Capítulo 26 — Perícia digital e análise de malware: alternativas de arquitetura
Mapa da aula
Aula 26 publicada. Mapa, exemplo, EX076.
flowchart TD
N0["26.1 Alternativa 1: estação de trabalho única"]
N1["26.2 Alternativa 2: cliente–servidor na LAN de exame"]
N2["26.3 Alternativa 3: gestão de casos comercial"]
N3["26.4 Avaliação"]
N4["26.5 Comparação de segurança"]
N5["26.6 Custo de validação"]
N6["26.7 Plano de saída"]
N7["Opções híbridas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX076"]
Desenho lógico
flowchart LR
N0["26.1 Alternativa 1: estação de trabalho única"]
N1["26.2 Alternativa 2: cliente–servidor na LAN de exame"]
N2["26.3 Alternativa 3: gestão de casos comercial"]
N3["26.4 Avaliação"]
N4["26.5 Comparação de segurança"]
N5["26.6 Custo de validação"]
N6["26.7 Plano de saída"]
N7["Opções híbridas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX076"]
[26.1 Alternativa 1: estação de trabalho única]
|
v
[26.2 Alternativa 2: cliente–servidor na LAN de exame]
|
v
[26.3 Alternativa 3: gestão de casos comercial]
|
v
[26.4 Avaliação]
|
v
[26.5 Comparação de segurança]
|
v
[26.6 Custo de validação]
|
v
[26.7 Plano de saída]
|
v
[Opções híbridas]
|
v
[Exemplo resolvido] --> [Exercício EX076]
Objetivos de aprendizagem
Você vai (1) comparar arquiteturas para um sistema de evidências; (2) avaliá-las em relação aos requisitos; (3) considerar a segurança e o custo de validação; (4) escolher e justificar.
26.1 Alternativa 1: estação de trabalho única
O EvidenceDesk roda numa máquina offline na zona de exame. Simples e fácil de validar; um ponto único de falha. A validação é simples porque há uma máquina, uma instalação e nenhum código de rede. Os backups dependem de alguém copiar os arquivos para mídia removível no horário previsto. Se a estação falhar, o registro para até ela ser consertada ou restaurada. Com seis peritos, também haveria filas na única máquina nos períodos de entrada movimentados, o que os dados de tempo do ateliê tornam concreto.
26.2 Alternativa 2: cliente–servidor na LAN de exame
Um pequeno servidor guarda os registros; as estações dos peritos se conectam a ele. Permite usuários simultâneos e backups centralizados; mais componentes a proteger e testar. O servidor guarda os registros de referência e executa a verificação diária da cadeia, enquanto as estações rodam um cliente leve que envia pedidos e mostra os resultados. O uso simultâneo exige travamento, para que dois peritos não criem eventos de custódia conflitantes para um mesmo item no mesmo instante. Os backups centralizados rodam toda noite a partir do servidor. Cada componente extra, como o serviço de rede e a autenticação, acrescenta testes e superfície de ataque.
26.3 Alternativa 3: gestão de casos comercial
Comprar um produto existente. Recursos e suporte; menos controle sobre o código, a validação depende das evidências do fornecedor, e há custos de licenciamento. Os produtos de fornecedores muitas vezes incluem relatórios, painéis e integrações que levariam anos para serem construídos internamente. A validação passa então a depender das evidências de teste do fornecedor e dos próprios testes de aceitação de Northfield, porque o código não pode ser inspecionado. Os custos de licenciamento se repetem todo ano, e sair do produto mais tarde depende de ele exportar registros completos num formato aberto. Priya pede a dois fornecedores a documentação de validação e um exemplo de exportação. Um fornece as duas coisas; o outro oferece apenas uma folha de resumo.
26.4 Avaliação
Priya pontua cada alternativa em relação a FR1–FR5 e NFR1–NFR4, mais a segurança e o custo de validação. A Alternativa 2 atende a todos os Musts e comporta os seis peritos de Northfield; a Alternativa 1 falha na simultaneidade; a Alternativa 3 pontua bem, mas não consegue satisfazer o NFR2 (código auditável). A planilha de pontuação de Priya usa pesos combinados com a gerente do laboratório antes de a pontuação começar: os Musts são aprovados ou reprovados, os Shoulds recebem de zero a três, e a segurança e o custo de validação são pontuados separadamente. Combinar os pesos primeiro impede que a planilha seja ajustada para favorecer uma resposta preferida. A planilha preenchida vai para o registro de projeto com as notas brutas, e não apenas os totais.
