da organização.

EX052. A variável independente é o método de execução (via rundll32); a variável dependente é se o prefetch o registra e com que precisão.

EX053. O comportamento dos artefatos pode mudar com o build do sistema operacional e as configurações, então os resultados podem não se transferir.

EX054. Ela informa o build do sistema operacional e as configurações, o número de execuções e a precisão medida, em vez de uma afirmação geral.

EX055. A análise estática inspeciona uma amostra sem executá-la; a análise dinâmica a executa num ambiente controlado e isolado para observar seu comportamento.

EX056. Quem estava fisicamente ao teclado; em geral ela mostra, em vez disso, ações de contas e de sistemas.

EX057. Como a ws-114 foi comprometida, o que o malware fez, se dados foram levados e se outros sistemas foram afetados.

EX058. Fixar-se cedo numa explicação e ler todas as evidências para que se encaixem nela; listar e testar alternativas de forma sistemática a combate.

EX059. Uma macro de documento o iniciou quando o usuário abriu o arquivo; outra conta o instalou remotamente; uma tarefa agendada de uma atividade anterior o criou.

EX060. Alternativas listadas para cada constatação; todos os horários normalizados para UTC com o desvio aplicado; ferramentas e versões registradas (e linguagem revisada).

EX061. Volumes de transferência do proxy, logs do provedor de identidade, regras de encaminhamento da caixa de correio e logs de acesso ao compartilhamento de arquivos.

EX062. Quando os destinos de rede do malware são conhecidos, os logs do proxy e do firewall podem ser buscados para encontrar outros hosts que os contataram.

EX063. A matriz mostrou que eram necessários para a P3, e o provedor os mantém só por tempo limitado.

EX064. A fonte, quem a coletou, quando, seu hash e seu formato (além da consulta ou do intervalo de exportação).

EX065. A run key parecia ter sido criada antes de update.dll terminar de baixar, uma ordem impossível; corrigir o desvio de 47 segundos resolveu isso.

EX066. Os logs de identidade são mantidos só por 30 dias e seriam os primeiros a se perder, então são coletados antes das fontes com retenção mais longa.

EX067. O POST das 09:14:30 para login-portal.example.net e o GET de /a.bin em cdn-update.example.org às 09:31:02; só a ws-114 correspondeu.

EX068. "Nenhum outro host no log do proxy contatou os indicadores entre 09:00 e 12:00 UTC; o tráfego que saiu por outros caminhos não foi coberto."

EX069. Alterar um único byte gera um hash completamente diferente, então variantes levemente modificadas não são encontradas.

EX070. O gateway de e-mail deixou passar a mensagem de phishing, e a MFA baseada em push permitiu que o login de um atacante fosse aprovado.

EX071. MFA com correspondência de números, que torna mais difícil aprovar por reflexo um login fraudulento em resposta a repetidos pedidos de push.

EX072. Nada nas evidências mostra que o usuário desconsiderou o treinamento; o phishing era convincente, então culpar o treinamento iria além das constatações.

EX073. Calcular o hash da cópia recebida, compará-lo com o SHA-256 da aquisição e registrar o resultado antes de qualquer exame.

EX074. São colocados em arquivos compactados protegidos por senha na VM de análise isolada e nunca são abertos na estação de exame.

EX075. Um colega compara as notas com a lista de verificação e reproduz de forma independente duas das constatações.

EX076. Q1_budget.xlsm, porque seu tempo de criação na ws-114 é posterior ao tempo de modificação, algo típico de um arquivo copiado ou baixado.

EX077. Ele foi extraído de um arquivo compactado, ou copiado de um pendrive, e ambos podem produzir o mesmo padrão.

EX078. O sistema operacional pode não atualizá-los, ou atualizá-los só com atraso, dependendo das configurações.

EX079. Uma segunda ferramenta, com outro parser de registro, mostrou o mesmo valor e o mesmo horário de última escrita, e Leah inspecionou diretamente os dados brutos do valor.

EX080. Uma ferramenta mostrava a hora local de um fuso uma hora à frente do UTC; converter ambas para UTC eliminou a diferença.

EX081. Quando dependem da mesma biblioteca ou do mesmo código de análise, de modo que um erro neles afetaria as duas.

EX082. Uma política de macros escrita antes de existirem os recursos de marcação de arquivos da internet e nunca revisada, que ainda permitia macros em arquivos baixados.

EX083. Uma nota inicial da equipe exagerou o que as evidências mostravam, e a primeira exportação do proxy cobria só uma hora (uma ferramenta também exibia a hora local).

EX084. As pessoas relatam erros e quase-incidentes com honestidade quando não serão culpadas, o que revela problemas de sistema a corrigir.

EX085. O que foi concluído, onde os resultados estão guardados, o que falta fazer e os problemas conhecidos.

EX086. Ela separa o que se sabe, o que ainda é desconhecido e os próximos passos.

EX087. Quando as perguntas são respondidas (ou se registra por que não podem ser), as recomendações são entregues e a retenção das evidências foi decidida.

EX088. Trinta e sete mensagens foram encaminhadas para fora; não se sabe se houve acesso aos dados do compartilhamento de arquivos, porque o registro de acesso estava desabilitado.

EX089. Ela diz qual artefato (a captura de memória) mostra quais relações, em vez de um rótulo amplo como "o malware rodou".

EX090. Citar a fonte de cada constatação e declarar os limites com honestidade.

EX091. cdn-update.example.org coincide com o indicador de download; Software\Synthetic\Run lembra o local de persistência; user-agent: SampleBot/1.0 é um novo valor a buscar nos logs do proxy.

EX092. Empacotadores podem esconder as strings reais, os autores podem plantar strings enganosas, e a presença de uma string não mostra que o código a usa.

EX093. Se outros hosts estão executando a mesma amostra, mesmo que tenham contatado domínios diferentes.

EX094. Quais dados pessoais saíram do controle da universidade, quando e para onde, para decidir sobre a comunicação.

EX095. E-mails tinham sido encaminhados para fora e o acesso ao compartilhamento de arquivos ainda era desconhecido, então o comunicado era falso.

EX096. Se alguém sofre medidas disciplinares (as decisões sobre responsabilidade legal e comunicação também cabem a outros).

EX097. Para que as respostas esperadas não possam ser ajustadas depois de ver as saídas das ferramentas, mantendo a pontuação justa.

EX098. Versões das ferramentas (fixadas), configurações (padrões documentados) e efeitos do hardware ou do analista (mesma máquina, comparação por script).

EX099. Ela manteve a versão original do começo ao fim por consistência e registrou a nova versão como trabalho futuro.

EX100. Quatro artefatos relatados por ambas; notes.txt só pela ferramenta A; prefetch:RUNDLL32 só pela ferramenta B.

EX101. A visualização padrão da ferramenta B excluía arquivos de texto, e o parser de prefetch da ferramenta A pulou uma entrada com uma variação de formato.

EX102. Ambas encontraram cinco de seis sem relatos falsos, a amostra é minúscula, e o resultado útil é o ponto cego específico de cada uma.

EX103. Para cada conclusão, qual evidência foi decisiva, e como a conclusão mudaria se essa fonte faltasse?

EX104. Cada fonte de evidência é removida por vez, e as conclusões são derivadas de novo para ver quais ainda se sustentam.

EX105. As remoções são definidas de antemão, as conclusões são derivadas de novo por script sempre que possível, e um colega deriva de novo dois casos à mão como verificação.

EX106. Revisar o histórico de entradas, conferir as regras de encaminhamento, redefinir a senha e ativar uma MFA mais forte.

EX107. Não apagar as mensagens; fazer capturas de tela que mostrem as datas; conversar com a equipe da clínica sobre o registro de ocorrência na polícia.

EX108. Ela não examina pericialmente os dispositivos dos estudantes nem entra nas contas em nome deles (nem dá orientação jurídica).

EX109. Cada constatação tem fonte, sua interpretação é fundamentada, alternativas foram consideradas e os limites estão declarados (horários normalizados e linguagem calibrada também contam).

EX110. Ela acrescentou uma limitação sobre ter apenas uma medição do relógio e apontou que os horários corrigidos do endpoint concordam com os horários independentes do proxy.

EX111. "O acesso ao compartilhamento de arquivos não pôde ser avaliado porque o registro de acessos estava desativado."

EX112. O registro dos dados enviados por POST à página falsa e da origem da update.dll; o roubo de credenciais passa então a se apoiar apenas na inferência a partir da entrada estrangeira.

EX113. A constatação de persistência, porque tanto os artefatos do disco quanto a captura de memória a sustentam de forma independente.

EX114. Mostra quais logs sustentam as conclusões principais, para que o escritório saiba quais reter e proteger.

EX115. A P1 é forte porque as evidências de e-mail, proxy, navegador e arquivo concordam; a P3 é parcial porque o encaminhamento está demonstrado, mas o acesso ao compartilhamento de arquivos é desconhecido.

EX116. Medir o desvio do relógio em mais de um ponto e configurar todas as ferramentas para exibir UTC antes de a análise começar.

EX117. Relatado com franqueza na avaliação, com uma semana de atraso, indicando como causa a correção na análise de datas.

EX118. Muitos leitores, como os gestores, leem apenas o resumo, por isso ele precisa trazer de imediato as respostas delimitadas e as principais recomendações.

EX119. O log de auditoria da caixa postal mostra que a regra foi criada três minutos depois da entrada estrangeira, a partir daquela sessão, o que sustenta a criação pela sessão do atacante, embora os logs identifiquem sessões, e não pessoas.

EX120. NIST SP 800-86 para o processo pericial, ISO/IEC 27037 para a preservação e RFC 3227 para a ordem de volatilidade.