Capítulo 12 — Revisão final e transferência

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX056.

flowchart TD
  N0["12.1 Laudo final da investigação"]
  N1["12.2 Relatório ao regulador"]
  N2["12.3 Transferência de conhecimento"]
  N3["12.4 Revisão do programa"]
  N4["12.5 Sucessão"]
  N5["12.6 Desenvolvimento contínuo"]
  N6["12.7 Encerrar os registros"]
  N7["Lições para a profissão"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX056"]

Desenho lógico

flowchart LR
  N0["12.1 Laudo final da investigação"]
  N1["12.2 Relatório ao regulador"]
  N2["12.3 Transferência de conhecimento"]
  N3["12.4 Revisão do programa"]
  N4["12.5 Sucessão"]
  N5["12.6 Desenvolvimento contínuo"]
  N6["12.7 Encerrar os registros"]
  N7["Lições para a profissão"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX056"]

[12.1 Laudo final da investigação]
    |
    v
[12.2 Relatório ao regulador]
    |
    v
[12.3 Transferência de conhecimento]
    |
    v
[12.4 Revisão do programa]
    |
    v
[12.5 Sucessão]
    |
    v
[12.6 Desenvolvimento contínuo]
    |
    v
[12.7 Encerrar os registros]
    |
    v
[Lições para a profissão]
    |
    v
[Exemplo resolvido] --> [Exercício EX056]

Objetivos de aprendizagem

Você vai (1) revisar como um todo a investigação do CF-21 e o programa; (2) transferir conhecimento a outras pessoas; (3) escrever um relatório final para os reguladores; (4) planejar o desenvolvimento contínuo.

12.1 Laudo final da investigação

O laudo do CF-21 responde: entrada por uma conta de VPN comprometida por phishing; movimentação lateral até o controlador de domínio; dados preparados por meio do servidor de backup e cerca de 18 GB exfiltrados; ransomware implantado às 03:12 a partir da WS-07. Cada resposta cita sua evidência e declara os limites, inclusive os dois servidores reconstruídos: os logs de VPN para a entrada, as evidências do controlador de domínio para a movimentação lateral, a tabela de NAT e os logs do servidor de backup para a preparação, e os dados de triagem da WS-07 para a implantação. Onde os servidores reconstruídos deixam a movimentação lateral parcialmente obscura, o laudo o diz. A redação calibrada segue o mesmo padrão da afirmação sobre a exfiltração.

12.2 Relatório ao regulador

O regulador recebe fatos sobre os dados afetados, a linha do tempo, a contenção e a remediação. O jurídico revisa a redação; Marta garante a exatidão técnica. No CF-21, a pergunta central do regulador é se dados de clientes foram levados, respondida com a transferência de 18 GB, a leitura do compartilhamento de clientes às 02:35 e as 4.200 contas cujos arquivos estavam nele. As afirmações técnicas não são suavizadas pela revisão jurídica, e não se permite que a redação jurídica mude o que a evidência mostra. Marta confere a redação final com a evidência antes do envio e guarda a versão que foi ao regulador.

12.3 Transferência de conhecimento

Aiyana conduz uma sessão para o SOC sobre os artefatos que teriam mostrado a intrusão mais cedo. Os playbooks, a matriz de decisão e o modelo de retenção são acrescentados à base de conhecimento. A sessão de Aiyana mostra ao SOC a entrada na VPN, as leituras de preparação no servidor de backup e o evento de log apagado na WS-07, todos visíveis antes das 03:12. Os analistas podem então escrever e testar detecções para padrões semelhantes nas próprias ferramentas. As entradas da base de conhecimento ligam cada artefato à evidência do CF-21 que o mostrou.

12.4 Revisão do programa

Melhorias entregues: barreira pericial, preservação mais rápida, registro central de logs, mudanças no programa de proficiência. Itens em aberto: capacidade de extração móvel, validação do hash de similaridade. Cada item entregue corresponde a uma lacuna do CF-21: a barreira, aos servidores reconstruídos; a preservação mais rápida, à mediana de 3,5 horas; o registro central, aos logs rotacionados das estações; e as mudanças de proficiência, ao erro de carimbo de tempo na nuvem. Os itens em aberto continuam na lista do programa, cada um com um responsável, uma data-alvo e um critério de conclusão. A capacidade de extração móvel importa porque o caso do celular mostrou o que uma extração apenas lógica teria deixado escapar.

12.5 Sucessão

Marta documenta os princípios de decisão para que seus substitutos possam liderar o próximo incidente. Os princípios incluem manter as opções abertas sob incerteza, registrar cada decisão com justificativa e aprovador, acordar os pesos da matriz antes da pontuação e declarar a incerteza em termos calibrados. Os substitutos os praticam em exercícios, para que o próximo incidente não dependa da presença de Marta às 06:10. Os princípios são escritos como enunciados curtos, cada um com um exemplo do CF-21, para que os substitutos vejam como foram aplicados. Eles são revistos e, quando necessário, alterados após cada incidente grave. Um substituto conduz o próximo exercício de mesa usando-os, e Marta observa em vez de dirigir.

12.6 Desenvolvimento contínuo

Cada perito define metas de aprendizagem ligadas às lacunas encontradas no CF-21. Por exemplo, um perito que não percebeu o problema da exibição em UTC no teste de proficiência pode definir uma meta sobre logs de auditoria da nuvem, enquanto outro pode se concentrar na extração do sistema de arquivos em dispositivos móveis. As metas são revistas no ciclo de proficiência seguinte, à luz de evidências de progresso. Marta financia o treinamento ligado a cada meta, como faz com os resultados de proficiência. As metas ficam no registro de competência de cada perito, ao lado dos métodos que ele está autorizado a usar. Uma meta só é encerrada quando um teste ou um caso mostra a habilidade na prática.

12.7 Encerrar os registros

A retenção da evidência é definida conforme a orientação jurídica; os registros de custódia são encerrados e arquivados. No CF-21, isso inclui as nove imagens completas, as capturas de memória, os pacotes de triagem, as extrações do celular e o registro de decisões. Os registros de custódia são encerrados com uma entrada final para cada item, mostrando onde ele está guardado e sob que retenção. O arquivo permanece pronto para o caso de reguladores ou tribunais reabrirem perguntas. Os prazos de retenção variam por item, já que o caso do celular pode ir à Justiça do Trabalho, enquanto a evidência do CF-21 segue as necessidades regulatórias. As entradas de encerramento indicam quem aprovou cada decisão de retenção e com base em que orientação jurídica.

Lições para a profissão

Com aprovação jurídica, Marta apresenta um relato anonimizado do CF-21 numa reunião regional de profissionais de perícia: a barreira pericial, o modelo de retenção e o padrão de preparação de dados no servidor de backup. Compartilhar as lições ajuda outras organizações a se preparar, e as perguntas dos pares aguçam a compreensão da própria equipe.

Exemplo resolvido

O regulador pergunta se dados de clientes foram levados. A declaração de Marta: "Aproximadamente 18 GB foram transferidos a partir do servidor de backup às 02:40; o servidor de backup leu o compartilhamento de clientes às 02:35. Os registros do compartilhamento sugerem que arquivos de clientes de 4.200 contas estavam entre os dados lidos; não podemos confirmar quais deles foram incluídos na transferência."

Caso sintético. O relatório é inventado.

Erros e limites

Os laudos finais encerram uma investigação, mas podem precisar de revisão se surgir nova evidência; mantenha o arquivo pronto.

Exercícios

• EX056 — Entrada e propagação. Resuma a entrada e a propagação no CF-21.
  Mostrar critérios de avaliação

  Rubrica: 3 = conta de VPN obtida por phishing; movimentação lateral até o controlador de domínio; preparação pelo servidor de backup; 2 = dois; 1 = um; 0 = nada.
• EX057 — Papéis no relatório ao regulador. Divida os papéis no relatório ao regulador.
  Mostrar critérios de avaliação

  Rubrica: 3 = o jurídico revisa a redação; Marta, a exatidão técnica; 2 = parcial; 1 = uma só pessoa; 0 = nada.
• EX058 — Itens em aberto. Cite dois itens em aberto do programa.
  Mostrar critérios de avaliação

  Rubrica: 3 = capacidade móvel; validação do hash de similaridade; 2 = um; 1 = vago; 0 = nada.
• EX059 — Declaração sobre dados de clientes. O que a declaração afirma e o que não afirma?
  Mostrar critérios de avaliação

  Rubrica: 3 = transferência e leitura demonstradas; arquivos específicos incertos; 2 = parcial; 1 = tudo foi levado; 0 = nada.
• EX060 — Sucessão. Por que documentar os princípios de decisão?
  Mostrar critérios de avaliação

  Rubrica: 3 = os substitutos podem liderar o próximo incidente; continuidade; 2 = parcial; 1 = hábito; 0 = nada.

Síntese

Encerre as investigações com laudos delimitados e com fontes, transfira o que foi aprendido e prepare outras pessoas para liderar.

Continue estudando — capítulo 12 de 12

← Capítulo 11 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →