Capítulo 2 — Perícia digital e análise de malware: contexto do serviço e das partes interessadas
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX006.
flowchart TD
N0["2.1 Serviços no caso"]
N1["2.2 Partes interessadas"]
N2["2.3 Continuidade"]
N3["2.4 Níveis de comunicação"]
N4["2.5 Contato com o fornecedor"]
N5["2.6 Registro dos contatos"]
N6["Expectativas"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX006"]
Desenho lógico
flowchart LR
N0["2.1 Serviços no caso"]
N1["2.2 Partes interessadas"]
N2["2.3 Continuidade"]
N3["2.4 Níveis de comunicação"]
N4["2.5 Contato com o fornecedor"]
N5["2.6 Registro dos contatos"]
N6["Expectativas"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX006"]
[2.1 Serviços no caso]
|
v
[2.2 Partes interessadas]
|
v
[2.3 Continuidade]
|
v
[2.4 Níveis de comunicação]
|
v
[2.5 Contato com o fornecedor]
|
v
[2.6 Registro dos contatos]
|
v
[Expectativas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX006]
Objetivos de aprendizagem
Você vai (1) mapear os serviços envolvidos num incidente; (2) identificar as partes interessadas e do que elas precisam; (3) equilibrar a investigação com a continuidade do negócio; (4) comunicar no nível certo.
2.1 Serviços no caso
A Marlow usa um serviço de e-mail e identidade em nuvem, um proxy web para o tráfego do escritório, um sistema financeiro para pagamentos a fornecedores e um suporte técnico. Cada um guarda registros de que a investigação pode precisar, e cada um tem um dono. Neste caso, o serviço de e-mail e identidade guarda os logs de entrada, os registros de auditoria da caixa de correio, as regras da caixa de entrada e o rastreamento de mensagens. O proxy mostra a visita de Joy à página imitada às 09:10. O sistema financeiro mostra se os dados bancários da Kestrel foram alterados, e o chamado do suporte registra a redefinição feita pela TI às 10:05. Lena anota cada dono ao lado dos registros de que precisa, para que os pedidos cheguem à pessoa certa.
2.2 Partes interessadas
Joy precisa da conta de volta e de tranquilidade. O financeiro precisa saber se algum pagamento mudou. A Kestrel precisa da confirmação de que o e-mail era falso. As operações de TI precisam de ações claras. A gestão precisa de impacto e risco. O responsável pela proteção de dados precisa saber se dados pessoais foram expostos. Lena escreve essas necessidades em sua tabela de partes interessadas antes de contatar qualquer pessoa, porque cada resposta depende de registros diferentes. A pergunta do financeiro é respondida pelo sistema financeiro às 10:40, a da Kestrel por um telefonema às 10:50, e a do responsável pela proteção de dados só depois que os onze assuntos encaminhados são listados a partir do rastreamento de mensagens.
2.3 Continuidade
O setor de contas precisa continuar pagando os fornecedores. Dev combina que a conta de Joy é protegida imediatamente, mas uma colega cuida dos pagamentos dela naquele dia, para que o negócio continue enquanto a evidência é reunida. Proteger a conta veio primeiro porque a sessão do atacante ainda podia enviar mensagens, mas suspender de vez os pagamentos a fornecedores teria prejudicado a Marlow e seus fornecedores mais do que o próprio incidente. A colega que cobre os pagamentos de Joy trabalha na própria conta, então nada do trabalho de pagamentos toca a caixa de correio sob exame. Dev registra o arranjo no chamado, para que o financeiro saiba a quem ligar naquele dia.
2.4 Níveis de comunicação
Os detalhes técnicos vão para a TI; resumos simples, para os gestores; uma confirmação curta e factual, para a Kestrel. Lena redige; Dev aprova tudo o que sai da equipe de segurança. Na prática, a TI recebe as ações exatas com horários: redefinição às 10:05, a regra a remover só depois da exportação, e o endereço 203.0.113.50 e o domínio imitado a bloquear. Os gestores recebem o que aconteceu, se houve movimentação de dinheiro e quando virá a próxima atualização. A Kestrel recebe apenas a informação de que o e-mail de troca bancária era falso e deve ser ignorado. Lena guarda cada rascunho no chamado com o horário em que Dev o aprovou.
2.5 Contato com o fornecedor
A equipe financeira da Kestrel agiu certo: telefonou para um número conhecido para conferir. A resposta também confirma por telefone, nunca respondendo ao e-mail suspeito. Uma resposta ao e-mail das 09:40 teria ido para uma caixa de correio que o atacante tinha acabado de usar, e qualquer confirmação poderia ter sido lida antes da redefinição. Por isso, o gerente financeiro da Marlow telefona para a Kestrel às 10:50, num número que já constava do cadastro do fornecedor, e não num número tirado do e-mail. Lena registra a ligação com horário e autor, e a revisão de ponta a ponta depois aponta a verificação feita pela própria Kestrel como a defesa decisiva.
2.6 Registro dos contatos
Cada contato com uma parte interessada é registrado com horário, pessoa e conteúdo. O log de contatos de Lena de 3 de março traz entradas como a confirmação do financeiro às 10:40 de que nenhum cadastro de fornecedor tinha mudado, a ligação do gerente financeiro para a Kestrel às 10:50 e a reunião das 11:30 com o responsável pela proteção de dados. Cada linha diz quem falou, por qual canal e o que foi dito ou combinado. Registrar os contatos no momento em que acontecem, e não de memória no fim do dia, mantém a linha do tempo exata. O log também mostra quando as atualizações prometidas venciam, então uma atualização do meio-dia esquecida ficaria visível para Dev. Quando o relatório for escrito, essas entradas sustentam a parte das ações tomadas sem que ninguém precise reconstruir conversas.
Expectativas
Lena diz a cada parte interessada quando virá a próxima atualização. Uma atualização prometida para o meio-dia, mesmo que diga apenas 'nada mudou', mantém a confiança melhor do que o silêncio.
Exemplo resolvido
A tabela de partes interessadas de Lena lista Joy (conta restaurada, informada do que aconteceu), o financeiro (verificou que nenhum cadastro de fornecedor mudou — confirmado às 10:40), a Kestrel (telefonema do gerente financeiro às 10:50; o e-mail era falso), a TI (redefinição e revogação de sessões feitas às 10:05) e o responsável pela proteção de dados (informado às 11:30 porque as mensagens encaminhadas continham nomes de contatos de fornecedores).
Caso sintético. Os serviços e as pessoas da Marlow são inventados.
Erros e limites
As partes interessadas podem querer respostas antes que a evidência as sustente; diga o que se sabe e quando virá mais.
Exercícios
- EX006 — Serviços. Liste quatro serviços relevantes para o caso. Rubrica: 3 = e-mail/identidade, proxy, sistema financeiro, suporte técnico; 2 = três; 1 = um; 0 = nada.
- EX007 — Necessidades das partes. Associe três partes interessadas ao que elas precisam. Rubrica: 3 = p. ex. financeiro – situação dos pagamentos; Kestrel – confirmação; proteção de dados – exposição de dados pessoais; 2 = duas; 1 = uma; 0 = nada.
- EX008 — Escolha de continuidade. Como a Marlow continuou pagando os fornecedores? Rubrica: 3 = uma colega cuidou dos pagamentos enquanto a conta de Joy era protegida; 2 = parcial; 1 = suspendeu os pagamentos; 0 = nada.
- EX009 — Confirmação com a Kestrel. Por que telefonar em vez de responder por e-mail? Rubrica: 3 = o canal suspeito pode estar sob controle do atacante; usar um número conhecido; 2 = parcial; 1 = mais rápido; 0 = nada.
- EX010 — Proteção de dados. Por que o responsável pela proteção de dados foi informado? Rubrica: 3 = as mensagens encaminhadas tinham nomes de contatos de fornecedores (dados pessoais); 2 = parcial; 1 = rotina; 0 = nada.
Síntese
Conheça os serviços e as partes interessadas, mantenha o negócio funcionando e ajuste cada mensagem ao seu leitor.
Continue estudando — capítulo 02 de 12
← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →