Capítulo 15 — Fundamentos de segurança
Mapa da aula
Aula 15 publicada. Mapa, exemplo, EX043.
flowchart TD
N0["15.1 CIA num laboratório forense"]
N1["15.2 Incidentes e perícia"]
N2["15.3 Técnicas e artefatos"]
N3["15.4 Privilégio mínimo"]
N4["15.5 Segurança do depósito de evidências"]
N5["15.6 Defesa em profundidade"]
N6["15.7 Manuseio de malware"]
N7["Ameaças às evidências"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX043"]
Desenho lógico
flowchart LR
N0["15.1 CIA num laboratório forense"]
N1["15.2 Incidentes e perícia"]
N2["15.3 Técnicas e artefatos"]
N3["15.4 Privilégio mínimo"]
N4["15.5 Segurança do depósito de evidências"]
N5["15.6 Defesa em profundidade"]
N6["15.7 Manuseio de malware"]
N7["Ameaças às evidências"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX043"]
[15.1 CIA num laboratório forense]
|
v
[15.2 Incidentes e perícia]
|
v
[15.3 Técnicas e artefatos]
|
v
[15.4 Privilégio mínimo]
|
v
[15.5 Segurança do depósito de evidências]
|
v
[15.6 Defesa em profundidade]
|
v
[15.7 Manuseio de malware]
|
v
[Ameaças às evidências]
|
v
[Exemplo resolvido] --> [Exercício EX043]
Objetivos de aprendizagem
Você vai (1) aplicar confidencialidade, integridade e disponibilidade a sistemas forenses; (2) explicar como os incidentes geram trabalho forense; (3) relacionar técnicas de atacantes a artefatos; (4) proteger depósitos de evidências.
15.1 CIA num laboratório forense
Confidencialidade: os dados dos casos chegam apenas à equipe autorizada. Integridade: as evidências e os achados não podem mudar sem que se perceba. Disponibilidade: as evidências podem ser apresentadas quando o tribunal pede, anos depois. Um laboratório forense é ele próprio um alvo de segurança, porque as evidências e as informações dos casos têm valor para as partes de um processo. Cada propriedade corresponde a controles concretos. A confidencialidade precisa de controle de acesso e de criptografia em repouso. A integridade precisa de hashes, registros apenas de acréscimo e manifestos assinados. A disponibilidade precisa de backups testados, migração de formatos e planejamento da retenção. Um atacante que quisesse constranger a acusação poderia mirar a integridade, enquanto um que buscasse dados de vítimas miraria a confidencialidade, por isso o modelo de ameaças cobre ambos.
15.2 Incidentes e perícia
O NIST SP 800-61r3 situa a resposta a incidentes dentro da gestão mais ampla de riscos de cibersegurança; o exame forense a apoia ao estabelecer o que aconteceu. Uma intrusão deixa artefatos que os respondedores e os peritos coletam. Os respondedores a incidentes buscam conter e recuperar rapidamente, enquanto os peritos buscam estabelecer fatos que resistam ao escrutínio. Os objetivos podem entrar em conflito. Apagar e reconstruir um servidor comprometido restaura o serviço, mas destrói a evidência. Bons programas decidem antecipadamente quais sistemas recebem imagem antes da reconstrução e quanto tempo a contenção pode esperar, para que a decisão não seja improvisada sob pressão.
15.3 Técnicas e artefatos
O MITRE ATT&CK cataloga técnicas de adversários com as fontes de dados capazes de detectá-las. Priya o usa para perguntar, em cada técnica, qual artefato a mostraria — por exemplo, a criação de tarefas agendadas aparece em logs específicos. Para a criação de tarefas agendadas, as fontes relevantes incluem o log operacional do agendador de tarefas, os arquivos de definição de tarefas no disco e as entradas de registry que registram metadados das tarefas. Priya monta uma tabela com a técnica, os artefatos que poderiam mostrá-la e se os sistemas sintéticos de Northfield de fato os registram. As células em branco mostram onde uma intrusão poderia ocorrer sem deixar o vestígio esperado.
15.4 Privilégio mínimo
Os peritos recebem apenas o acesso de que seus casos precisam; os administradores não podem alterar evidências sem deixar logs que outros revisam. No EvidenceDesk, um perito pode registrar aquisições para os casos designados, mas não pode mudar os registros de outros peritos. Um revisor pode ler, mas não gravar. Um administrador gerencia contas, mas não pode ler o conteúdo das evidências sem uma solicitação registrada. Cada ação privilegiada cria uma entrada de auditoria que o administrador não pode apagar, e uma segunda pessoa revisa essas entradas todo mês. As permissões são revistas sempre que alguém muda de função, e as contas de quem sai são desativadas no último dia.
15.5 Segurança do depósito de evidências
Armazenamento criptografado, logs de acesso, backups offline e controle de acesso físico protegem o próprio depósito de evidências. Os backups são testados restaurando-os, não apenas confirmando que foram executados. Os backups offline importam porque um ransomware ou uma conta de administrador comprometida poderia criptografar ou apagar tudo o que está acessível online. Um teste de restauração escolhe um caso aleatório a cada trimestre, restaura-o num sistema isolado e verifica cada hash contra o manifesto original. Uma restauração malsucedida é tratada como incidente, porque um backup que não pode ser restaurado não oferece proteção.
15.6 Defesa em profundidade
Nenhum controle é confiável sozinho; as camadas pegam o que uma deixa passar. No depósito de evidências, as camadas podem incluir controle de acesso físico, isolamento de rede, controle de contas, permissões de arquivos, criptografia e verificação de hashes. Um atacante que passe por uma camada, por exemplo com credenciais roubadas, ainda encontra as outras. Priya associa cada ameaça do seu modelo a pelo menos dois controles independentes e anota onde existe apenas um, o que marca essa lacuna como prioridade. As camadas também precisam de monitoramento, porque um controle que ninguém observa pode falhar sem que ninguém perceba.
15.7 Manuseio de malware
A análise de arquivos suspeitos acontece em sistemas isolados; as amostras são guardadas em arquivos compactados protegidos por senha, para que não sejam executadas por acidente. As senhas desses arquivos são convencionais, não secretas, como 'infected', e sua finalidade é impedir a execução acidental e a exclusão pelo antivírus, não manter os arquivos confidenciais. As amostras são nomeadas pelo hash, não pelo nome de arquivo original, para que não possa acontecer um clique duplo em algo como 'invoice.pdf.exe'. As transferências para a zona de análise passam pelo ponto de transferência registrado, como qualquer outro arquivo.
Ameaças às evidências
As ameaças incluem pessoas internas que alteram arquivos, ransomware que criptografa o depósito e a simples perda de mídias. Priya as classifica por probabilidade e impacto antes de propor controles.
Exemplo resolvido
Priya revisa o projeto sintético de armazenamento de Northfield: uma única unidade de rede compartilhada, com todos os peritos tendo acesso de gravação. Ela recomenda permissões por caso, armazenamento de gravação única para as imagens e acesso administrativo registrado, associando cada medida à integridade ou à confidencialidade.
Caso sintético. O projeto é inventado.
Erros e limites
Os controles de segurança reduzem o risco; o logging importa porque nenhum controle é perfeito.
Exercícios
- EX043 — Associação com a CIA. Associe o armazenamento de imagens de gravação única a uma propriedade da CIA. Rubrica: 3 = integridade, explicada; 2 = só a propriedade; 1 = errada; 0 = nada.
- EX044 — Uso do ATT&CK. Como Priya usa o ATT&CK? Rubrica: 3 = associa técnicas a artefatos/fontes de dados; 2 = parcial; 1 = lista de ataques; 0 = nada.
- EX045 — Armazenamento de amostras. Por que as amostras suspeitas são guardadas em arquivos compactados protegidos? Rubrica: 3 = impedir a execução acidental; 2 = parcial; 1 = economizar espaço; 0 = nada.
Síntese
Os laboratórios forenses aplicam a CIA a si mesmos, associam técnicas a artefatos e manuseiam amostras em isolamento.
Continue estudando — capítulo 15 de 50
← Capítulo 14 (rascunho) · Índice de capítulos do curso · Capítulo 16 (rascunho) →