Capítulo 2 — Perícia digital e análise de malware: prática atual
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX006.
flowchart TD
N0["2.1 Da máquina desligada à resposta ao vivo"]
N1["2.2 Coleta direcionada"]
N2["2.3 Perícia de memória"]
N3["2.4 Nuvem"]
N4["2.5 As normas continuam valendo"]
N5["2.6 Validação"]
N6["2.7 Literatura profissional"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX006"]
Desenho lógico
flowchart LR
N0["2.1 Da máquina desligada à resposta ao vivo"]
N1["2.2 Coleta direcionada"]
N2["2.3 Perícia de memória"]
N3["2.4 Nuvem"]
N4["2.5 As normas continuam valendo"]
N5["2.6 Validação"]
N6["2.7 Literatura profissional"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX006"]
[2.1 Da máquina desligada à resposta ao vivo]
|
v
[2.2 Coleta direcionada]
|
v
[2.3 Perícia de memória]
|
v
[2.4 Nuvem]
|
v
[2.5 As normas continuam valendo]
|
v
[2.6 Validação]
|
v
[2.7 Literatura profissional]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX006]
Objetivos de aprendizagem
Você vai (1) examinar a prática pericial atual em incidentes corporativos; (2) comparar a geração tradicional de imagens com a coleta direcionada; (3) descrever a perícia de memória e de nuvem na prática; (4) julgar novas práticas à luz das normas.
2.1 Da máquina desligada à resposta ao vivo
A prática tradicional gerava imagens de discos desligados. Os incidentes corporativos modernos envolvem centenas de hosts, discos cifrados, serviços de nuvem e malware residente em memória. A prática atual combina coleta direcionada ao vivo, captura de memória e análise de logs, sem deixar de gerar imagens dos hosts críticos. O CF-21 mostra essa combinação: gerar imagens, um a um, de 40 hosts com cifragem de disco do tipo BitLocker levaria a maior parte de um dia, enquanto a atividade do ransomware e as conexões ativas só existem na memória. A unidade de Marta, portanto, captura memória e artefatos direcionados em larga escala e reserva as imagens completas para os hosts com mais chance de responder às perguntas sobre a entrada e a exfiltração.
2.2 Coleta direcionada
Coletar artefatos específicos (logs de eventos, hives do registro, dados do navegador, metadados do sistema de arquivos) de muitos hosts responde rapidamente às perguntas de escopo. A NIST SP 800-86 reconhece a necessidade de equilibrar a volatilidade, o valor e o esforço dos dados ao escolher o que coletar. No CF-21, o agente de endpoint extrai esses artefatos dos 40 hosts em duas horas, e é assim que a equipe descobre que a WS-07 executou primeiro o binário do ransomware, às 03:12. Uma imagem completa de cada host teria levado muito mais tempo e atrasado a recuperação. A contrapartida é que só os artefatos listados sobrevivem à reconstrução.
2.3 Perícia de memória
As capturas de memória revelam processos em execução, código injetado, conexões de rede e, às vezes, chaves de cifragem. Elas precisam ser feitas antes do desligamento, e a pegada da ferramenta de captura deve ser registrada. No CF-21, a memória foi capturada de oito hosts representativos, escolhidos por papel, antes que qualquer um fosse desligado. Cada captura registra a ferramenta e sua versão, o horário e o perito, com uma nota sobre os processos que a própria ferramenta de captura acrescentou. Sem essa nota, a atividade da ferramenta poderia depois ser confundida com a do atacante.
2.4 Nuvem
Logs de auditoria da nuvem, logs de identidade e registros de acesso ao armazenamento são coletados pelas interfaces do provedor, sob a autoridade da organização. A retenção é definida por configuração e contrato, por isso a prontidão importa. Os logs de VPN e de identidade da Corvane são os que mais importam aqui, porque o ponto de entrada acabou sendo uma conta de VPN comprometida por phishing. Esses logs são extraídos pela interface administrativa do provedor por um perito nomeado, recebem hash e são registrados como qualquer outra evidência. Se a retenção tivesse sido configurada para menos tempo do que a permanência do atacante, a entrada não poderia ter sido provada.
2.5 As normas continuam valendo
Os princípios da ISO/IEC 27037 — auditabilidade, repetibilidade, justificabilidade — valem igualmente para a coleta direcionada e para a coleta ao vivo. O registro precisa mostrar o que foi coletado, como e por quê. No CF-21, cada coleta pelo agente registra o host, a lista de artefatos, o horário, o perito e o hash do pacote devolvido. A coleta num host ligado o altera ligeiramente, por isso o registro também anota o que o agente fez. Um revisor que leia o registro deve conseguir ver por que cada artefato foi escolhido e repetir a coleta num host semelhante.
2.6 Validação
Novas ferramentas de coleta precisam ser validadas para os artefatos que afirmam coletar; o NIST CFTT e os testes internos apoiam isso. Antes do CF-21, o agente de endpoint tinha sido testado em hosts sintéticos para confirmar que devolve logs de eventos, hives do registro e arquivos de prefetch completos, sem alterar os carimbos de tempo que relata. Se uma ferramenta pulasse em silêncio os arquivos bloqueados, os resultados da triagem pareceriam mais limpos do que a realidade. O registro de validação é citado sempre que a saída do agente sustenta uma constatação no laudo. A validação é repetida sempre que o agente é atualizado para uma nova versão.
2.7 Literatura profissional
O SWGDE publica documentos de boas práticas sobre temas que incluem a coleta ao vivo e a direcionada; a equipe de Marta mantém uma lista de leitura. Ler a orientação publicada mantém os métodos da equipe próximos do que os pares e os tribunais esperam. Quando a unidade adotou a triagem por agente de endpoint, comparou seu procedimento com o material do SWGDE sobre coleta ao vivo antes de usá-lo em casos. A lista de leitura é revisada quando a prática muda, para que orientações desatualizadas não continuem nela sem que ninguém perceba. Os novos membros da equipe leem os documentos centrais no primeiro mês.
Exemplo resolvido
Aiyana Brooks, a perita sênior de Marta, coleta logs de eventos, prefetch, hives do registro e metadados do sistema de arquivos dos 40 hosts em duas horas, pelo agente de endpoint, enquanto são geradas imagens completas da estação de trabalho infectada primeiro e do controlador de domínio. Os dados direcionados mostram que o binário do ransomware foi executado primeiro na WS-07, às 03:12.
Caso sintético. O incidente é inventado.
Erros e limites
A coleta direcionada captura apenas o que foi pedido; os artefatos fora da lista se perdem se os hosts forem reconstruídos.
Exercícios
- EX006 — Por que direcionada. Por que usar coleta direcionada nos 40 hosts? Rubrica: 3 = definição rápida do escopo, equilíbrio entre valor e esforço segundo a SP 800-86; 2 = parcial; 1 = só mais barata; 0 = nada.
- EX007 — Valor da memória. O que a captura de memória pode revelar que os discos talvez não revelem? Rubrica: 3 = processos, código injetado, conexões, chaves; 2 = dois; 1 = um; 0 = nada.
- EX008 — Normas. Quais princípios da ISO/IEC 27037 se aplicam à coleta ao vivo? Rubrica: 3 = auditabilidade, repetibilidade, justificabilidade; 2 = dois; 1 = um; 0 = nada.
- EX009 — Limite da coleta direcionada. O que se perde quando os hosts são reconstruídos após uma coleta direcionada? Rubrica: 3 = os artefatos fora da lista de coleta; 2 = parcial; 1 = vago; 0 = nada.
- EX010 — WS-07. O que os dados direcionados mostraram? Rubrica: 3 = o binário foi executado primeiro na WS-07 às 03:12; 2 = parcial; 1 = errado; 0 = nada.
Síntese
A prática atual combina coleta direcionada, ao vivo, de memória e de nuvem com a geração seletiva de imagens — tudo sob os mesmos princípios de documentação.
Continue estudando — capítulo 02 de 12
← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →