Capítulo 20 — Perícia digital e análise de malware: contexto de engenharia
Mapa da aula
Aula 20 publicada. Mapa, exemplo, EX058.
flowchart TD
N0["20.1 A cadeia da investigação"]
N1["20.2 O papel da engenharia"]
N2["20.3 Análise de malware"]
N3["20.4 Perícia em dispositivos móveis"]
N4["20.5 O problema do projeto final"]
N5["20.6 Restrições"]
N6["20.7 Critérios de sucesso"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX058"]
Desenho lógico
flowchart LR
N0["20.1 A cadeia da investigação"]
N1["20.2 O papel da engenharia"]
N2["20.3 Análise de malware"]
N3["20.4 Perícia em dispositivos móveis"]
N4["20.5 O problema do projeto final"]
N5["20.6 Restrições"]
N6["20.7 Critérios de sucesso"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX058"]
[20.1 A cadeia da investigação]
|
v
[20.2 O papel da engenharia]
|
v
[20.3 Análise de malware]
|
v
[20.4 Perícia em dispositivos móveis]
|
v
[20.5 O problema do projeto final]
|
v
[20.6 Restrições]
|
v
[20.7 Critérios de sucesso]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX058]
Objetivos de aprendizagem
Você vai (1) descrever onde a engenharia forense se encaixa nas investigações; (2) listar as normas que moldam o trabalho de laboratório; (3) descrever os papéis na análise de malware; (4) delimitar o problema do projeto final de Priya.
20.1 A cadeia da investigação
As investigações passam da identificação e da apreensão à aquisição, ao exame, à análise e ao relatório. O NIST SP 800-86 e a ISO/IEC 27037 cobrem as etapas iniciais; a ISO/IEC 27042 cobre a análise e a interpretação; a ISO/IEC 27041 cobre a garantia de que os métodos são adequados; a ISO/IEC 27043 define os processos gerais. Na prática, as etapas se sobrepõem. Um perito pode descobrir durante a análise que mais dados precisam ser adquiridos, ou um relatório pode motivar um exame adicional. As normas dão a cada etapa suas próprias expectativas sobre documentação, adequação dos métodos e interpretação. Priya associa os recursos do EvidenceDesk às etapas que eles apoiam, o que mostra que o sistema cobre bem a aquisição e a preservação e deixa a interpretação aos peritos.
20.2 O papel da engenharia
Os engenheiros constroem sistemas de entrada, infraestrutura de geração de imagens, armazenamento, automação e ambientes de validação. Eles não tiram conclusões sobre os casos, mas seus sistemas determinam em que os peritos podem confiar. Por exemplo, uma estação de geração de imagens que não registra as novas tentativas de leitura deixaria os peritos sem poder dizer se uma região danificada foi lida corretamente. Um sistema de armazenamento sem verificações de integridade deixaria uma corrupção silenciosa passar despercebida até uma nova verificação anos depois. Os engenheiros, portanto, respondem pela confiabilidade e pela transparência dos sistemas que estão por baixo do exame, mesmo que as conclusões sejam tiradas por outros.
20.3 Análise de malware
Os analistas de malware determinam o que um programa suspeito faz. Sikorski e Honig (2012) distinguem a análise estática (examinar sem executar) da análise dinâmica (executar num ambiente controlado). Os engenheiros constroem os laboratórios isolados em que a análise dinâmica é segura. A análise estática inclui calcular o hash de uma amostra, compará-la com conjuntos conhecidos, ler suas strings e inspecionar suas importações e sua estrutura, tudo sem executá-la. A análise dinâmica a executa numa sandbox monitorada e registra a atividade de arquivos, de registry, de processos e de rede. Cada método cobre lacunas do outro: o código empacotado se esconde da inspeção estática, enquanto o malware que percebe a sandbox esconde seu comportamento das execuções dinâmicas.
20.4 Perícia em dispositivos móveis
O NIST SP 800-101r1 cobre a aquisição e a preservação de dispositivos móveis, uma grande parte da carga de casos atual, com suas próprias ferramentas e necessidades de isolamento. Os celulares combinam criptografia por padrão, atualizações frequentes do sistema operacional e dados de aplicativos armazenados em muitos formatos. As opções de aquisição vão da extração lógica pelas próprias interfaces do dispositivo até métodos mais invasivos, e cada uma produz dados diferentes. O isolamento importa porque um celular online pode receber comandos de apagamento remoto ou novas mensagens que sobrescrevem as mais antigas. O rendimento de cada método é registrado, para que os leitores saibam o que uma dada extração podia e não podia conter.
20.5 O problema do projeto final
A entrada em Northfield é feita em papel, os logs de geração de imagens são inconsistentes e a verificação às vezes é pulada. O projeto final de Priya: um sistema de entrada e integridade de evidências — o "EvidenceDesk" — que registra itens, anota aquisições, verifica hashes e mantém um log de custódia à prova de adulteração. O processo de entrada em papel de Northfield às vezes deixa nas etiquetas números de itens que não correspondem ao livro de registro, e os logs de geração de imagens diferem entre as estações. O EvidenceDesk trata dos dois problemas: cada item recebe na entrada um identificador registrado e uma etiqueta impressa, e cada aquisição registra seu manifesto num único formato. O log de custódia é encadeado por hashes, de modo que cada entrada inclui o hash da anterior.
20.6 Restrições
Precisa funcionar offline na zona de exame, usar código auditável e se encaixar nas ferramentas existentes. Funcionar offline exclui serviços de nuvem e instalações de pacotes em tempo real, por isso as dependências precisam ser empacotadas junto e validadas. Código auditável significa que um revisor pode ler e testar o código-fonte, o que favorece uma base de código pequena numa linguagem comum. Encaixar-se nas ferramentas existentes significa aceitar os formatos de saída delas em vez de substituí-las, por isso o EvidenceDesk envolve as ferramentas de geração de imagens e as deixa inalteradas. As dependências empacotadas têm hash calculado, e esses hashes são listados no registro da versão.
20.7 Critérios de sucesso
Toda imagem verificada antes do exame; histórico de custódia completo; os revisores conseguem reproduzir qualquer registro. Cada critério tem um teste. Para mostrar que toda imagem é verificada, um teste tenta pôr na fila de exame um item não verificado e espera uma recusa. Para mostrar que a custódia está completa, cada item deve ter uma sequência ininterrupta de eventos de custódia, da entrada até sua localização atual. Para mostrar a reprodutibilidade, um revisor recria um registro escolhido ao acaso a partir do manifesto armazenado e obtém os mesmos hashes. As falhas bloqueiam o lançamento.
Limites do escopo
O EvidenceDesk não vai analisar evidências, decidir relevância nem escrever relatórios; essas continuam sendo tarefas dos peritos, com ferramentas validadas. Manter o escopo estreito torna a validação viável dentro de um projeto final e permite que Northfield adote o sistema sem mudar o modo como os peritos chegam às conclusões. Priya escreve o limite no termo de abertura do projeto, para que os pedidos de recursos posteriores possam ser julgados em relação a ele.
Exemplo resolvido
Priya entrevista três peritos. Todos descrevem verificações puladas sob pressão de tempo; nenhum registra as versões de firmware dos geradores de imagem. Ela escreve dois requisitos a partir disso: verificação bloqueante e registro obrigatório da versão da ferramenta.
Caso sintético. As entrevistas são inventadas.
Erros e limites
As entrevistas mostram percepções; ela vai conferi-las com os registros.
Exercícios
- EX058 — Mapa das normas. Qual norma ISO/IEC cobre a análise e a interpretação? Rubrica: 3 = 27042, com as demais situadas; 2 = só 27042; 1 = errada; 0 = nada.
- EX059 — Estática versus dinâmica. Distinga a análise de malware estática da dinâmica. Rubrica: 3 = sem executar versus executando em ambiente controlado; 2 = parcial; 1 = invertidas; 0 = nada.
- EX060 — Requisitos a partir das entrevistas. Quais dois requisitos vieram das entrevistas? Rubrica: 3 = verificação bloqueante, registro da versão da ferramenta; 2 = um; 1 = vago; 0 = nada.
Síntese
A engenharia forense constrói a infraestrutura confiável por baixo das investigações baseadas em normas; o EvidenceDesk é a contribuição de Priya.
Continue estudando — capítulo 20 de 50
← Capítulo 19 (rascunho) · Índice de capítulos do curso · Capítulo 21 (rascunho) →