◇ OpenCyber Academy
Profissionalizante · Capítulo 1 · Português

Capítulo 1 — Fundamentos de segurança para profissionais

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 1 — Fundamentos de segurança para profissionais

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 O que a área faz"]
  N1["1.2 Termos-chave"]
  N2["1.3 Seu lugar na equipe"]
  N3["1.4 O caso do curso"]
  N4["1.5 Por que isso importa"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 O que a área faz"]
  N1["1.2 Termos-chave"]
  N2["1.3 Seu lugar na equipe"]
  N3["1.4 O caso do curso"]
  N4["1.5 Por que isso importa"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX001"]

[1.1 O que a área faz]
    |
    v
[1.2 Termos-chave]
    |
    v
[1.3 Seu lugar na equipe]
    |
    v
[1.4 O caso do curso]
    |
    v
[1.5 Por que isso importa]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) explicar o que a perícia digital e a análise de malware fazem dentro de uma organização; (2) definir evidência, artefato, incidente e escopo; (3) descrever o lugar do profissional numa equipe supervisionada; (4) reconhecer o caso do curso.

1.1 O que a área faz

A perícia digital responde a perguntas sobre o que aconteceu em computadores e serviços on-line, usando registros que outras pessoas podem conferir. A análise de malware pergunta o que um programa suspeito faz, para que os defensores possam encontrá-lo e removê-lo. As duas alimentam a resposta a incidentes: a NIST SP 800-61 situa a análise entre a detecção e a contenção, e as lições aprendidas depois da recuperação. No caso da Marlow, predominam as perguntas periciais: quem entrou na caixa de correio de Joy, o que mudou e quais mensagens saíram da empresa. Nenhum programa rodou no PC dela, então a análise de malware contribui pouco aqui, e é por isso que o plano de estudos posterior de Lena trata da triagem estática à parte.

1.2 Termos-chave

Um incidente é um evento que causa dano ou ameaça sistemas ou dados. Um artefato é qualquer rastro deixado por uma atividade: uma linha de log, um arquivo, uma regra de caixa de correio. Evidência é um artefato coletado e manuseado de modo que sua integridade possa ser demonstrada. Escopo é o conjunto combinado de sistemas, contas e intervalos de tempo que você pode examinar. Aplicado ao caso, o incidente é a invasão da caixa de correio de Joy, a regra de encaminhamento é um artefato, e a lista de regras exportada se torna evidência quando Lena gera seu hash e registra sua custódia. O escopo que Dev aprova às 10:02 abrange uma caixa de correio e seus logs de entrada de 1 a 3 de março.

1.3 Seu lugar na equipe

Os profissionais iniciantes coletam, preservam e organizam evidências e executam verificações, sob um supervisor que aprova o escopo e as conclusões. Espera-se que você pergunte quando tiver dúvida e anote tudo o que fizer. Na Marlow, esse supervisor é Dev Anand, que aprova o escopo no início, as ações de contenção e as conclusões antes que qualquer relatório saia. A parte de Lena é prática: exportar registros com sua conta de administração nominal, gerar os hashes, rodar os pequenos scripts e manter um log com horários. Quando o caso levanta uma pergunta fora do escopo escrito, como saber se outros destinatários clicaram, ela pede a Dev que o amplie em vez de olhar primeiro.

1.4 O caso do curso

O livro acompanha Lena Hart, uma nova analista de segurança na fictícia Marlow Logistics, supervisionada pelo gerente de segurança Dev Anand. Em 3 de março, a auxiliar de contas a pagar Joy Okafor clica num link de um falso e-mail de "fatura compartilhada" e digita sua senha numa página imitada. Em seguida, alguém entra na caixa de correio dela, cria uma regra que encaminha suas mensagens para fora da empresa e envia um e-mail a um fornecedor, a fictícia Kestrel Packaging, pedindo a troca dos dados bancários. A equipe financeira da Kestrel desconfia e telefona para a Marlow às 10:00, e é assim que o caso chega a Lena na mesma manhã.

1.5 Por que isso importa

Nenhum malware rodou no PC de Joy, e ainda assim o incidente é grave: dinheiro poderia ser desviado. A perícia aqui se apoia mais em logs de serviços em nuvem do que em imagens de disco. O risco é financeiro e pessoal, e não de dano aos sistemas: um pagamento a fornecedor poderia ser desviado, e onze mensagens encaminhadas levaram nomes de contatos de fornecedores para fora da empresa. Como nada rodou no PC de Joy, os registros principais ficam com o provedor de e-mail e de identidade, o proxy e o log de mudanças da TI. Vários desses registros de auditoria em nuvem são guardados por apenas 30 dias por padrão, então a evidência tem prazo desde a primeira hora.

Exemplo resolvido

A primeira nota de Lena: "03/03 10:00. Relatado pela equipe financeira da Kestrel por telefone: e-mail suspeito de troca de dados bancários vindo da conta de J. Okafor. Escopo (aprovado por D. Anand às 10:02): caixa de correio e logs de entrada de Joy, 01–03 de março. Nenhuma ação em outras contas por enquanto."

Caso sintético. A Marlow Logistics, a Kestrel Packaging e todas as pessoas são inventadas.

Erros e limites

Começar sem escopo escrito traz o risco de examinar dados que você não tem direito de ver.

Exercícios

Síntese

A perícia e a análise de malware apoiam a resposta a incidentes com evidências verificáveis, dentro do escopo combinado e sob supervisão.

Continue estudando — capítulo 01 de 12

← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →