Capítulo 5 — Letramento em segurança
Mapa da aula
Aula 05 publicada. Mapa, exemplo, EX013.
flowchart TD
N0["5.1 Padrões comuns"]
N1["5.2 Evidências deixadas"]
N2["5.3 Reconhecendo o phishing"]
N3["5.4 Do incidente à investigação"]
N4["5.5 Enquadramento defensivo"]
N5["5.6 Usuários não são culpados"]
N6["5.7 Notificação"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX013"]
Desenho lógico
flowchart LR
N0["5.1 Padrões comuns"]
N1["5.2 Evidências deixadas"]
N2["5.3 Reconhecendo o phishing"]
N3["5.4 Do incidente à investigação"]
N4["5.5 Enquadramento defensivo"]
N5["5.6 Usuários não são culpados"]
N6["5.7 Notificação"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX013"]
[5.1 Padrões comuns]
|
v
[5.2 Evidências deixadas]
|
v
[5.3 Reconhecendo o phishing]
|
v
[5.4 Do incidente à investigação]
|
v
[5.5 Enquadramento defensivo]
|
v
[5.6 Usuários não são culpados]
|
v
[5.7 Notificação]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX013]
Objetivos de aprendizagem
Você vai (1) explicar, em nível conceitual, padrões comuns de ataque; (2) identificar as evidências que eles deixam; (3) reconhecer phishing; (4) explicar como os incidentes levam ao trabalho pericial.
5.1 Padrões comuns
Mensagens de phishing atraem os usuários para páginas falsas de login ou anexos maliciosos. Credenciais roubadas permitem que intrusos entrem como se fossem o usuário. O malware pode então persistir, roubar dados ou se espalhar. O MITRE ATT&CK dá nome a esses comportamentos como técnicas, por exemplo o phishing para acesso inicial, e lista as fontes de dados que podem revelá-los. O caso da ws-114 segue essa cadeia: um e-mail de phishing, um arquivo baixado, um processo que carrega update.dll. Nomear cada etapa com uma técnica do ATT&CK ajuda Leah a procurar a evidência certa, porque cada verbete de técnica lista os registros e artefatos que provavelmente a mostram.
5.2 Evidências deixadas
O phishing deixa cabeçalhos e corpos de e-mail, o histórico do navegador com a página falsa e, talvez, um arquivo baixado. O uso indevido de credenciais deixa registros de logon de locais ou horários incomuns. A persistência deixa entradas no registro do sistema, tarefas agendadas ou serviços. Cada etapa deixa seus próprios vestígios em lugares diferentes, então uma investigação que confere só uma fonte vê apenas parte da história. Na ws-114, Leah lista onde procurar cada etapa: a caixa de correio para o e-mail, o histórico do navegador para a página falsa, a pasta Downloads para o arquivo, os registros de logon para o uso das credenciais, e o registro do sistema e o agendador de tarefas para a persistência. A ausência de vestígios numa fonte também é registrada.
5.3 Reconhecendo o phishing
Domínios de remetente divergentes, linguagem de urgência, links cujo texto visível difere do destino e pedidos de credenciais. Leah pratica com e-mails sintéticos fornecidos pelo escritório de segurança. Cada indicador é fraco isoladamente: mensagens reais de TI podem soar urgentes, e links legítimos às vezes passam por domínios de rastreamento. Vários juntos, como no e-mail da ws-114, com seu remetente em example.net e o link divergente, formam um caso forte. Leah registra cada indicador com a linha exata do cabeçalho ou do corpo, para que o leitor possa conferi-lo sem precisar confiar no julgamento dela.
5.4 Do incidente à investigação
O NIST SP 800-61r3 enquadra a resposta a incidentes como parte da gestão de riscos: detectar, responder, recuperar, melhorar. O exame pericial responde às perguntas de que os respondentes precisam: como começou, o que foi afetado, está contido? Na ws-114, os respondentes precisam saber se as credenciais de s.kaur foram roubadas, se outras máquinas foram afetadas e se o isolamento interrompeu a atividade. O trabalho pericial é moldado por essas perguntas: prioriza as evidências que as respondem depressa e registra o resto para uma análise mais profunda depois, para que as respostas urgentes não atrasem.
5.5 Enquadramento defensivo
O curso estuda ataques apenas para reconhecê-los e investigá-los. Nenhuma técnica para cometer ataques é ensinada. Na prática, isso significa que os laboratórios usam artefatos sintéticos e scripts seguros que leem dados, nunca código que explore um sistema. Quando os estudantes estudam o comportamento de uma amostra de malware, fazem isso a partir de relatórios ou num ambiente isolado aprovado pelo professor. Saber como um ataque deixa vestígios basta para investigá-lo; saber construir um não faz parte do curso.
5.6 Usuários não são culpados
Um usuário que clicou num link convincente geralmente é uma vítima. Os laudos descrevem ações, não atribuem culpa. Laudos que culpam os usuários desestimulam as notificações: quem teme ser culpado pode esconder um erro de que os respondentes precisam saber depressa. Na ws-114, o laudo descreve o que a conta de s.kaur fez e quando, e trata a qualidade do e-mail de phishing como um achado sobre o ataque. As recomendações se concentram em controles, como a verificação de links e a autenticação multifator, e não na pessoa, pois é ali que as melhorias podem ser feitas.
5.7 Notificação
Os estudantes aprendem a notificar mensagens suspeitas pelos canais oficiais, nunca encaminhando-as a amigos. Encaminhar uma mensagem de phishing espalha o link para mais pessoas e pode remover cabeçalhos de que os respondentes precisam. O canal oficial, como um botão de notificação ou o endereço do escritório de segurança, preserva a mensagem com seus cabeçalhos e alerta a equipe, que pode bloquear o remetente para todos. Em Harrowgate, a equipe de Grace Lin recebe essas notificações e as usa para encontrar outros destinatários da mesma campanha.
Exemplo resolvido
O e-mail de phishing da ws-114 diz vir de "IT Servicedesk", mas o domínio do remetente é example.net, e não o da universidade. O texto do link diz "intranet login", mas aponta para login-portal.example.net. Leah lista cada indicador com a linha do cabeçalho ou do corpo que o mostra.
Caso sintético. O e-mail é inventado.
Erros e limites
Os indicadores levantam suspeitas; um serviço externo legítimo também pode parecer incomum, então importa verificar junto à organização do remetente.
Exercícios
- EX013 — Indicadores de phishing. Liste três indicadores no e-mail da ws-114. Rubrica: 3 = domínio do remetente, divergência entre texto e destino do link, pedido de credenciais ou urgência; 2 = dois; 1 = um; 0 = nada.
- EX014 — Evidências de persistência. Cite dois artefatos que a persistência pode deixar. Rubrica: 3 = chaves de execução automática (run keys) no registro, tarefas agendadas ou serviços; 2 = um; 1 = vago; 0 = nada.
- EX015 — Enquadramento da vítima. Como um laudo deve descrever o usuário que clicou? Rubrica: 3 = ações factuais, sem culpa; 2 = parcial; 1 = usuário descuidado; 0 = nada.
Síntese
Reconheça os padrões de ataque pelas evidências que deixam e investigue sem culpar as vítimas.
Continue estudando — capítulo 05 de 40
← Capítulo 04 (rascunho) · Índice de capítulos do curso · Capítulo 06 (rascunho) →