Capítulo 12 — Perícia digital e análise de malware: portfólio de prática e revisão final
Mapa da aula
Aula 12 publicada. Mapa, exemplo, EX056.
flowchart TD
N0["12.1 O portfólio"]
N1["12.2 Revisão de ponta a ponta"]
N2["12.3 O que deu certo"]
N3["12.4 O que melhorar"]
N4["12.5 Revisão final com Dev"]
N5["12.6 Próximos passos"]
N6["12.7 Mantendo as habilidades atualizadas"]
N7["Retorno de outras pessoas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX056"]
Desenho lógico
flowchart LR
N0["12.1 O portfólio"]
N1["12.2 Revisão de ponta a ponta"]
N2["12.3 O que deu certo"]
N3["12.4 O que melhorar"]
N4["12.5 Revisão final com Dev"]
N5["12.6 Próximos passos"]
N6["12.7 Mantendo as habilidades atualizadas"]
N7["Retorno de outras pessoas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX056"]
[12.1 O portfólio]
|
v
[12.2 Revisão de ponta a ponta]
|
v
[12.3 O que deu certo]
|
v
[12.4 O que melhorar]
|
v
[12.5 Revisão final com Dev]
|
v
[12.6 Próximos passos]
|
v
[12.7 Mantendo as habilidades atualizadas]
|
v
[Retorno de outras pessoas]
|
v
[Exemplo resolvido] --> [Exercício EX056]
Objetivos de aprendizagem
Você vai (1) montar um portfólio de prática; (2) refletir sobre pontos fortes e lacunas; (3) revisar o caso de ponta a ponta; (4) planejar os próximos passos de aprendizagem.
12.1 O portfólio
O portfólio de Lena reúne: aprovações de escopo, log de custódia, manifestos, tabelas de verificação, linha do tempo, relatório, folhas de laboratório e suas notas de solução de problemas. Os dados pessoais são removidos ou substituídos por valores sintéticos antes que o portfólio saia da equipe. Cada item mostra uma habilidade avaliada pelo curso: as aprovações mostram autoridade, o log de custódia e os manifestos mostram preservação, e a linha do tempo e o relatório mostram análise e comunicação. As notas de solução de problemas importam tanto quanto os acertos, porque mostram como Lena lidou com a exportação de 48 horas, as duplicatas e o fuso do proxy. O nome de Joy e os contatos de fornecedores são substituídos antes que o portfólio vá para avaliação.
12.2 Revisão de ponta a ponta
Do relato das 10:00 ao encerramento em 10 de março: contenção em 20 minutos, evidência preservada antes da correção, seis destinatários conferidos, três lacunas de controle corrigidas, nenhum pagamento perdido. A verificação por telefone feita pelo fornecedor foi a defesa decisiva. Lido de ponta a ponta, o caso mostra quais passos sustentaram o peso: a redefinição às 10:05 encerrou o acesso depois de 51 minutos, a exportação das 10:12 guardou a regra, e a ampliação do escopo às 11:10 respondeu se outras pessoas tinham sido afetadas. Os pontos mais fracos foram os próprios erros de manuseio de Lena, todos detectados pelas verificações. Revisar a semana inteira de uma vez torna esses padrões visíveis de um jeito que os pontos de controle isolados não tornavam.
12.3 O que deu certo
Contenção rápida; preservação da regra antes da exclusão; registro honesto dos erros. A contenção começou às 10:05, cinco minutos depois do relato, e estava concluída às 10:20, então a sessão do atacante foi encerrada minutos depois da ligação da Kestrel. Exportar a regra às 10:12, antes da exclusão, guardou a evidência que ligava a 'fwd' à sessão das 09:14. Registrar cada erro com causa e correção fez com que o relatório merecesse confiança mesmo onde um primeiro rascunho tinha errado. São hábitos que Lena pretende manter em todos os casos que conduzir daqui em diante.
12.4 O que melhorar
A edição de Lena numa cópia de trabalho pela planilha; o intervalo padrão da exportação; a conversão tardia de fuso horário. Cada um agora tem uma correção no runbook. Os três têm uma causa comum: Lena confiou num padrão ou numa conveniência em vez de conferi-los. A planilha salvou por cima de uma cópia de trabalho, o console escolheu um intervalo de 48 horas e a exportação do proxy manteve o fuso local. Nenhum deles mudou uma conclusão, porque todos foram detectados, mas cada um custou tempo e exigiu uma correção no log. O runbook agora trata de cada um antes que o próximo caso comece.
12.5 Revisão final com Dev
Dev avalia o portfólio segundo a rubrica do curso: autoridade, preservação, análise, verificação, relatórios e ética, cada uma com nota de 0 a 3. Cada nota se apoia em evidências do portfólio, e não na impressão que o caso deixou. Autoridade, preservação, relatórios e ética recebem 3 cada. Análise recebe 2 porque a confiança não foi informada para todas as constatações, e verificação recebe 2 porque as verificações começaram mais tarde do que deveriam. Dev e Lena combinam uma única meta a partir das áreas mais fracas, em vez de uma longa lista, para que ela possa ser conferida no próximo caso.
12.6 Próximos passos
Lena planeja aprender triagem de endpoints e triagem estática básica de malware sob supervisão, apoiando-se em Sikorski e Honig (2012) para os primeiros passos seguros. Este caso não envolveu malware, então a triagem de endpoints e a triagem estática são as partes do título do curso que Lena ainda não praticou. Sob supervisão, ela vai começar com amostras sintéticas num PC de treinamento isolado, descrevendo comportamento e artefatos, sem executar nada ativo. Os mesmos hábitos valem: escopo por escrito, hashes antes da análise, notas durante o trabalho e a aprovação de Dev.
12.7 Mantendo as habilidades atualizadas
As técnicas de phishing e os logs em nuvem mudam; ela reserva uma hora por mês para ler as notas de mudanças dos provedores e as lições da equipe. O caso mostra por quê: o domínio imitado tinha apenas dois dias, e o padrão de exportação do console a surpreendeu. Mudanças dos provedores podem alterar campos de log ou a retenção sem aviso, o que afetaria a próxima exportação. Lena acrescenta o que aprende a uma breve nota mensal da equipe, para que as mudanças cheguem aos colegas, e Dev avalia se o runbook precisa ser atualizado em consequência.
Retorno de outras pessoas
Lena também pergunta a Joy e ao gerente financeiro como a resposta pareceu do lado deles. Joy conta que a primeira ligação a preocupou porque começou com perguntas; da próxima vez, Lena vai começar explicando que ela não está em apuros. Esse tipo de retorno raramente aparece nos logs, mas melhora os casos futuros.
Exemplo resolvido
A avaliação de Dev: autoridade 3, preservação 3, análise 2 ("informe a confiança de cada constatação"), verificação 2 ("verifique mais cedo"), relatórios 3, ética 3. Meta combinada: manter a tabela de verificação do próximo caso desde o primeiro dia.
Caso sintético. A avaliação é inventada.
Erros e limites
Um portfólio mostra o trabalho passado; a habilidade precisa ser mantida com prática.
Exercícios
- EX056 — Conteúdo do portfólio. Liste seis itens do portfólio. Rubrica: 3 = seis entre aprovações, custódia, manifestos, verificação, linha do tempo, relatório, folhas de laboratório, notas; 2 = quatro; 1 = dois; 0 = nada.
- EX057 — Defesa decisiva. Qual foi a defesa decisiva, e por quê? Rubrica: 3 = o fornecedor telefonou para um número conhecido; impediu a troca do pagamento; 2 = parcial; 1 = MFA; 0 = nada.
- EX058 — Melhorias. Cite três melhorias com suas correções. Rubrica: 3 = edição da cópia de trabalho, intervalo padrão, conversão tardia de fuso, com as correções do runbook; 2 = duas; 1 = uma; 0 = nada.
- EX059 — Meta da avaliação. Que meta saiu da avaliação? Rubrica: 3 = tabela de verificação desde o primeiro dia; 2 = parcial; 1 = vago; 0 = nada.
- EX060 — Anonimização. Por que anonimizar o portfólio? Rubrica: 3 = remover dados pessoais antes que saia da equipe; 2 = parcial; 1 = não precisa; 0 = nada.
Síntese
Um portfólio revisado transforma um caso em prática duradoura e num plano para continuar aprendendo.
Continue estudando — capítulo 12 de 12
← Capítulo 11 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →
Resoluções
Respostas-modelo para EX001–EX060. Lena Hart, Dev Anand, Joy Okafor, a Marlow Logistics, a Kestrel Packaging e todos os valores são sintéticos. As respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. A perícia reconstrói os eventos a partir de registros que outras pessoas podem conferir; a análise de malware descobre o que um programa suspeito faz, para que ele possa ser detectado e removido.
EX002. Um artefato é qualquer rastro de atividade; ele se torna evidência quando é coletado e manuseado de modo que sua integridade possa ser demonstrada.
EX003. Coleta, preserva e organiza evidências e executa verificações, com um supervisor aprovando o escopo e as conclusões, enquanto registra cada passo.
EX004. Joy digitou a senha numa página falsa, e depois disso alguém entrou na caixa de correio dela. Essa pessoa criou uma regra de encaminhamento externo e enviou à Kestrel um pedido de troca dos dados bancários.
EX005. O horário, quem relatou, o escopo e a aprovação de Dev, e que nada tinha sido feito ainda em outras contas.
EX006. O serviço de e-mail e identidade em nuvem, o proxy web, o sistema financeiro e o suporte técnico.
EX007. O financeiro precisa saber se algum pagamento mudou; a Kestrel precisa da confirmação de que o pedido era falso; o responsável pela proteção de dados precisa saber da exposição de dados pessoais.
EX008. A conta de Joy foi protegida na hora, enquanto uma colega assumia o trabalho de pagamentos dela naquele dia.
EX009. O canal de e-mail pode ainda estar nas mãos do atacante, então a confirmação passa por um número de telefone conhecido.
EX010. As mensagens encaminhadas para fora da empresa incluíam nomes de contatos de fornecedores, que são dados pessoais.
EX011. A política de uso aceitável junto com a aprovação de Dev às 10:02, que cobria apenas a caixa de correio e os logs de entrada de Joy.
EX012. Os registros de auditoria de retenção curta e os dados das sessões ativas, porque são os primeiros a desaparecer.
EX013. Logs de entrada, registros de auditoria da caixa de correio, regras da caixa de entrada, rastreamento de mensagens e o e-mail de phishing (os registros do proxy também contam).
EX014. Exportar primeiro guardou o nome, a ação e o destino da regra como evidência antes que a TI a removesse.
EX015. O item, a conta de onde veio, quem o exportou, o horário, seu hash e o local de armazenamento.
EX016. A conta foi usada por alguém além de Joy? Quando isso começou? O que essa pessoa fez, e mais alguém foi afetado?
EX017. Uma entrada bem-sucedida de j.okafor às 09:14 a partir de 203.0.113.50, dois minutos depois de uma falha do mesmo endereço; m.lee não mostrou nada novo.
EX018. Que o endereço fosse uma VPN da empresa, e que o celular de Joy tivesse entrado pelos dados móveis.
EX019. Um endereço IP mostra de onde veio uma conexão, e não qual pessoa a fez.
EX020. Um atacante que se conecte por um endereço já visto para a usuária, como uma VPN compartilhada, não seria sinalizado.
EX021. Para enviar cópias das mensagens da vítima para fora e para esconder respostas, de modo que a verdadeira dona não perceba.
EX022. A "fwd", que encaminha para um endereço externo; o log de auditoria mostra que ela foi criada às 09:20 pela sessão de 203.0.113.50.
EX023. Às 09:40, a conta de Joy enviou "Updated bank details" ao endereço do financeiro da Kestrel, o único envio externo daquela sessão.
EX024. Qualquer pessoa pode dar qualquer nome a uma regra; o que a liga ao atacante é a sessão que a criou.
EX025. Lena tirou os onze assuntos do rastreamento de mensagens sem abrir nenhum anexo.
EX026. Relato recebido, triagem e escopo, contenção, preservação, análise, verificação, relatório e, por fim, encerramento com lições.
EX027. Um pedido forjado de troca bancária poderia ter desviado um pagamento a fornecedor em poucas horas.
EX028. Redefinir a senha, encerrar todas as sessões, remover a regra depois de exportada e bloquear o endereço e o domínio imitado (além de verificar a ativação do MFA).
EX029. O rastreamento mostrou que o e-mail chegou a seis caixas de correio; Dev ampliou o escopo por escrito, e os registros do proxy mostraram que nenhum deles visitou a página.
EX030. Todas as ações concluídas, as partes interessadas informadas, a evidência arquivada conforme as regras de retenção e as lições registradas.
EX031. Lena tinha salvado uma coluna de notas na cópia de trabalho; ela a substituiu por uma cópia nova e verificada tirada do original e agora guarda as notas em outro lugar.
EX032. Nenhuma entrada bem-sucedida a partir de 203.0.113.50 depois das 10:05, a regra "fwd" removida e o proxy bloqueando o domínio imitado a partir de um PC de teste.
EX033. Joy estava num antigo grupo de exceção de MFA, o filtro de e-mail não pegou o domínio de dois dias e o encaminhamento para fora era permitido por padrão.
EX034. Uma regra de teste que encaminhava para fora da empresa foi criada e rejeitada.
EX035. O atacante pode ter outro acesso, como um consentimento de aplicativo ou outra conta, que uma única verificação não pegaria.
EX036. O log do proxy, o log de entradas, a auditoria da caixa de correio e o rastreamento de mensagens (e o registro de mudanças da TI).
EX037. 09:10 visita à página, 09:14 entrada do atacante, 09:20 regra de encaminhamento, 09:40 e-mail de troca bancária, 10:05 redefinição da senha.
EX038. O mesmo identificador de sessão aparece no registro de entrada e na entrada de auditoria da criação da regra.
EX039. Não há registros do que foi lido entre 09:14 e 09:40, então isso continua como lacuna em aberto.
EX040. A sessão que a criou veio do endereço do atacante, e Joy disse que não a tinha criado.
EX041. Resumo, escopo e autoridade, linha do tempo, constatações com nível de confiança, ações tomadas e recomendações (impacto, limites e apêndices também fazem parte).
EX042. Uma inferência: é deduzida do endereço novo, da declaração de Joy e da visita ao phishing, e não observada diretamente.
EX043. Ela não leu além do que a pergunta exigia, nunca as mencionou e listou apenas os assuntos ligados ao incidente.
EX044. A página de phishing era convincente e faltavam controles; culpar a pessoa faz os funcionários demorarem mais a relatar da próxima vez.
EX045. Cinquenta e um minutos de acesso, onze mensagens encaminhadas e um falso pedido de troca bancária, sem nenhum pagamento alterado.
EX046. Cada constatação cita um registro, cada item tem hash e entrada de custódia, todos os horários usam um só fuso e um colega reproduziu os passos principais (além da assinatura do supervisor).
EX047. O console usava por padrão as últimas 48 horas; Lena exportou de novo 1–3 de março, gerou o hash do novo arquivo e marcou o antigo como substituído.
EX048. As linhas foram deduplicadas pelo identificador de evento único, e as contagens erradas do rascunho foram anotadas como corrigidas.
EX049. Ele deslocou a visita à página em uma hora, quebrando a ordem até que a exportação fosse convertida para UTC.
EX050. A transparência mantém a confiança; um erro escondido que fosse descoberto depois lançaria dúvida sobre todo o trabalho.
EX051. Só registros sintéticos num PC de treinamento isolado, sem dados reais de caixas de correio nem páginas de phishing ativas.
EX052. 09:10 visita no proxy, 09:14 entrada, 09:20 criação da regra, 09:40 e-mail de troca bancária, 10:05 redefinição.
EX053. Comparar com uma resposta escrita de antemão revela erros na entrada ou no código sem que Lena ajuste suas expectativas.
EX054. Ela acrescentou o telefonema do fornecedor às 10:50; ele ficou por último, mostrando que ela entendeu como o script ordena os eventos.
EX055. Só funciona para eventos de um dia num só fuso horário; o trabalho real precisa de carimbos completos de data e hora.
EX056. Aprovações de escopo, o log de custódia, os manifestos, as tabelas de verificação, a linha do tempo e o relatório (as folhas de laboratório e as notas de solução de problemas também).
EX057. A equipe financeira da Kestrel telefonou para um número conhecido da Marlow para conferir, então a falsa troca bancária nunca foi executada.
EX058. A edição de uma cópia de trabalho (notas agora guardadas à parte), o intervalo padrão da exportação (intervalos explícitos) e a conversão tardia de fuso (converter para UTC antes de juntar).
EX059. Começar a tabela de verificação no primeiro dia do próximo caso.
EX060. Para que nenhum dado pessoal real saia da equipe quando o portfólio for compartilhado para avaliação.