Capítulo 27 — Perícia digital e análise de malware: projeto de controles
Mapa da aula
Aula 27 publicada. Mapa, exemplo, EX079.
flowchart TD
N0["27.1 Tipos de controle"]
N1["27.2 Proteção contra gravação"]
N2["27.3 Segregação de funções"]
N3["27.4 Controles de verificação"]
N4["27.5 Evidências dos controles"]
N5["27.6 Exceções"]
N6["27.7 Monitoramento"]
N7["Treinamento como controle"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX079"]
Desenho lógico
flowchart LR
N0["27.1 Tipos de controle"]
N1["27.2 Proteção contra gravação"]
N2["27.3 Segregação de funções"]
N3["27.4 Controles de verificação"]
N4["27.5 Evidências dos controles"]
N5["27.6 Exceções"]
N6["27.7 Monitoramento"]
N7["Treinamento como controle"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX079"]
[27.1 Tipos de controle]
|
v
[27.2 Proteção contra gravação]
|
v
[27.3 Segregação de funções]
|
v
[27.4 Controles de verificação]
|
v
[27.5 Evidências dos controles]
|
v
[27.6 Exceções]
|
v
[27.7 Monitoramento]
|
v
[Treinamento como controle]
|
v
[Exemplo resolvido] --> [Exercício EX079]
Objetivos de aprendizagem
Você vai (1) projetar controles preventivos, detectivos e corretivos para o EvidenceDesk; (2) aplicar a segregação de funções; (3) projetar a proteção contra gravação; (4) definir as evidências dos controles.
27.1 Tipos de controle
Os controles preventivos impedem erros (bloquear o exame de cópias não verificadas). Os controles detectivos os revelam (verificação da cadeia de hashes do log de custódia). Os controles corretivos restauram o estado correto (restaurar a partir do backup offline). Um bom projeto usa os três. Os controles preventivos reduzem a frequência dos problemas, os detectivos pegam os que passam, e os corretivos restauram um estado reconhecidamente bom. Priya lista os controles do EvidenceDesk sob cada título, e a lista mostra que, por enquanto, o ransomware tem apenas um controle corretivo. Ela acrescenta um detectivo: um alerta quando muitos registros mudam em pouco tempo.
27.2 Proteção contra gravação
Na aquisição, bloqueadores de gravação por hardware impedem que a estação do perito altere a origem. O programa CFTT do NIST publica resultados de testes de dispositivos bloqueadores de gravação. O EvidenceDesk registra o modelo e o número de série do bloqueador em cada aquisição. Registrar o modelo e o número de série do bloqueador permite ao laboratório mostrar que foi usado um dispositivo testado e rastrear todas as aquisições feitas com uma unidade se um defeito for encontrado depois. Os bloqueadores também são conferidos periodicamente num disco de teste, tentando uma gravação e confirmando que ela falha. Os resultados dessas conferências ficam junto ao registro do dispositivo, para que seu histórico esteja disponível se ele for questionado algum dia.
27.3 Segregação de funções
A pessoa que administra o servidor não pode aprovar suas próprias correções de registros; uma segunda pessoa revisa. Os peritos não podem apagar registros de forma alguma. As correções são lançadas por uma pessoa e aprovadas por outra, e o sistema recusa a aprovação por quem as lançou. Como os peritos não podem apagar registros, uma entrada equivocada continua visível com a correção ao lado. Se em algum momento o laboratório for pequeno demais para a segregação completa, a exceção é documentada e um revisor externo confere o período afetado mais tarde.
27.4 Controles de verificação
As cópias de trabalho são verificadas na criação e de novo antes do relatório; uma divergência final bloqueia a exportação do relatório. Verificar de novo antes do relatório pega uma corrupção ocorrida durante o exame, como uma falha de armazenamento ou uma gravação acidental por uma ferramenta que deveria ser somente leitura. Se a verificação final falhar, o relatório não pode ser exportado até que a causa seja encontrada e as constatações afetadas sejam reexaminadas a partir de uma cópia nova e verificada. As duas verificações registram o digest calculado, o digest esperado, o horário e o perito, para que o relatório possa declarar que o anexo de prova correspondia à sua aquisição no momento da exportação. Essa declaração é impressa no apêndice de integridade do relatório.
27.5 Evidências dos controles
Cada controle produz evidências de que foi executado: entradas de log de verificação, verificações da cadeia com datas, testes de restauração de backup. Os auditores conferem as evidências, não apenas o projeto. Um auditor pode escolher três datas ao acaso e pedir o resultado da verificação da cadeia, a lista das verificações realizadas e a restauração de backup mais recente antes de cada uma. Se os registros existem e concordam, fica demonstrado que os controles funcionam. A falta de evidência é tratada como falha do controle, mesmo que o controle provavelmente tenha sido executado, porque "provavelmente" não pode ser defendido diante de um revisor externo.
27.6 Exceções
Às vezes um controle precisa ser contornado — uma ordem judicial urgente quando o servidor está fora do ar. O caminho de exceção exige um motivo, um aprovador e uma entrada posterior de reconciliação. O formulário de exceção registra o que foi feito no lugar, por exemplo uma folha de custódia manuscrita usada durante uma interrupção, quem a aprovou e quando a operação normal foi retomada. A reconciliação lança os eventos do papel no EvidenceDesk, marcados como lançados retroativamente, com uma digitalização da folha original. A gerente da qualidade revisa todas as exceções mensalmente, para identificar padrões que sugiram que um controle é impraticável.
27.7 Monitoramento
Uma rotina diária verifica a cadeia de custódia e relata os resultados à gerente da qualidade. O relatório lista quantos registros foram conferidos, se a cadeia estava íntegra, os itens parados em estados incompletos e as falhas de verificação do último dia. Um relatório limpo também é enviado, de modo que o silêncio signifique claramente que a rotina não rodou. Dois relatórios ausentes seguidos disparam um alerta para a TI, porque um monitor que falha sem ninguém perceber dá uma falsa tranquilidade. Resumos mensais vão também para a gerente do laboratório.
Treinamento como controle
Os controles falham quando a equipe não os entende. Todo perito faz uma sessão curta sobre as regras de bloqueio e o caminho de exceção do EvidenceDesk, e a gerente da qualidade registra a presença como evidência de controle.
Exemplo resolvido
Durante os testes, um administrador corrige um erro de digitação na descrição de um item diretamente no arquivo. A verificação diária da cadeia sinaliza um elo quebrado daquela entrada em diante. A resposta de Priya: restaurar o arquivo e lançar a correção do jeito certo, pelo caminho apenas acrescentável e com revisão.
Caso sintético. O incidente é inventado.
Erros e limites
Controles inconvenientes são contornados; projete caminhos de exceção que sejam registrados, em vez de proibidos.
Exercícios
- EX079 — Tipos de controle. Classifique a verificação diária da cadeia e a restauração offline. Rubrica: 3 = detectivo; corretivo; 2 = um; 1 = invertidos; 0 = nada.
- EX080 — Registro do bloqueador. Por que registrar o modelo e o número de série do bloqueador? Rubrica: 3 = vincula a aquisição a um dispositivo testado, apoia a resposta a contestações; 2 = parcial; 1 = inventário; 0 = nada.
- EX081 — Caminho de exceção. O que o caminho de exceção exige? Rubrica: 3 = motivo, aprovador, reconciliação posterior; 2 = dois; 1 = vago; 0 = nada.
Síntese
Combine em camadas os controles preventivos, detectivos e corretivos, registre suas evidências e projete caminhos de exceção honestos.
Continue estudando — capítulo 27 de 50
← Capítulo 26 (rascunho) · Índice de capítulos do curso · Capítulo 28 (rascunho) →