OpenCyber Academy
Engenharia · Capítulo 33 · Português
Código do curso: OCA-132Capítulo 33: OCA-132-C033

Capítulo 33 — Perícia digital e análise de *malware*: segurança e resiliência

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 33 publicada. Mapa, exemplo, EX097.

flowchart TD
  N0["33.1 Comportamento à prova de falhas"]
  N1["33.2 Resiliência contra ransomware"]
  N2["33.3 Degradação controlada"]
  N3["33.4 Segurança das pessoas"]
  N4["33.5 Contenção de malware"]
  N5["33.6 Ensaio de continuidade"]
  N6["33.7 Plano de comunicação"]
  N7["Resiliência dos fornecedores"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX097"]

Desenho lógico

flowchart LR
  N0["33.1 Comportamento à prova de falhas"]
  N1["33.2 Resiliência contra ransomware"]
  N2["33.3 Degradação controlada"]
  N3["33.4 Segurança das pessoas"]
  N4["33.5 Contenção de malware"]
  N5["33.6 Ensaio de continuidade"]
  N6["33.7 Plano de comunicação"]
  N7["Resiliência dos fornecedores"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX097"]

[33.1 Comportamento à prova de falhas]
    |
    v
[33.2 Resiliência contra ransomware]
    |
    v
[33.3 Degradação controlada]
    |
    v
[33.4 Segurança das pessoas]
    |
    v
[33.5 Contenção de malware]
    |
    v
[33.6 Ensaio de continuidade]
    |
    v
[33.7 Plano de comunicação]
    |
    v
[Resiliência dos fornecedores]
    |
    v
[Exemplo resolvido] --> [Exercício EX097]

Objetivos de aprendizagem

Você vai (1) projetar o EvidenceDesk para falhar de forma segura; (2) planejar a resiliência contra ransomware e interrupções; (3) proteger as pessoas que manuseiam evidências; (4) ensaiar a continuidade.

33.1 Comportamento à prova de falhas

Quando o EvidenceDesk não consegue verificar um hash — um erro de leitura, um arquivo ausente —, ele precisa falhar fechado: bloquear o exame e registrar o motivo. Falhar aberto (permitir o exame) deixaria passar silenciosamente evidências não verificadas. A distinção vem da engenharia em geral: um sinal ferroviário que perde energia mostra vermelho, não verde. Para o EvidenceDesk, o custo de falhar fechado é um atraso enquanto alguém corrige o erro de leitura. O custo de falhar aberto é um exame construído sobre uma imagem que pode não corresponder ao que foi apreendido, o que poderia ser contestado muito depois no tribunal. Priya escreve um teste para cada caminho de falha, incluindo um disco que desaparece no meio do cálculo do hash.

33.2 Resiliência contra ransomware

Os laboratórios são alvos. Backups de gravação única, uma zona de exame offline e cadeias de custódia ancoradas significam que, mesmo que a zona administrativa seja cifrada, as evidências e os registros podem ser restaurados e conferidos. O ransomware costuma se espalhar por unidades compartilhadas e por credenciais de administrador roubadas. A zona de exame offline não tem rota a partir da rede administrativa, então um comprometimento ali não alcança as evidências diretamente. Os backups de gravação única não podem ser cifrados depois de feitos, e as âncoras permitem ao laboratório confirmar que os registros restaurados não foram alterados discretamente antes do início da cifragem. O plano de Priya também lista quais sistemas administrativos precisam ser reconstruídos antes que a equipe volte a fazer login.

33.3 Degradação controlada

Se o servidor estiver fora do ar, os peritos podem continuar usando a exportação offline assinada para ler os registros, mas não podem acrescentar entradas até que ele seja restaurado; formulários em papel cobrem a lacuna e são lançados depois, com uma nota de reconciliação. A exportação somente leitura é regenerada toda noite e assinada, para que os peritos possam conferir que ela não foi alterada antes de confiar nela. Os formulários em papel usados durante uma interrupção têm os mesmos campos da entrada eletrônica. Quando o servidor volta, cada entrada em papel é digitada com seu horário manuscrito original, e uma nota de reconciliação vincula a entrada eletrônica ao formulário digitalizado, de modo que o histórico de custódia mostra com clareza que a lacuna aconteceu e como foi coberta.

33.4 Segurança das pessoas

Os engenheiros também pensam nas pessoas: a exposição a material perturbador, o levantamento de equipamentos pesados de servidor, os incêndios de baterias no armazenamento de celulares. Recursos de projeto que permitem aos peritos desfocar as miniaturas até que sejam necessárias reduzem a exposição desnecessária. A exposição repetida a imagens de abuso é um dano conhecido para os peritos, por isso o desfoque vem ativado por padrão e é retirado um item de cada vez, com um motivo registrado. Os racks de servidores são montados na altura da cintura e movidos por duas pessoas. Os celulares apreendidos com baterias estufadas vão para um armário resistente ao fogo, longe do depósito principal, e o formulário de entrada tem um campo para o estado da bateria, para que o risco seja sinalizado na chegada.

33.5 Contenção de malware

As máquinas de análise dinâmica ficam isoladas das zonas de exame e administrativa, são revertidas a snapshots limpos após cada amostra e nunca compartilham armazenamento com as evidências. Uma amostra que escape de sua máquina de análise poderia alterar evidências ou se espalhar para os arquivos dos casos, o que prejudicaria tanto o caso quanto a credibilidade do laboratório. A rede de análise não tem rota para as outras zonas, e os arquivos só passam por uma transferência unidirecional de relatórios com hash calculado. Depois de cada amostra, a máquina é revertida a um snapshot limpo, e o hash do próprio snapshot é conferido mensalmente para mostrar que ele não mudou.

33.6 Ensaio de continuidade

Duas vezes por ano, o laboratório ensaia a perda total do servidor: restaurar, verificar, retomar. Os tempos e os problemas são registrados. No primeiro ensaio, a restauração leva nove horas, e não as quatro planejadas, porque o servidor reserva precisava de uma atualização de firmware antes de inicializar a partir do backup. A equipe acrescenta a atualização à lista de verificação mensal. Um segundo problema é que ninguém encontra as impressões das âncoras; agora elas ficam numa pasta etiquetada no cofre. Cada ensaio termina com uma lista curta e escrita de correções e responsáveis.

33.7 Plano de comunicação

Durante uma interrupção, uma pessoa nomeada informa os responsáveis pelos casos e os tribunais sobre quaisquer atrasos. Essa pessoa tem uma lista de contatos dos responsáveis pelos casos, do setor de ligação com o tribunal e dos escritórios de defesa com pedidos pendentes, além de modelos de mensagem que informam o atraso previsto sem detalhes técnicos. As mensagens são registradas com horário e destinatário. Hugo enfatiza que um tribunal avisado cedo de um atraso de dois dias é muito mais tolerante do que um que descobre isso na manhã de uma audiência. Um substituto é nomeado para o caso de o contato principal não estar disponível.

Resiliência dos fornecedores

Northfield depende de um único fornecedor de armazenamento para a mídia de gravação única. Priya anota o risco e identifica um segundo fornecedor compatível, para que uma escassez não impeça que as evidências sejam preservadas adequadamente.

Exemplo resolvido

O ensaio de Priya descobre que os formulários em papel de contingência não têm um campo para o hash das cópias de trabalho criadas durante a interrupção. Ela o acrescenta, para que a reconciliação posterior possa verificá-las.

Caso sintético. O ensaio é inventado.

Erros e limites

Os ensaios testam cenários conhecidos; falhas inesperadas ainda acontecem, então mantenha os procedimentos adaptáveis.

Exercícios

Síntese

Falhe fechado, degrade de forma controlada, proteja as pessoas e ensaie a recuperação.

Continue estudando — capítulo 33 de 50

← Capítulo 32 (rascunho) · Índice de capítulos do curso · Capítulo 34 (rascunho) →

Respostas comentadas

EX097. Tratá-la como não verificada: bloquear o exame e registrar por que a verificação não pôde ser executada.

EX098. A equipe lê os registros na exportação offline assinada, registra as novas ações em formulários em papel de contingência e as lança com notas de reconciliação quando o servidor volta.

EX099. Foi acrescentado aos formulários em papel um campo para o hash das cópias de trabalho feitas durante a interrupção.