Capítulo 7 — Perícia digital e análise de malware: integração organizacional
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX031.
flowchart TD
N0["7.1 Onde a perícia se situa"]
N1["7.2 Interfaces"]
N2["7.3 Playbooks"]
N3["7.4 Política de prontidão"]
N4["7.5 Jurídico e riscos"]
N5["7.6 Exercícios simulados"]
N6["7.7 Métricas"]
N7["Orçamento e equipe"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX031"]
Desenho lógico
flowchart LR
N0["7.1 Onde a perícia se situa"]
N1["7.2 Interfaces"]
N2["7.3 Playbooks"]
N3["7.4 Política de prontidão"]
N4["7.5 Jurídico e riscos"]
N5["7.6 Exercícios simulados"]
N6["7.7 Métricas"]
N7["Orçamento e equipe"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX031"]
[7.1 Onde a perícia se situa]
|
v
[7.2 Interfaces]
|
v
[7.3 Playbooks]
|
v
[7.4 Política de prontidão]
|
v
[7.5 Jurídico e riscos]
|
v
[7.6 Exercícios simulados]
|
v
[7.7 Métricas]
|
v
[Orçamento e equipe]
|
v
[Exemplo resolvido] --> [Exercício EX031]
Objetivos de aprendizagem
Você vai (1) integrar a capacidade pericial à resposta a incidentes da empresa; (2) definir as interfaces com o SOC, a TI, o jurídico e a área de riscos; (3) incorporar a prontidão pericial à política; (4) medir a integração.
7.1 Onde a perícia se situa
Na Corvane, o SOC detecta, a resposta a incidentes coordena, a TI recupera e a unidade de Marta preserva e examina a evidência. Antes do CF-21, esses papéis se sobrepunham informalmente, o que causava atrasos: a TI reconstruiu dois servidores antes dos snapshots periciais. A reconstrução de dois servidores antes dos snapshots não foi má-fé nem descuido; a TI seguiu o próprio runbook de recuperação, que não dizia nada sobre perícia. O custo foi permanente: as perguntas que esses servidores poderiam ter respondido ficaram parcialmente em aberto no laudo final. Marta trata o episódio como uma falha de processo a corrigir, não como uma equipe a culpar.
7.2 Interfaces
Uma matriz RACI esclarece quem é responsável, quem presta contas, quem é consultado e quem é informado em cada etapa: isolamento, captura de memória, snapshot, aprovação da reconstrução, notificação ao regulador. No CF-21, a matriz teria mostrado, por exemplo, que a TI é responsável pela aprovação da reconstrução, mas precisa consultar a unidade de Marta no caso de hosts significativos. A notificação ao regulador fica com o jurídico, que presta contas, com a perícia consultada sobre os fatos. Escrever isso elimina as suposições que levaram às reconstruções das 08:30. A matriz é revista após cada exercício e cada incidente, para acompanhar como a Corvane realmente trabalha.
7.3 Playbooks
Os playbooks de incidentes agora incluem uma barreira pericial: nenhum host significativo é reconstruído sem a liberação da perícia, com um tempo máximo de espera acordado com a TI para que a recuperação não fique bloqueada indefinidamente. O tempo máximo de espera importa tanto quanto a própria barreira. Sem um limite, a TI veria a perícia como um bloqueio sem prazo e procuraria formas de contorná-lo. Com um limite, a TI consegue planejar a recuperação, e a perícia sabe que precisa agir dentro da janela ou registrar por que não conseguiu. Para o CF-21, esse limite passou a ser de 90 minutos, com um contato pericial de plantão indicado no playbook.
7.4 Política de prontidão
A ISO/IEC 27043 inclui processos de prontidão. A política da Corvane agora especifica as fontes de log, a retenção, o encaminhamento central, a sincronização de horário e ferramentas de coleta pré-aprovadas nos endpoints. Cada item da política remonta a uma lacuna do CF-21. O encaminhamento central responde aos logs rotacionados das estações, a sincronização de horário sustenta a fusão de logs de muitas fontes, e as ferramentas pré-aprovadas fazem com que a captura de memória não espere por um pedido de software. As configurações de retenção dos logs de VPN e de identidade protegem a evidência que mostrou o ponto de entrada. O cumprimento da política é conferido pela métrica de cobertura de logs.
7.5 Jurídico e riscos
O jurídico é envolvido cedo para gerir o sigilo profissional e o contato com o regulador; as equipes de risco recebem avaliações de impacto baseadas em evidências. No CF-21, o envolvimento precoce do jurídico moldou a forma como as constatações da investigação foram registradas e o momento em que o regulador foi contatado. A equipe de riscos precisava saber quantas contas de clientes poderiam estar afetadas, e a resposta pericial — 4.200 contas no compartilhamento, sem confirmação da transferência de arquivos específicos — lhe deu um número delimitado. O jurídico e a equipe de riscos também são convidados para os exercícios semestrais, para que as interfaces sejam praticadas antes do próximo incidente.
7.6 Exercícios simulados
Exercícios conjuntos de mesa e técnicos, duas vezes por ano, testam as interfaces. Os exercícios usam incidentes sintéticos que tocam as mesmas interfaces do CF-21: um alerta que deveria disparar snapshots, um pedido de reconstrução que precisa passar pela barreira pericial e um informe para o jurídico. Os problemas encontrados nos exercícios vão para responsáveis nomeados, com datas para a correção e para um novo teste. Uma barreira que nunca é exercitada tende a ser pulada no próximo incidente real. Os resultados de cada exercício são relatados em relação às métricas de integração.
7.7 Métricas
Tempo da detecção até a preservação pericial; porcentagem de hosts significativos preservados antes da reconstrução; cobertura de logs em relação à política. Essas três métricas vêm diretamente das lacunas encontradas na revisão do CF-21. O tempo da detecção até a preservação foi a linha de base do projeto aplicado, com mediana de 3,5 horas. A porcentagem de hosts significativos preservados antes da reconstrução capta os dois servidores perdidos, e a cobertura de logs mede se a política de prontidão está de fato implantada nos endpoints. Cada métrica é relatada trimestralmente, para que o desvio apareça antes que um incidente o ponha à prova.
Orçamento e equipe
A integração precisa de recursos: uma escala de plantão, armazenamento para snapshots e imagens e licenças de coleta nos endpoints. Marta apresenta os custos em relação aos atrasos do CF-21 que eles teriam evitado, dando ao conselho uma comparação concreta.
Exemplo resolvido
Na revisão pós-incidente, a linha do tempo mostra dois servidores reconstruídos às 08:30, antes dos snapshots, porque a TI não sabia que a barreira pericial existia. A ação de Marta: incluir a barreira no processo de mudanças da TI, com espera máxima de 90 minutos e um contato pericial de plantão.
Caso sintético. A revisão é inventada.
Erros e limites
Mudanças de processo exigem prática; uma barreira escrita num playbook, mas nunca exercitada, ainda pode ser pulada sob pressão.
Exercícios
- EX031 — Falha anterior ao CF-21. O que deu errado antes da integração? Rubrica: 3 = a TI reconstruiu servidores antes dos snapshots; sobreposição de papéis; 2 = parcial; 1 = vago; 0 = nada.
- EX032 — RACI. O que uma matriz RACI define? Rubrica: 3 = responsável, quem presta contas, consultado, informado em cada etapa; 2 = parcial; 1 = organograma; 0 = nada.
- EX033 — Barreira pericial. Descreva a barreira pericial e sua salvaguarda para a TI. Rubrica: 3 = liberação antes da reconstrução; tempo máximo de espera; 2 = uma; 1 = vago; 0 = nada.
- EX034 — Política de prontidão. Liste quatro elementos da política de prontidão. Rubrica: 3 = fontes de log, retenção, encaminhamento, sincronização de horário, ferramentas (quaisquer quatro); 2 = três; 1 = um; 0 = nada.
- EX035 — Métrica de integração. Dê duas métricas de integração. Rubrica: 3 = tempo da detecção à preservação; % de hosts significativos preservados (ou cobertura de logs); 2 = uma; 1 = vago; 0 = nada.
Síntese
A perícia funciona melhor incorporada aos processos de incidente, com interfaces claras, barreiras, política de prontidão e métricas.
Continue estudando — capítulo 07 de 12
← Capítulo 06 (rascunho) · Índice de capítulos do curso · Capítulo 08 (rascunho) →