◇ OpenCyber Academy
Pesquisa doutoral · Capítulo 2 · Português

Capítulo 2 — Perícia digital e análise de malware: fronteira da pesquisa

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 2 — Perícia digital e análise de malware: fronteira da pesquisa

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Escala e triagem"]
  N1["2.2 Fragmentação e carving"]
  N2["2.3 Criptografia e nuvem"]
  N3["2.4 Dispositivos móveis"]
  N4["2.5 Análise de malware"]
  N5["2.6 Interpretação e relato avaliativo"]
  N6["2.7 Escolhendo um nicho"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Escala e triagem"]
  N1["2.2 Fragmentação e carving"]
  N2["2.3 Criptografia e nuvem"]
  N3["2.4 Dispositivos móveis"]
  N4["2.5 Análise de malware"]
  N5["2.6 Interpretação e relato avaliativo"]
  N6["2.7 Escolhendo um nicho"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX008"]

[2.1 Escala e triagem]
    |
    v
[2.2 Fragmentação e carving]
    |
    v
[2.3 Criptografia e nuvem]
    |
    v
[2.4 Dispositivos móveis]
    |
    v
[2.5 Análise de malware]
    |
    v
[2.6 Interpretação e relato avaliativo]
    |
    v
[2.7 Escolhendo um nicho]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem

Você vai (1) mapear problemas em aberto na perícia digital e na análise de malware; (2) relacioná-los a normas e a críticas publicadas; (3) identificar onde uma contribuição de doutorado é viável; (4) evitar temas que exijam trabalho inseguro ou ilícito.

2.1 Escala e triagem

Os volumes de armazenamento crescem mais depressa do que o tempo dos peritos. A pesquisa pergunta como fazer a triagem — quais artefatos examinar primeiro — sem perder evidências decisivas. Garfinkel (2010) apontou a escala como um desafio central para a década seguinte. O tema de Ines toca a triagem de forma indireta. Se a revocação do carving for baixa em mídias fragmentadas, um perito que faça a triagem começando pelo carving poderia concluir erroneamente que uma fotografia está ausente. A revocação medida diz a quem projeta a triagem quanto peso uma passada de carving merece antes da análise mais profunda, e em que tipo de imagem esse peso foi estimado.

2.2 Fragmentação e carving

Quando os metadados do sistema de arquivos se perdem, os carvers recuperam arquivos a partir dos bytes brutos. O File System Forensic Analysis, de Carrier, explica como surgem a alocação e a fragmentação. O carving por cabeçalho e rodapé falha em arquivos fragmentados; existe remontagem mais inteligente, mas suas taxas de erro raramente são relatadas em conjuntos de dados compartilhados. É nessa lacuna que Ines situa seu trabalho. Os estudos costumam mostrar um método de remontagem funcionando em arquivos de exemplo, mas raramente relatam quantos arquivos o método perde em muitas imagens com verdade conhecida, em cada nível de fragmentação. O gerador dela registra o intervalo de bytes de cada fragmento, de modo que a revocação pode ser contada em vez de estimada a partir de um punhado de demonstrações.

2.3 Criptografia e nuvem

A criptografia de disco completo e o armazenamento em nuvem tiram as evidências do alcance da aquisição de imagem tradicional. A pesquisa examina rotas lícitas de aquisição e quais artefatos permanecem nos endpoints. Ines registra essa área e a deixa de lado. Volumes criptografados e armazenamentos em nuvem levantam questões de processo legal e de recuperação de chaves que seu gerador não consegue modelar, e incluí-los ampliaria a tese além do que oito meses de estudo principal permitem. Seu capítulo de literatura nomeia a área como trabalho adjacente, para que os examinadores vejam que a fronteira foi escolhida, e lista os levantamentos publicados que ela leu antes de decidir.

2.4 Dispositivos móveis

O NIST SP 800-101r1 descreve níveis de aquisição móvel que vão do manual ao físico. Mudanças rápidas de plataforma fazem os resultados de validação envelhecerem depressa. Para um projeto de doutorado, esse envelhecimento é um risco: um resultado ligado a uma versão de sistema operacional de celular pode estar desatualizado antes da defesa. Ines escolheu imagens de disco em parte porque o carving de padrões de cabeçalho e rodapé em bytes brutos depende de formatos de arquivo que mudam muito mais devagar. Sua revisão de literatura declara essa razão para que a escolha não seja confundida com desconhecimento do trabalho em dispositivos móveis, e cita o SP 800-101r1 para os níveis de aquisição.

2.5 Análise de malware

A análise estática e a dinâmica, descritas em livros-texto como o Practical Malware Analysis, de Sikorski e Honig, enfrentam ofuscação e evasão. Continua a pesquisa sobre classificação de comportamento e sobre o mapeamento de comportamentos observados para técnicas do ATT&CK. O trabalho de doutorado aqui deve ocorrer em laboratórios isolados, com aprovação institucional; este livro usa apenas artefatos sintéticos e inertes. A revisão de Ines cobre o trabalho com malware apenas para mostrar por que ela não o escolheu. Sua pontuação de temas avaliou o agrupamento de ransomware ativo como baixo em segurança e em acesso a dados, e a literatura confirmou que esses estudos dependem de laboratórios isolados e de amostras que ela não poderia compartilhar. Sua tese mantém o limite ético deste livro, por isso não contém amostra alguma.

2.6 Interpretação e relato avaliativo

A ISO/IEC 27042 trata de análise e interpretação, incluindo repetibilidade e reprodutibilidade. Como os peritos expressam a força dos achados — e com que frequência concordam — é uma área pouco estudada. Isso se liga aos resultados de Ines. Um intervalo de revocação diz ao perito com que frequência um arquivo recuperado por carving pode estar faltando, mas não como redigir um laudo quando uma fotografia esperada está ausente. Ela cita essa lacuna como trabalho futuro: um estudo de como os peritos descrevem recuperações parciais e de com que frequência concordam sobre a força desses achados. Sua própria tese fornece as taxas de erro de que tal estudo precisaria como insumo.

2.7 Escolhendo um nicho

Uma contribuição viável é: estreita (uma classe de artefato), mensurável (verdade de referência disponível) e segura (sem malware ativo, sem dados pessoais). O tema de Ines atende às três condições. É estreito porque mede um método numa família de arquivos. É mensurável porque o gerador registra a verdade de cada arquivo. É seguro porque as imagens não contêm dados pessoais nem código malicioso. Sua banca aceitou o tema com base nisso, pedindo que ela mostrasse que as imagens sintéticas se parecem com mídias reais nas propriedades que afetam o carving.

Exemplo resolvido

Ines lista cinco temas candidatos e pontua cada um em novidade, viabilidade, segurança e acesso a dados. "Agrupamento comportamental de ransomware ativo" pontua baixo em segurança e em acesso a dados. "Revocação do carving sob fragmentação controlada" pontua alto nos quatro critérios, e a literatura mostra poucos resultados baseados em intervalos sobre imagens sintéticas compartilhadas.

Caso sintético. A pontuação é inventada.

Erros e limites

Mapas da fronteira envelhecem depressa; registre a data da busca e as fontes.

Exercícios

Síntese

Mapeie a fronteira contra normas e críticas e depois escolha um nicho estreito, mensurável e seguro.

Continue estudando — capítulo 02 de 08

← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →