Capítulo 5 — Perícia digital e análise de malware: alternativas de projeto
Mapa da aula
Aula 05 publicada. Mapa, exemplo, EX021.
flowchart TD
N0["5.1 A questão de projeto"]
N1["5.2 Critérios e pesos"]
N2["Laboratório — matriz de decisão ponderada"]
N3["5.3 Ler o resultado"]
N4["5.4 Sensibilidade"]
N5["5.5 Decisão"]
N6["5.6 Comunicação"]
N7["5.7 Reutilização"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX021"]
Desenho lógico
flowchart LR
N0["5.1 A questão de projeto"]
N1["5.2 Critérios e pesos"]
N2["Laboratório — matriz de decisão ponderada"]
N3["5.3 Ler o resultado"]
N4["5.4 Sensibilidade"]
N5["5.5 Decisão"]
N6["5.6 Comunicação"]
N7["5.7 Reutilização"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX021"]
[5.1 A questão de projeto]
|
v
[5.2 Critérios e pesos]
|
v
[Laboratório — matriz de decisão ponderada]
|
v
[5.3 Ler o resultado]
|
v
[5.4 Sensibilidade]
|
v
[5.5 Decisão]
|
v
[5.6 Comunicação]
|
v
[5.7 Reutilização]
|
v
[Exemplo resolvido] --> [Exercício EX021]
Objetivos de aprendizagem
Você vai (1) comparar estratégias de coleta com uma matriz de decisão ponderada; (2) testar a sensibilidade da escolha aos pesos; (3) combinar opções; (4) justificar o projeto às partes interessadas.
5.1 A questão de projeto
Para os 40 hosts afetados pelo ransomware, Marta compara três estratégias: gerar imagem completa de cada host; coleta de triagem direcionada em todos; ou triagem em todos e depois imagens completas dos hosts que a triagem marcar como significativos. Cada estratégia responde às perguntas sobre o ponto de entrada e a exfiltração de um jeito diferente e a um custo diferente. A geração completa de imagens dá o máximo de evidência, mas manteria os 40 hosts fora do ar durante a maior parte de um dia. A triagem direcionada é a mais rápida, mas perde qualquer artefato que não esteja na lista. A estratégia híbrida mantém a definição rápida do escopo e acrescenta imagens completas onde a triagem mostra que valem o custo.
5.2 Critérios e pesos
Cobertura da evidência (0,35), tempo até a resposta (0,25), interrupção do negócio (0,20) e custo (0,20). Os pesos são acordados com o COO antes da pontuação, para que não sejam ajustados a uma resposta preferida. Os pesos refletem a posição da Corvane: a cobertura pesa mais porque o regulador vai perguntar sobre os dados de clientes, o tempo importa porque a recuperação está à espera, e a interrupção e o custo dividem o restante. Escrever os pesos primeiro, com o COO, significa que ninguém poderá alegar depois que a matriz foi montada para justificar uma escolha feita de antemão. A concordância do COO com os pesos fica registrada no registro de decisões.
Laboratório — matriz de decisão ponderada
"""Weighted decision matrix: collection strategy for 40 ransomware-affected hosts."""
w = {"evidence_coverage": 0.35, "time_to_answer": 0.25, "business_disruption": 0.20, "cost": 0.20}
opts = {"full_image_all": {"evidence_coverage": 5, "time_to_answer": 1, "business_disruption": 2, "cost": 1},
"targeted_triage": {"evidence_coverage": 3, "time_to_answer": 5, "business_disruption": 4, "cost": 4},
"triage_then_image": {"evidence_coverage": 4, "time_to_answer": 4, "business_disruption": 4, "cost": 3}}
for name, s in sorted(opts.items(), key=lambda kv: -sum(w[c]*kv[1][c] for c in w)):
print(f"{name:18} {sum(w[c]*s[c] for c in w):.2f}")
Execute com python3 lab_matrix.py. Saída verificada:
targeted_triage 3.90
triage_then_image 3.80
full_image_all 2.60
5.3 Ler o resultado
A triagem direcionada (targeted_triage) obtém 3,90, a triagem seguida de imagem (triage_then_image) 3,80, e a imagem completa de todos os hosts (full_image_all) 2,60. A imagem completa é claramente a pior em tempo e custo. As duas primeiras estão a 0,10 uma da outra — perto demais para que a matriz decida sozinha. A diferença de 0,10 é menor do que o erro provável de qualquer nota isolada, já que a mudança de um ponto no tempo até a resposta move uma opção em 0,25. Marta, por isso, lê a matriz como mostrando que duas opções estão próximas e uma é claramente pior. A escolha entre as duas primeiras exige um argumento que a matriz não pode fornecer.
5.4 Sensibilidade
Elevar o peso da cobertura da evidência para 0,45 (tirando 0,10 do tempo) põe a triagem seguida de imagem à frente. Como o regulador pode fazer perguntas detalhadas sobre a exfiltração de dados, Marta julga a cobertura a prioridade mais defensável. Com esses pesos, a triagem seguida de imagem obtém 3,80, a triagem direcionada cai para 3,70 e a imagem completa sobe para 3,00. A ordem das duas primeiras se inverte com uma mudança modesta, o que confirma o quase empate. Marta registra a execução de sensibilidade e o argumento do regulador no registro de decisões. A nova execução leva minutos, porque basta mudar os pesos no script do laboratório.
5.5 Decisão
Triagem seguida de imagem: triagem dos 40 hosts e depois imagem completa do host infectado primeiro, do controlador de domínio, dos servidores de arquivos e de qualquer host que mostre ferramentas de exfiltração. A escolha segue o argumento da cobertura: a triagem em todos responde rapidamente ao escopo, e as imagens completas dos hosts com mais chance de guardar evidências da entrada e da exfiltração protegem as perguntas do regulador. Os hosts não marcados como significativos voltam à TI para reconstrução assim que a triagem termina. Os critérios de "significativo" são escritos antes de chegarem os resultados da triagem. A geração de imagens dos hosts significativos corre em paralelo com a recuperação dos demais.
5.6 Comunicação
O COO vê a matriz, o quase empate e o motivo para escolher a cobertura. O COO também vê o resultado da sensibilidade: com a cobertura pesando 0,45, a opção híbrida lidera e, com os pesos originais, a triagem direcionada lidera por 0,10. Apresentar o quase empate com honestidade permite ao COO concordar com o argumento da cobertura sabendo o que faz, em vez de ver apenas uma nota vencedora. O COO aprova a opção híbrida com a contrapartida à vista, e a aprovação é registrada. O registro mostra que a decisão se apoiou em prioridades declaradas, e não num ajuste oculto das notas.
5.7 Reutilização
A matriz vira um modelo no manual de resposta a incidentes. O modelo mantém os quatro critérios, a regra de que os pesos são acordados antes da pontuação e o painel de pontuação de três pessoas. Cada novo incidente preenche as próprias notas, porque um incidente pequeno, com dois hosts, pode favorecer a imagem completa. Guardar as matrizes antigas com seus resultados permite à unidade conferir depois se a pontuação foi realista. O manual também indica quando não vale a pena usar a matriz, como num incidente com um único host e uma resposta óbvia.
Painel de pontuação
Três pessoas pontuam cada opção de forma independente — Marta, Aiyana e o líder de infraestrutura — e usa-se a média. Quando as notas diferem em dois pontos ou mais, eles discutem e registram os motivos. Isso reduz a influência da preferência de qualquer pessoa e expõe suposições, como quanto tempo realmente leva gerar a imagem de um servidor de arquivos.
Exemplo resolvido
A triagem marca seis hosts como significativos; com o controlador de domínio e os dois servidores de arquivos, nove recebem imagem. A geração de imagens corre em paralelo com a recuperação dos outros 31 e termina às 14:00.
Caso sintético. As notas são geradas pelo script do laboratório.
Erros e limites
As notas são juízos; registre quem pontuou e convide ao questionamento, sobretudo quando as opções estão próximas.
Exercícios
- EX021 — Notas do laboratório. Informe as três notas. Rubrica: 3 = 3,90, 3,80, 2,60 com os nomes; 2 = duas; 1 = uma; 0 = nada.
- EX022 — Quase empate. Por que a matriz não pode decidir sozinha? Rubrica: 3 = as duas primeiras a 0,10; os erros de julgamento superam a diferença; 2 = parcial; 1 = ela pode; 0 = nada.
- EX023 — Sensibilidade. Que mudança de pesos inverte as duas primeiras? Rubrica: 3 = cobertura 0,45, tempo 0,15; 2 = parcial; 1 = errado; 0 = nada.
- EX024 — Pesos primeiro. Por que acordar os pesos antes da pontuação? Rubrica: 3 = impede o ajuste a uma resposta preferida; 2 = parcial; 1 = rapidez; 0 = nada.
- EX025 — Hosts com imagem. Quais hosts receberam imagem completa? Rubrica: 3 = infectado primeiro, controlador de domínio, servidores de arquivos, hosts com exfiltração (nove ao todo); 2 = parcial; 1 = todos; 0 = nada.
Síntese
Matrizes de decisão esclarecem as contrapartidas; verificações de sensibilidade e prioridades declaradas resolvem os casos apertados.
Continue estudando — capítulo 05 de 12
← Capítulo 04 (rascunho) · Índice de capítulos do curso · Capítulo 06 (rascunho) →