Capítulo 11 — Sistemas operacionais
Mapa da aula
Aula 11 publicada. Mapa, exemplo, EX031.
flowchart TD
N0["11.1 Processos e interpretadores de comandos"]
N1["11.2 Privilégio"]
N2["11.3 Telemetria de endpoint"]
N3["11.4 Ler uma página de técnica"]
N4["11.5 Serviços remotos"]
N5["11.6 Correções e situação de suporte"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX031"]
Desenho lógico
flowchart LR
N0["11.1 Processos e interpretadores de comandos"]
N1["11.2 Privilégio"]
N2["11.3 Telemetria de endpoint"]
N3["11.4 Ler uma página de técnica"]
N4["11.5 Serviços remotos"]
N5["11.6 Correções e situação de suporte"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX031"]
[11.1 Processos e interpretadores de comandos]
|
v
[11.2 Privilégio]
|
v
[11.3 Telemetria de endpoint]
|
v
[11.4 Ler uma página de técnica]
|
v
[11.5 Serviços remotos]
|
v
[11.6 Correções e situação de suporte]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX031]
Objetivos de aprendizagem
Você vai (1) relacionar conceitos de sistemas operacionais a técnicas do ATT&CK; (2) identificar a telemetria de endpoint útil para conferir inteligência; (3) explicar o privilégio e seu abuso; (4) ler uma página de técnica com senso crítico.
11.1 Processos e interpretadores de comandos
Um sistema operacional executa processos, cada um iniciado por um processo pai. Os atacantes costumam usar interpretadores nativos — PowerShell, shells de comando, hosts de script —, que o ATT&CK agrupa em Command and Scripting Interpreter (T1059). Como os administradores usam as mesmas ferramentas, a detecção depende do contexto: qual processo pai, qual usuário, qual horário. Amara observa que os administradores de um hospital rodam scripts à noite para backups e atualizações, então um script noturno não é suspeito por si só. A pergunta útil é se o processo pai e a conta correspondem ao que os administradores normalmente usam.
11.2 Privilégio
As contas carregam privilégios. Os atacantes preferem contas válidas (T1078) porque usar credenciais reais parece trabalho normal. O menor privilégio limita o que uma conta roubada pode fazer. No HCHT, as contas válidas incluem contas de fornecedores usadas para a manutenção remota de sistemas clínicos. Amara aprende que a inteligência sobre credenciais roubadas de fornecedores é especialmente urgente, já que essas contas costumam ter acesso amplo. Ela confere se cada conta de fornecedor no diretório tem um responsável e uma data de expiração, e relata à equipe de identidade as que não têm um ou outro.
11.3 Telemetria de endpoint
Eventos de criação de processo com linhas de comando, eventos de logon e instalações de serviço são os logs de endpoint mais relevantes para a CTI. Se um relatório diz que um grupo executou uma tarefa agendada com um nome específico, Amara pode buscar esse nome nos dados de endpoint do HCHT. Antes de buscar, Amara confirma com a equipe de endpoint quais sistemas enviam dados de processo, já que os dispositivos médicos e alguns sistemas de laboratório não rodam o agente. Onde falta telemetria, o resultado da busca diz isso, em vez de dar a entender que nada foi encontrado.
11.4 Ler uma página de técnica
Cada página de técnica do ATT&CK tem uma descrição, exemplos de procedimento tirados de relatórios públicos, mitigações e notas de detecção. Os exemplos de procedimento mostram que alguém observou aquilo; não mostram quão comum é. Amara usa as páginas de técnica para entender o que um relatório descreve, e não para estimar a probabilidade de o HCHT vê-lo. Quando um relatório associa um incidente a uma técnica, ela lê os exemplos de procedimento para ver se a associação faz sentido. As notas de detecção dão ideias de buscas, que ela confere com a equipe de endpoint antes de executar.
11.5 Serviços remotos
Remote Services (T1021) abrange atacantes que se movem entre sistemas usando acesso remoto legítimo. Em um hospital, a área de trabalho remota é usada por fornecedores, então linhas de base de quem se conecta a onde são essenciais. Amara ajuda a equipe a montar uma linha de base das conexões de fornecedores: qual fornecedor se conecta a quais sistemas, de quais endereços e em que horários. Uma conexão fora da linha de base não prova um ataque, mas merece uma conferência rápida com o fornecedor. A linha de base é revisada a cada trimestre com a engenharia clínica, já que os calendários de manutenção mudam e novos fornecedores são acrescentados.
11.6 Correções e situação de suporte
Sistemas operacionais sem suporte não recebem mais correções, então a inteligência sobre vulnerabilidades que os afetam não tem remédio por patch. O inventário deve registrar a situação de suporte, e os alertas que tocam sistemas sem suporte disparam controles compensatórios — segmentação, acesso restrito, monitoramento extra — acordados com o responsável pelo sistema. Amara acrescenta a situação de suporte às suas notas de alerta, para que os leitores vejam na hora se a correção é possível. Os controles compensatórios são revistos quando o plano de substituição do responsável muda. Amara mantém uma lista curta dos sistemas sem suporte, com seus controles e responsáveis, para que um alerta possa ser conferido com ela depressa, e anota quando uma data de substituição foi adiada.
Exemplo resolvido
O HSSC relata que um intruso em outra instituição usou a área de trabalho remota a partir de uma conta de fornecedor às 03:00. Amara pede à equipe de endpoint do HCHT os logons remotos de contas de fornecedores fora do horário comercial nos últimos 30 dias. Aparecem dois; ambos correspondem a chamados de manutenção agendada. Ela registra "conferido; nenhuma correspondência", com a consulta e as datas.
Caso sintético. O relatório e os logons são inventados.
Erros e limites
A ausência nos logs pode significar falta de registro. Registre a cobertura ao relatar "nenhuma correspondência".
Exercícios
- EX031 — Escolha da técnica. Um atacante entra com uma senha roubada de fornecedor. Que técnica do ATT&CK se encaixa? Rubrica: 3 = Valid Accounts T1078, com justificativa; 2 = só o nome; 1 = T1059; 0 = nenhuma.
- EX032 — Cautela com procedimentos. O que um exemplo de procedimento em uma página do ATT&CK não diz? Rubrica: 3 = frequência/prevalência ou se ele visa você; 2 = parcial; 1 = diz tudo; 0 = nenhuma.
- EX033 — Registro de nenhuma correspondência. O que Amara deve incluir ao registrar "nenhuma correspondência"? Rubrica: 3 = consulta, período, fonte de dados e lacunas de cobertura; 2 = dois; 1 = só o veredito; 0 = nenhuma.
Síntese
Associe o comportamento do sistema operacional a técnicas, use a telemetria de endpoint para conferir relatórios e registre a cobertura junto com cada resultado negativo.
Continue estudando — capítulo 11 de 40
← Capítulo 10 (rascunho) · Índice de capítulos do curso · Capítulo 12 (rascunho) →