◇ OpenCyber Academy
Engenharia · Capítulo 42 · Português

Capítulo 42 — Perícia digital e análise de *malware*: pesquisa aplicada

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 42 — Perícia digital e análise de malware: pesquisa aplicada

Mapa da aula

Aula 42 publicada. Mapa, exemplo, EX124.

flowchart TD
  N0["42.1 A pergunta"]
  N1["42.2 Literatura"]
  N2["42.3 Desenho"]
  N3["42.4 Resultados"]
  N4["42.5 Interpretação"]
  N5["42.6 Recomendação"]
  N6["42.8 Compartilhamento"]
  N7["Aprovação do acesso aos dados"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX124"]

Desenho lógico

flowchart LR
  N0["42.1 A pergunta"]
  N1["42.2 Literatura"]
  N2["42.3 Desenho"]
  N3["42.4 Resultados"]
  N4["42.5 Interpretação"]
  N5["42.6 Recomendação"]
  N6["42.8 Compartilhamento"]
  N7["Aprovação do acesso aos dados"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX124"]

[42.1 A pergunta]
    |
    v
[42.2 Literatura]
    |
    v
[42.3 Desenho]
    |
    v
[42.4 Resultados]
    |
    v
[42.5 Interpretação]
    |
    v
[42.6 Recomendação]
    |
    v
[42.8 Compartilhamento]
    |
    v
[Aprovação do acesso aos dados]
    |
    v
[Exemplo resolvido] --> [Exercício EX124]

Objetivos de aprendizagem

Você vai (1) formular uma pergunta de pesquisa aplicada a partir do trabalho de engenharia; (2) desenhar um estudo pequeno; (3) relacionar os achados com a literatura; (4) relatar conclusões delimitadas.

42.1 A pergunta

Durante o piloto, Priya percebeu que as falhas de verificação se concentram nas imagens copiadas pela rede, e não por conexão direta. Pergunta: em Northfield, as cópias de trabalho feitas pela rede falham na verificação com mais frequência que as feitas localmente, e por quê? Uma boa pergunta aplicada é estreita o bastante para ser respondida com dados que o laboratório já tem e útil o bastante para que a resposta possa mudar a prática. A versão de Priya nomeia a comparação, o local e a medida de resultado, e acrescenta o "por quê" para que o estudo busque causas em vez de parar numa taxa. Hugo pede que ela declare de antemão que resultado levaria a não mudar nada.

42.2 Literatura

Ela procura estudos sobre corrupção silenciosa de dados no armazenamento e na transferência, e orientações periciais sobre a verificação de cópias. O NIST SP 800-86 enfatiza a verificação da integridade das cópias; ela também encontra literatura de engenharia sobre erros não detectados em sistemas de armazenamento. Ler primeiro mostra se a pergunta já foi respondida em outro lugar e que métodos outros usaram. Estudos de grandes sistemas de armazenamento relatam que a corrupção que nenhum componente detecta de fato ocorre, embora raramente, o que sustenta verificar as cópias mesmo quando a ferramenta de cópia relata sucesso. Priya anota onde esses estudos diferem do cenário de Northfield, como a escala e o hardware, para não exagerar a sua relevância.

42.3 Desenho

Seis meses de registros do piloto: cópias por método (rede ou local), resultado da verificação, causa encontrada na investigação. Nenhum dado pessoal; apenas registros do sistema. Usar registros existentes faz deste um estudo observacional: Priya não pode atribuir as cópias aos métodos ao acaso, então outras diferenças entre as cópias pela rede e as locais, como o tamanho da imagem, podem afetar os resultados. Ela registra o tamanho da imagem de cada cópia para que isso possa ser conferido depois. A coluna de causa vem das notas de investigação escritas na época, e não de uma reinterpretação dela feita depois.

42.4 Resultados

Cópias pela rede: 6 falhas em 1.200. Cópias locais: 1 em 1.100. A investigação atribui cinco das falhas na rede a transferências interrompidas que a ferramenta de cópia relatou como concluídas, e uma a uma porta de switch defeituosa. Em taxas, as cópias pela rede falharam em 0,5 por cento dos casos e as locais em cerca de 0,09 por cento. As notas de investigação importam tanto quanto as contagens: uma ferramenta que relata sucesso depois de uma transferência interrompida é uma falha específica e corrigível, e ela explica a maior parte da diferença. A falha local foi atribuída a um disco com setores defeituosos em aumento, que foi substituído.

42.5 Interpretação

Os dados sugerem uma taxa de falha maior para as cópias pela rede em Northfield, sobretudo por transferências interrompidas. A verificação apanhou todos os casos antes do exame — o controle funcionou. Priya evita afirmar que copiar pela rede é inseguro em geral; a evidência aponta para o comportamento de uma ferramenta diante de uma interrupção e para uma peça de hardware. O achado mais importante é que a verificação bloqueante cumpriu seu papel todas as vezes, então nenhum exame se apoiou numa cópia ruim. Isso transforma um número preocupante num número tranquilizador sobre o projeto como um todo.

42.6 Recomendação

Usar uma ferramenta de cópia que verifique ao concluir, manter a verificação bloqueante e substituir a porta defeituosa. Cada recomendação mira uma causa encontrada nos dados. A troca da ferramenta de cópia trata as cinco transferências interrompidas; a substituição da porta trata a sexta. Manter a verificação bloqueante também é listado de propósito, porque um gerente que vê a cópia melhorar poderia perguntar se a verificação ainda é necessária. Uma revisão de acompanhamento depois de mais seis meses vai conferir se as falhas caem. Priya estima o custo de cada mudança, que é pequeno para as três, para que o gerente possa aprová-las juntas.

42.7 Limites

Um laboratório, seis meses, contagens pequenas: a diferença é sugestiva, não precisa. Com apenas sete falhas no total, algumas a mais em qualquer dos grupos mudariam o quadro de forma visível. Seis meses também podem deixar escapar efeitos sazonais, como uma carga de rede maior no fim do ano. Priya escreve os limites ao lado dos resultados, e não no fim da nota, para que um leitor que passe os olhos pelos números encontre as ressalvas de imediato. Ela sugere que seria preciso um estudo com vários laboratórios e um ano de dados antes que alguém cite uma taxa geral de falha.

42.8 Compartilhamento

Priya escreve uma nota de duas páginas para os laboratórios regionais, declarando as contagens e os limites. Outros laboratórios regionais usam ferramentas de cópia parecidas e podem ter a mesma falha sem saber. A nota informa o nome e a versão da ferramenta, como a interrupção se manifestou e como a verificação a apanhou, mas nenhum detalhe de caso. Priya convida os laboratórios a enviarem as próprias contagens, para que um quadro maior e combinado possa ser montado com o tempo. Antes da divulgação, Hugo lê a nota para conferir que nenhuma formulação poderia identificar um caso ou um membro da equipe.

Aprovação do acesso aos dados

Mesmo os registros do sistema precisam de permissão. Priya pede por escrito ao gerente do laboratório para usar seis meses de logs de verificação, declarando a finalidade e que nenhum conteúdo de caso será lido.

Exemplo resolvido

O primeiro rascunho dela diz "copiar pela rede é inseguro". Hugo pergunta o que os dados mostram. Versão revisada: "Em Northfield, ao longo de seis meses, as cópias pela rede falharam na verificação em 0,5% dos casos, contra 0,09% das cópias locais; todas as falhas foram apanhadas pela verificação antes do exame."

Caso sintético. Os registros são inventados.

Erros e limites

Dados observacionais não conseguem descartar fatores de confusão, como imagens maiores serem copiadas pela rede com mais frequência.

Exercícios

Síntese

As operações de engenharia geram perguntas de pesquisa; responda a elas com afirmações delimitadas e contadas.

Continue estudando — capítulo 42 de 50

← Capítulo 41 (rascunho) · Índice de capítulos do curso · Capítulo 43 (rascunho) →