Capítulo 6 — Perícia digital e análise de malware: fluxo de trabalho operacional
Mapa da aula
Aula 06 publicada. Mapa, exemplo, EX026.
flowchart TD
N0["6.1 O fluxo de trabalho"]
N1["6.2 Triagem"]
N2["6.3 Pontos de controle"]
N3["6.4 A contenção neste caso"]
N4["6.5 Ampliando o escopo"]
N5["6.6 Acompanhamento das tarefas"]
N6["6.7 Encerramento"]
N7["Passagens de turno"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX026"]
Desenho lógico
flowchart LR
N0["6.1 O fluxo de trabalho"]
N1["6.2 Triagem"]
N2["6.3 Pontos de controle"]
N3["6.4 A contenção neste caso"]
N4["6.5 Ampliando o escopo"]
N5["6.6 Acompanhamento das tarefas"]
N6["6.7 Encerramento"]
N7["Passagens de turno"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX026"]
[6.1 O fluxo de trabalho]
|
v
[6.2 Triagem]
|
v
[6.3 Pontos de controle]
|
v
[6.4 A contenção neste caso]
|
v
[6.5 Ampliando o escopo]
|
v
[6.6 Acompanhamento das tarefas]
|
v
[6.7 Encerramento]
|
v
[Passagens de turno]
|
v
[Exemplo resolvido] --> [Exercício EX026]
Objetivos de aprendizagem
Você vai (1) seguir um fluxo de trabalho repetível do relato ao encerramento; (2) usar pontos de controle com um supervisor; (3) acompanhar as tarefas; (4) encerrar casos do jeito certo.
6.1 O fluxo de trabalho
Relato recebido → triagem e escopo → contenção → preservação → análise → verificação → relatório → encerramento com lições. A NIST SP 800-61 descreve fases semelhantes; o runbook da Marlow as adapta ao seu porte. No caso da Marlow, as fases se sobrepõem no tempo, mas mantêm a ordem: a contenção começou às 10:05 com a redefinição, e ainda assim a remoção da regra de encaminhamento esperou pela preservação às 10:12. A análise dos registros de entrada e de auditoria seguiu pela manhã, a contenção foi verificada a partir das 14:00 e o caso foi encerrado em 10 de março. