Capítulo 5 — Perícia digital e análise de malware: ferramentas e interpretação
Mapa da aula
Aula 05 publicada. Mapa, exemplo, EX021.
flowchart TD
N0["5.1 O conjunto de ferramentas"]
N1["5.2 Regras da caixa de correio"]
N2["Laboratório — sinalizando encaminhamentos externos"]
N3["5.3 Lendo o resultado"]
N4["5.4 Rastreamento de mensagens"]
N5["5.6 Conteúdo encaminhado"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX021"]
Desenho lógico
flowchart LR
N0["5.1 O conjunto de ferramentas"]
N1["5.2 Regras da caixa de correio"]
N2["Laboratório — sinalizando encaminhamentos externos"]
N3["5.3 Lendo o resultado"]
N4["5.4 Rastreamento de mensagens"]
N5["5.6 Conteúdo encaminhado"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX021"]
[5.1 O conjunto de ferramentas]
|
v
[5.2 Regras da caixa de correio]
|
v
[Laboratório — sinalizando encaminhamentos externos]
|
v
[5.3 Lendo o resultado]
|
v
[5.4 Rastreamento de mensagens]
|
v
[5.6 Conteúdo encaminhado]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX021]
Objetivos de aprendizagem
Você vai (1) usar exportações do console de administração e pequenos scripts como ferramentas; (2) interpretar regras de caixa de correio; (3) ler o rastreamento de mensagens e os registros de auditoria; (4) evitar ler demais na saída das ferramentas.
5.1 O conjunto de ferramentas
Os profissionais da Marlow usam o console de administração de e-mail (busca, auditoria e exportação), a página de relatórios do proxy, uma planilha para revisão e scripts curtos, só com a biblioteca padrão, para verificações repetíveis. As ferramentas são aprovadas por Dev, e suas versões são registradas. Cada ferramenta aqui é simples de propósito, para que seu comportamento possa ser conferido lendo-a. Lena registra o console que usou, as configurações de exportação, como o intervalo de datas, e o nome e a versão do script de cada verificação. Esse registro explica depois o problema das entradas ausentes, em que o intervalo padrão de 48 horas do console tinha cortado os registros mais antigos.
5.2 Regras da caixa de correio
As regras da caixa de entrada movem, excluem ou encaminham mensagens automaticamente. Atacantes que invadem uma caixa de correio costumam acrescentar uma regra para encaminhar cópias para fora, ou para esconder respostas, de modo que a verdadeira dona não perceba. Regras legítimas também são comuns, então cada uma precisa ser interpretada. A caixa de correio de Joy ilustra os dois casos: a 'Supplier folder' é o tipo de regra que uma auxiliar de contas cria para organizar as mensagens dos fornecedores, enquanto a 'fwd' envia cópias para billing.records@example.org. Por isso Lena lê a ação, o destino, o horário de criação e a sessão de origem de cada regra antes de chamá-la de suspeita.
Laboratório — sinalizando encaminhamentos externos
"""Synthetic inbox-rule export: flag rules that forward mail outside the company domain."""
RULES = [
("j.okafor", "Supplier folder", "move", "Suppliers"),
("j.okafor", "fwd", "forward", "billing.records@example.org"),
("m.lee", "Copy to team", "forward", "ap-team@marlow.example"),
]
for user, name, action, target in RULES:
external = action == "forward" and not target.endswith("@marlow.example")
print(f"{user:9} {name:16} {action:8} {target:30} {'EXTERNAL' if external else 'ok'}")
Execute com python3 lab_rules.py. Saída verificada:
j.okafor Supplier folder move Suppliers ok
j.okafor fwd forward billing.records@example.org EXTERNAL
m.lee Copy to team forward ap-team@marlow.example ok
5.3 Lendo o resultado
Joy tem duas regras: "Supplier folder" move mensagens para uma pasta (normal), e "fwd" encaminha para billing.records@example.org, fora da empresa — sinalizada EXTERNAL. A regra de m.lee copia para um endereço interno da equipe. O log de auditoria mostra que a "fwd" foi criada às 09:20 a partir da sessão de 203.0.113.50. O script apenas testa se o destino de um encaminhamento termina em @marlow.example; ele não sabe quem criou a regra. Essa ligação vem do registro de auditoria da caixa de correio, que associa a criação das 09:20 à mesma sessão da entrada das 09:14. O encaminhamento interno na caixa de correio de m.lee é deixado de lado porque nada o liga ao atacante.
5.4 Rastreamento de mensagens
O rastreamento de mensagens mostra as mensagens enviadas e recebidas. Às 09:40, a conta de Joy enviou "Updated bank details" (dados bancários atualizados) para o endereço do financeiro da Kestrel. Nenhuma outra mensagem externa foi enviada na sessão do atacante. O rastreamento responde à pergunta 'o que essa pessoa fez?' para as mensagens de saída. Lena o filtra para j.okafor entre a entrada das 09:14 e a redefinição das 10:05 e lista cada mensagem com horário, destinatário e assunto. O e-mail de troca bancária é a única mensagem que o atacante enviou diretamente a um endereço externo nessa janela; as cópias encaminhadas aparecem como tráfego gerado pela regra 'fwd'.
5.5 Limites da interpretação
Uma regra criada a partir da sessão do atacante é evidência forte. O nome da regra, "fwd", não prova nada sozinho; a ligação com a sessão, sim. A saída da ferramenta é um ponto de partida: Lena confere o registro de auditoria por trás de cada sinalização. Uma regra legítima que encaminhasse para um contador fora da Marlow também seria sinalizada, e uma regra maliciosa apontando para uma caixa de correio interna comprometida nem seria sinalizada. A sinalização é só um motivo para olhar; o registro de auditoria é a evidência que ela cita.
5.6 Conteúdo encaminhado
O rastreamento mostra 11 mensagens encaminhadas entre 09:20 e 10:05. A redefinição das 10:05 encerrou a entrada do atacante, mas não desativou a 'fwd', porque uma regra do lado do servidor continua funcionando depois de uma troca de senha até ser removida. A regra ficou ativa até que a TI a excluísse às 10:15, então as mensagens que chegaram entre 10:05 e 10:15 também podem ter sido encaminhadas para billing.records@example.org. Por isso Lena confere a auditoria da caixa de correio e o rastreamento de mensagens de 10:05 a 10:15 antes de tratar onze como a contagem final. Lena lista os assuntos para o responsável pela proteção de dados sem abrir anexos. Os assuntos bastam para o responsável pela proteção de dados avaliar o que saiu da empresa: eles mostram nomes de fornecedores e temas de faturas sem que Lena leia o corpo das mensagens ou abra anexos. A lista vai para um apêndice restrito, e não para o relatório principal. Se um assunto sugerisse conteúdo sensível, Lena perguntaria a Dev e ao responsável pela proteção de dados até onde olhar, em vez de abrir a mensagem por iniciativa própria.
Exemplo resolvido
A tabela de Lena: "Regra 'fwd' — criada às 09:20 pela sessão de 203.0.113.50 — encaminha para billing.records@example.org — 11 mensagens encaminhadas 09:20–10:05 — regra exportada às 10:12, removida às 10:15; encaminhamentos de 10:05–10:15 a conferir na auditoria da caixa de correio e no rastreamento."
Caso sintético. Os registros vêm do script do laboratório.
Erros e limites
Os consoles mostram o que o provedor registra; algumas ações, como ler uma mensagem, podem não ser registradas em todos os níveis de licença.
Exercícios
- EX021 — Para que servem as regras. Por que os atacantes acrescentam regras na caixa de entrada? Rubrica: 3 = encaminhar cópias para fora; esconder respostas da dona; 2 = um; 1 = vago; 0 = nada.
- EX022 — Regra sinalizada. Qual regra foi sinalizada, e o que a liga ao atacante? Rubrica: 3 = 'fwd' externa; criada às 09:20 pela sessão de 203.0.113.50; 2 = só a regra; 1 = errado; 0 = nada.
- EX023 — Constatação do rastreamento. O que o rastreamento de mensagens mostrou às 09:40? Rubrica: 3 = 'Updated bank details' enviado ao financeiro da Kestrel; único envio externo; 2 = parcial; 1 = errado; 0 = nada.
- EX024 — Ler demais. Por que o nome da regra sozinho é evidência fraca? Rubrica: 3 = nomes são arbitrários; a ligação com a sessão é a evidência; 2 = parcial; 1 = é forte; 0 = nada.
- EX025 — Mensagens encaminhadas. Como as mensagens encaminhadas foram listadas para a proteção de dados? Rubrica: 3 = assuntos listados a partir do rastreamento; anexos não abertos; 11 mensagens; 2 = parcial; 1 = leu todas; 0 = nada.
Síntese
Use as ferramentas para obter pistas, depois confirme cada sinalização com o registro por trás dela e diga o que a ferramenta não consegue ver.
Continue estudando — capítulo 05 de 12
← Capítulo 04 (rascunho) · Índice de capítulos do curso · Capítulo 06 (rascunho) →