Capítulo 2 — Perícia digital e análise de malware: seminário avançado | Mestrado Perícia digital e análise de malware

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Modelos de processo"]
  N1["2.2 Como funciona a filtragem de arquivos conhecidos"]
  N2["2.3 Conhecido bom versus conhecido mau"]
  N3["2.4 Conexão com malware"]
  N4["2.5 Crítica em seminário"]
  N5["2.6 Hashing por similaridade"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Modelos de processo"]
  N1["2.2 Como funciona a filtragem de arquivos conhecidos"]
  N2["2.3 Conhecido bom versus conhecido mau"]
  N3["2.4 Conexão com malware"]
  N4["2.5 Crítica em seminário"]
  N5["2.6 Hashing por similaridade"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX008"]

[2.1 Modelos de processo]
    |
    v
[2.2 Como funciona a filtragem de arquivos conhecidos]
    |
    v
[2.3 Conhecido bom versus conhecido mau]
    |
    v
[2.4 Conexão com malware]
    |
    v
[2.5 Crítica em seminário]
    |
    v
[2.6 Hashing por similaridade]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem

Você vai (1) explicar os modelos de processo pericial usados em pesquisa; (2) relacionar a triagem baseada em hash a eles; (3) criticar um método publicado em seminário; (4) conectar a análise de malware à filtragem de arquivos conhecidos.

2.1 Modelos de processo

Nos termos do NIST SP 800-86, a filtragem fica na segunda de quatro fases: coleta, exame, análise e relato. A ISO/IEC 27043 estabelece princípios e processos de investigação que abrangem prontidão, iniciação, aquisição e investigação. Tomás situa a filtragem no exame: ela reduz os dados antes da análise. Situar a filtragem no exame importa para o argumento dele: as decisões tomadas ali moldam o que o perito depois analisa e relata, de modo que um arquivo posto de lado nessa etapa pode nunca mais ser examinado. Tomás usa os dois modelos para explicar onde erros introduzidos pela filtragem poderiam entrar numa investigação.

2.2 Como funciona a filtragem de arquivos conhecidos

Calcula-se o hash de cada arquivo da imagem; os hashes encontrados num conjunto de referência de software conhecido (como a NSRL) são postos de lado como "conhecidos". A documentação da NSRL a descreve como uma coleção de hashes de software publicado; ela não rotula arquivos como bons ou maus. A distinção entre conhecido e bom é o centro do estudo dele: um arquivo posto de lado como conhecido é idêntico a um software publicado, mas nada na correspondência diz se ele foi usado para um propósito legítimo. Os peritos às vezes tratam arquivos conhecidos como inofensivos, e é esse o pressuposto que ele testa.

2.3 Conhecido bom versus conhecido mau

Alguns laboratórios mantêm conjuntos "conhecidos maus" com hashes de material ilícito ou de malware. Corresponder a um hash conhecido mau sinaliza um arquivo para atenção; corresponder a um hash de software conhecido mostra apenas que o arquivo é igual a um arquivo publicado. Os dois tipos de conjunto funcionam em sentidos opostos: uma correspondência conhecida má chama a atenção para um arquivo, enquanto uma correspondência de software conhecido o tira de vista. Tomás estuda apenas o segundo, porque é ali que arquivos relevantes poderiam desaparecer sem que ninguém percebesse. Sua dissertação explica a diferença logo no início, para que os leitores não confundam os dois, e suas imagens sintéticas usam apenas um conjunto de referência de software conhecido.

2.4 Conexão com malware

Um malware pode substituir um arquivo de sistema. O hash do arquivo substituído deixa de corresponder ao conjunto de referência, de modo que a filtragem corretamente o deixa para revisão. Mas, se um atacante usa uma ferramenta legítima e não modificada, seu hash corresponde e a filtragem a esconde. Sikorski e Honig (2012) enfatizam que binários legítimos podem ser mal utilizados. O segundo caso é o que o estudo dele foi projetado para medir. Uma ferramenta de administração remota usada por um intruso é idêntica à versão publicada, por isso a filtragem a põe de lado como conhecida. Tomás planta casos assim em suas imagens sintéticas como perdas projetadas, para poder contar com que frequência a filtragem os esconde.

2.5 Crítica em seminário

Tomás apresenta um artigo que relata 70% de redução. Os colegas perguntam: quais imagens? Qual versão do conjunto de referência? Arquivos relevantes foram excluídos? O artigo não diz, o que limita seu peso. O seminário molda o próprio relato de Tomás: ele decide declarar, para cada resultado, as imagens, a versão do conjunto de referência e o número de arquivos relevantes postos de lado. Assim, seus valores podem ser julgados de um modo que os 70% do artigo não podiam. A Dra. Osei pede que ele mantenha as três perguntas do seminário como lista de verificação para seu próprio capítulo de resultados.

2.6 Hashing por similaridade

Resumos de similaridade (o sdhash de Roussev, o ssdeep de Kornblum) encontram correspondências aproximadas; Tomás os mantém fora do escopo para delimitar seu estudo. Resumos de similaridade poderiam captar versões modificadas de ferramentas conhecidas, o que é um problema relacionado, mas diferente do dele. Incluí-los acrescentaria novas medidas, configurações e tipos de erro, o suficiente para um estudo separado. Tomás os descreve na revisão de literatura para que os leitores saibam por que foram excluídos, e os nomeia como trabalho futuro na dissertação. Mantê-los de fora permite que ele responda bem a uma pergunta dentro do calendário de um mestrado.

Exemplo resolvido

Numa imagem sintética, uma ferramenta de administração remota aparece no conjunto de referência porque é software publicado. A filtragem a marca como "conhecida". No cenário sintético, ela foi usada por um intruso. Tomás registra isso como uma categoria de perda: ferramenta legítima, uso ilegítimo.

Caso sintético. A imagem e a intrusão são inventadas.

Erros e limites

"Conhecido" não é "irrelevante"; os relatos não devem sugerir que arquivos filtrados foram examinados e liberados.

Exercícios

EX008 — Posição. Em que fase do SP 800-86 fica a filtragem?
Mostrar critérios de avaliação
Rubrica: 3 = exame, antes da análise; 2 = só a fase; 1 = errado; 0 = nada.
EX009 — Significado da NSRL. O que uma correspondência com a NSRL lhe diz?
Mostrar critérios de avaliação
Rubrica: 3 = o arquivo é igual a software publicado; não é bom/mau; 2 = parcial; 1 = o arquivo é seguro; 0 = nada.
EX010 — Conhecido mau. Contraste conjuntos conhecidos maus e conjuntos de software conhecido.
Mostrar critérios de avaliação
Rubrica: 3 = sinalizar vs. pôr de lado, significados diferentes; 2 = parcial; 1 = iguais; 0 = nada.
EX011 — Arquivo substituído. Por que um arquivo de sistema adulterado por um trojan sobrevive à filtragem?
Mostrar critérios de avaliação
Rubrica: 3 = o hash modificado deixa de corresponder; 2 = parcial; 1 = errado; 0 = nada.
EX012 — Ferramenta escondida. Que categoria de perda o exemplo resolvido mostra?
Mostrar critérios de avaliação
Rubrica: 3 = ferramenta legítima, uso ilegítimo; 2 = parcial; 1 = malware; 0 = nada.
EX013 — Perguntas do seminário. Dê três perguntas a fazer diante de uma alegação de 70% de redução.
Mostrar critérios de avaliação
Rubrica: 3 = imagens, versão da referência, exclusões; 2 = duas; 1 = uma; 0 = nada.
EX014 — Redação do relato. Escreva uma frase que descreva com exatidão os arquivos filtrados.
Mostrar critérios de avaliação
Rubrica: 3 = postos de lado, não examinados; 2 = parcial; 1 = "liberados"; 0 = nada.

Síntese

A filtragem é uma etapa de redução de dados na fase de exame; suas correspondências significam "publicado", nunca "inocente".

Continue estudando — capítulo 02 de 08

← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →