OpenCyber Academy
Profissionalizante · Capítulo 3 · Português
Código do curso: OCA-040Capítulo 03: OCA-040-C003

Capítulo 3 — Prática autorizada e manuseio de evidências

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX011.

flowchart TD
  N0["3.1 Autoridade"]
  N1["3.2 Ordem de volatilidade"]
  N2["3.3 O que preservar"]
  N3["3.4 Hash das exportações"]
  N4["3.5 Cadeia de custódia"]
  N5["3.6 Preservar antes de corrigir"]
  N6["3.7 Atenção à retenção"]
  N7["Sua própria conta"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX011"]

Desenho lógico

flowchart LR
  N0["3.1 Autoridade"]
  N1["3.2 Ordem de volatilidade"]
  N2["3.3 O que preservar"]
  N3["3.4 Hash das exportações"]
  N4["3.5 Cadeia de custódia"]
  N5["3.6 Preservar antes de corrigir"]
  N6["3.7 Atenção à retenção"]
  N7["Sua própria conta"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX011"]

[3.1 Autoridade]
    |
    v
[3.2 Ordem de volatilidade]
    |
    v
[3.3 O que preservar]
    |
    v
[3.4 Hash das exportações]
    |
    v
[3.5 Cadeia de custódia]
    |
    v
[3.6 Preservar antes de corrigir]
    |
    v
[3.7 Atenção à retenção]
    |
    v
[Sua própria conta]
    |
    v
[Exemplo resolvido] --> [Exercício EX011]

Objetivos de aprendizagem

Você vai (1) confirmar a autoridade antes de coletar; (2) aplicar a ordem de volatilidade a dados da nuvem e do endpoint; (3) preservar exportações com hashes; (4) manter uma cadeia de custódia.

3.1 Autoridade

A política de uso aceitável da Marlow permite que a equipe de segurança examine contas da empresa durante incidentes, com aprovação de um gerente. A aprovação de Dev às 10:02 indica a caixa de correio e os logs de entrada de Joy. Lena não olha outras caixas de correio até que o escopo seja ampliado por escrito. A aprovação é específica: uma caixa de correio, seus logs de entrada e o período de 1 a 3 de março. Quando o rastreamento de mensagens mostra depois que o e-mail de phishing chegou a seis caixas de correio da Marlow, Lena pede a Dev que amplie o escopo, e ele o faz por escrito às 11:10. Até lá, ela sabe apenas que existem outras cópias; não abre essas caixas de correio nem seus logs.

3.2 Ordem de volatilidade

A RFC 3227 recomenda coletar primeiro os dados de vida mais curta. Nos serviços em nuvem, isso significa os registros de auditoria de retenção curta e as sessões ativas; no PC de Joy, o histórico do navegador, antes que seja apagado ou sobrescrito. Na Marlow, Lena exporta primeiro o log de entradas e os registros de auditoria da caixa de correio, porque alguns registros de auditoria são guardados por apenas 30 dias e são os detalhes da sessão que ligam a entrada das 09:14 à regra. A lista de regras da caixa de entrada vem em seguida, antes que a TI remova a 'fwd'. Os registros do proxy e o próprio e-mail de phishing mudam mais devagar, então vêm depois que os registros de vida curta estão seguros.

3.3 O que preservar

Logs de entrada, registros de auditoria da caixa de correio, regras da caixa de entrada, rastreamento de mensagens, o próprio e-mail de phishing e os registros do proxy do PC de Joy. Lena exporta cada um pelo console de administração com sua própria conta de administração nominal. Cada item responde a uma pergunta que Lena já escreveu: o log de entradas mostra quem entrou e de onde, os registros de auditoria mostram o que a sessão mudou, o rastreamento mostra o que saiu da caixa de correio e os registros do proxy mostram a visita de Joy à página imitada. Na atualização do chamado das 12:00, o manifesto lista seis itens, cada um com sua fonte e seu horário de exportação.

3.4 Hash das exportações

Cada exportação recebe hash SHA-256 no download e entra num manifesto. Cópias de trabalho são feitas para a análise; os originais são guardados em modo somente leitura. Gerar o hash no download fixa o que foi coletado, então qualquer mudança posterior num arquivo pode ser detectada recalculando o hash. A análise de Lena acontece só nas cópias de trabalho; os originais no compartilhamento de evidências somente leitura /IR-0303 só são abertos de novo para fazer uma cópia nova. A conferência do manifesto detecta depois um problema real neste caso, quando uma edição numa planilha altera a cópia de trabalho do message_trace.csv e seu hash deixa de coincidir. Como o original estava intacto, a correção leva minutos, e não uma nova exportação.

3.5 Cadeia de custódia

O log de custódia registra item, fonte, quem o exportou, quando, hash e local de armazenamento, além de cada transferência posterior. Para as regras da caixa de entrada de Joy, a entrada indica o item, a conta j.okafor, Lena como coletora, o horário de exportação 10:12, o hash no manifesto e o compartilhamento /IR-0303. Se Dev ou um colega pega uma cópia para reproduzir um passo, essa transferência é acrescentada com horário e destinatário. Uma lacuna no log, como uma cópia cuja origem ninguém registrou, tornaria difícil mostrar que o item não foi alterado. O log fica ao lado do manifesto, para que a integridade e o manuseio possam ser conferidos juntos.

3.6 Preservar antes de corrigir

A TI redefiniu a senha de Joy às 10:05, o que foi certo; mas a exclusão da regra de encaminhamento esperou até que Lena exportasse a lista de regras às 10:12, para que os detalhes da regra fossem mantidos. A ordem importa porque o instinto da TI é limpar na hora. Redefinir a senha e revogar as sessões impede novos acessos sem destruir nada, então pode vir primeiro. Excluir uma regra remove da caixa de correio ativa seu nome, sua ação, seu destino e seus dados de criação, e é a exportação de Lena às 10:12 que os guarda. Três minutos depois, às 10:15, a TI remove a regra, e o horário entra na entrada de custódia.

3.7 Atenção à retenção

Alguns logs de auditoria são guardados por apenas 30 dias por padrão. Exportar cedo evita perdê-los. Num caso relatado em 3 de março, os registros de 1º de março sairiam de uma janela de 30 dias no começo de abril, bem antes de qualquer revisão ou disputa posterior. Lena confere a retenção de cada fonte ao exportá-la e a anota no manifesto. Os registros do proxy seguem suas próprias configurações de retenção, então ela pergunta ao dono do proxy em vez de presumir. Depois de exportadas e com hash, as cópias no compartilhamento de evidências seguem a retenção de casos da Marlow, e não o padrão do provedor.

Sua própria conta

As exportações são feitas com a conta de administração nominal de Lena, nunca com uma conta compartilhada, para que o log de auditoria do próprio provedor mostre exatamente quem coletou o quê. Essa entrada de auditoria também faz parte da trilha de custódia.

Exemplo resolvido

Entrada de custódia: "Item 3: exportação das regras da caixa de entrada, j.okafor. Exportado por L. Hart às 10:12 pelo console de administração. SHA-256 registrado no manifesto. Armazenado: compartilhamento de evidências /IR-0303, somente leitura. Regra excluída pela TI às 10:15, depois da exportação."

Caso sintético. Todas as entradas são inventadas.

Erros e limites

As exportações refletem o que o provedor registra; campos ausentes não podem ser recuperados depois.

Exercícios

Síntese

Colete dentro da autoridade, o mais volátil primeiro, gere hash e registre tudo, e preserve antes de corrigir.

Continue estudando — capítulo 03 de 12

← Capítulo 02 (rascunho) · Índice de capítulos do curso · Capítulo 04 (rascunho) →

Respostas comentadas

EX011. A política de uso aceitável junto com a aprovação de Dev às 10:02, que cobria apenas a caixa de correio e os logs de entrada de Joy.

EX012. Os registros de auditoria de retenção curta e os dados das sessões ativas, porque são os primeiros a desaparecer.

EX013. Logs de entrada, registros de auditoria da caixa de correio, regras da caixa de entrada, rastreamento de mensagens e o e-mail de phishing (os registros do proxy também contam).

EX014. Exportar primeiro guardou o nome, a ação e o destino da regra como evidência antes que a TI a removesse.

EX015. O item, a conta de onde veio, quem o exportou, o horário, seu hash e o local de armazenamento.