Capítulo 18 — Arquitetura de segurança
Mapa da aula
Aula 18 publicada. Mapa, exemplo, EX052.
flowchart TD
N0["18.1 Zonas"]
N1["18.2 Por que isolar o exame"]
N2["18.3 Prontidão forense"]
N3["18.4 Arquitetura de logging"]
N4["18.5 Sincronização de tempo"]
N5["18.6 Documentação da arquitetura"]
N6["18.7 Revisão"]
N7["Peritos remotos"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX052"]
Desenho lógico
flowchart LR
N0["18.1 Zonas"]
N1["18.2 Por que isolar o exame"]
N2["18.3 Prontidão forense"]
N3["18.4 Arquitetura de logging"]
N4["18.5 Sincronização de tempo"]
N5["18.6 Documentação da arquitetura"]
N6["18.7 Revisão"]
N7["Peritos remotos"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX052"]
[18.1 Zonas]
|
v
[18.2 Por que isolar o exame]
|
v
[18.3 Prontidão forense]
|
v
[18.4 Arquitetura de logging]
|
v
[18.5 Sincronização de tempo]
|
v
[18.6 Documentação da arquitetura]
|
v
[18.7 Revisão]
|
v
[Peritos remotos]
|
v
[Exemplo resolvido] --> [Exercício EX052]
Objetivos de aprendizagem
Você vai (1) projetar uma arquitetura segura para a rede de um laboratório forense; (2) separar zonas por nível de confiança; (3) planejar o logging para a prontidão forense; (4) explicar a prontidão forense para organizações.
18.1 Zonas
A rede de Northfield tem uma zona de escritório (e-mail, web), uma zona de exame (estações de trabalho, depósito de evidências) sem acesso à internet e uma zona de análise isolada para arquivos suspeitos. Os dados só passam entre zonas por pontos de transferência controlados que registram cada arquivo. Os pontos de transferência podem ser uma estação de trabalho dedicada com um scanner e um diodo de dados de sentido único, ou um processo manual com mídias recém-formatadas. De qualquer forma, cada transferência registra o que passou, seu hash, quem o transferiu e por quê. O projeto de Priya também bloqueia as interfaces sem fio nas máquinas de exame, porque uma rede isolada só é isolada se ninguém puder criar uma ponte com ela por acidente.
18.2 Por que isolar o exame
O acesso à internet a partir das estações de exame arrisca o vazamento de evidências e a chegada à internet de malware contido nas evidências. As atualizações offline passam por um processo de transferência verificado. As evidências podem conter malware ativo, e alguns malwares procuram acesso à internet antes de revelar seu comportamento. Uma estação de exame conectada poderia permitir que uma amostra contatasse seus operadores, avisando-os de que estão sob investigação. As atualizações de ferramentas e assinaturas são baixadas na zona de escritório, conferidas com os hashes do fornecedor e depois levadas pelo ponto de transferência.
18.3 Prontidão forense
As organizações que podem precisar investigar incidentes devem se preparar antes que eles aconteçam: decidir quais logs manter, por quanto tempo e como coletá-los de forma sólida. A ISO/IEC 27043 inclui processos de prontidão. Para uma empresa, a prontidão reduz o custo das investigações e melhora as evidências disponíveis. Um plano de prontidão lista as perguntas a que uma investigação precisaria responder, como quem fez logon, quais arquivos saíram da rede e quais processos foram executados, e garante que os logs para cada resposta existam, sejam mantidos por tempo suficiente e estejam protegidos. Ele também nomeia quem pode autorizar a coleta e como as evidências seriam preservadas. Testar o plano com um exercício de mesa encontra as lacunas antes que um incidente real o faça.
18.4 Arquitetura de logging
Os logs vão para um coletor central com tempo sincronizado, proteção de integridade e retenção ajustada às prováveis necessidades de investigação. A proteção de integridade pode significar encaminhar os logs, à medida que são gravados, para um coletor que as fontes não conseguem alterar, além do cálculo periódico de hash ou da assinatura dos lotes armazenados. A retenção é definida pelas perguntas a que os logs precisam responder. Os logs de autenticação podem ser mantidos por um ano, enquanto os logs de rede de alto volume são resumidos após um mês. Priya documenta cada período de retenção com sua razão. O armazenamento do coletor é dimensionado a partir do volume diário medido.
18.5 Sincronização de tempo
Todos os sistemas se sincronizam com uma fonte de tempo comum; a deriva é monitorada, porque a correlação de logs depende disso. O monitoramento compara periodicamente o relógio de cada sistema com a referência e alerta quando a deriva ultrapassa um limite, como um segundo. O histórico de alertas torna-se evidência por si só. Se se sabia que o relógio de um servidor estava 40 segundos adiantado durante uma dada semana, os eventos desse servidor podem ser corrigidos com confiança, e a correção pode ser justificada a partir do registro.
18.6 Documentação da arquitetura
Diagramas, descrições de fluxo de dados e registros de decisão permitem que auditores e novos membros da equipe entendam por que o projeto é como é. Um registro de decisão declara o problema, as opções consideradas, a escolha feita, suas consequências e a data. Por exemplo: 'A zona de exame não tem internet; as atualizações chegam pelo ponto de transferência. Consequência: as atualizações de assinaturas podem atrasar até um dia.' Os novos membros da equipe leem os registros para saber por que as coisas são como são, o que impede que mudanças bem-intencionadas desfaçam controles importantes. Os registros substituídos permanecem arquivados.
18.7 Revisão
As arquiteturas são revisadas quando as ameaças, as ferramentas ou as regulamentações mudam. Um gatilho de revisão pode ser um novo tipo de evidência, como exportações de contas de nuvem chegando em volume, ou um regulador que publica orientações sobre acesso remoto. A revisão confere cada zona, ponto de transferência e regra de logging em relação à mudança e registra se algo precisa ser atualizado. Um projeto inalterado após uma revisão é um resultado legítimo, desde que a revisão seja documentada. Cada revisão nomeia um responsável por qualquer mudança decorrente e uma data até a qual ela deve ser feita.
Peritos remotos
Alguns peritos trabalham em escritórios regionais. Em vez de abrir a zona de exame ao acesso remoto, Northfield instala localmente pequenas estações de trabalho offline e envia imagens verificadas em discos criptografados com manifestos de hash, aceitando um atendimento mais lento em troca de um isolamento mais forte, e registra a decisão.
Exemplo resolvido
Uma empresa cliente pergunta a Northfield por que a investigação do seu incidente levou semanas. A revisão de Priya constata que os logs dos endpoints eram mantidos por apenas sete dias e que os relógios derivavam em minutos. Suas recomendações de prontidão: retenção central de 90 dias, sincronização de tempo pela rede e um procedimento de coleta documentado.
Caso sintético. A empresa é inventada.
Erros e limites
A retenção custa dinheiro e aumenta os deveres de privacidade; guarde o que tem uma finalidade, por um período declarado.
Exercícios
- EX052 — Três zonas. Nomeie as três zonas e suas finalidades. Rubrica: 3 = escritório, exame (offline), análise (isolada); 2 = duas; 1 = uma; 0 = nada.
- EX053 — Prontidão definida. O que é prontidão forense? Rubrica: 3 = preparar logs/procedimentos antes dos incidentes para coletar evidências sólidas; 2 = parcial; 1 = resposta; 0 = nada.
- EX054 — Compromisso da retenção. Por que não guardar todos os logs para sempre? Rubrica: 3 = custo e deveres de privacidade; guardar com finalidade e período; 2 = um; 1 = sem razão; 0 = nada.
Síntese
A separação em zonas protege as evidências; a prontidão forense torna as investigações futuras possíveis e mais baratas.
Continue estudando — capítulo 18 de 50
← Capítulo 17 (rascunho) · Índice de capítulos do curso · Capítulo 19 (rascunho) →