26.5 Comparação de segurança
A Alternativa 2 acrescenta um serviço de rede. Mitigações: somente a LAN de exame, acesso autenticado, administração registrada em log, nenhuma rota para a internet. Acesso autenticado significa contas individuais, não um login compartilhado do laboratório, para que cada evento de custódia nomeie uma pessoa. A administração acontece apenas a partir de um console designado e é registrada num repositório que os administradores não podem editar. Sem rota para a internet, atacantes remotos precisariam primeiro de um ponto de apoio na zona de exame, que já tem seus próprios controles. O servidor roda apenas o serviço do EvidenceDesk e um cliente de tempo, e suas regras de firewall listam quais endereços de estações podem se conectar. Espera-se que uma varredura de portas feita durante os testes a partir de uma máquina não listada não encontre nada.
26.6 Custo de validação
Cada componente que toca os registros precisa de testes. A Alternativa 2 acrescenta testes de servidor e de cliente, mas eles reutilizam a mesma biblioteca central. A biblioteca central compartilhada contém a criação de registros, o encadeamento por hashes e as transições de estado, então a maioria dos testes a atinge uma única vez. Os testes do cliente conferem que a interface envia pedidos corretos e exibe as recusas com clareza, e os testes do servidor conferem o travamento, a autenticação e os backups. Priya estima o esforço de validação em dias para cada alternativa, e a biblioteca central torna modesto o custo extra da Alternativa 2. Suas estimativas são de doze dias para a Alternativa 1 e quinze para a Alternativa 2.
26.7 Plano de saída
Os registros são linhas JSON simples, então Northfield pode migrar para outro sistema mais tarde sem perder o histórico. Um plano de saída declara como os registros passariam para um sistema sucessor: exportar os arquivos de linhas JSON, verificar as cadeias de hashes e mapear os campos das entidades para o novo esquema. Priya testa isso importando uma exportação sintética numa planilha simples e confirmando que todos os eventos de custódia sobrevivem. Laboratórios que ignoram os planos de saída podem descobrir seu histórico preso dentro de um produto que já não querem.
Opções híbridas
Priya também considera uma solução híbrida: gestão de casos comercial para o agendamento, com o EvidenceDesk cuidando dos registros de integridade. Ela acrescenta uma interface a manter e divide os registros entre dois sistemas, complicando a divulgação de provas. Priya a registra como considerada e rejeitada, com esses motivos, para que os futuros revisores saibam que ela não foi esquecida quando o laboratório revisitar sua arquitetura.
Exemplo resolvido
A gerente do laboratório prefere comprar um produto. Priya apresenta a tabela de pontuação e observa que o fornecedor não compartilharia o código-fonte nem as evidências de teste. Elas concordam com a Alternativa 2, com uma revisão em dois anos.
Caso sintético. A pontuação e o fornecedor são inventados.
Erros e limites
Os pesos da pontuação refletem prioridades; mostre como uma ponderação diferente mudaria a escolha.
Exercícios
- EX076 — Simultaneidade. Por que a Alternativa 1 falha? Rubrica: 3 = não há usuários simultâneos para os seis peritos; 2 = parcial; 1 = custo; 0 = nada.
- EX077 — Lacuna do fornecedor. Que requisito a Alternativa 3 não satisfez, e por quê? Rubrica: 3 = NFR2; código-fonte não auditável; 2 = parcial; 1 = errado; 0 = nada.
- EX078 — Plano de saída. Por que registros em JSON simples apoiam um plano de saída? Rubrica: 3 = legíveis, migráveis sem dependência do fornecedor; 2 = parcial; 1 = menores; 0 = nada.
Síntese
Compare as arquiteturas abertamente em relação aos requisitos, à segurança e ao custo de validação, e mantenha um caminho de saída.
Continue estudando — capítulo 26 de 50
← Capítulo 25 (rascunho) · Índice de capítulos do curso · Capítulo 27 (rascunho) →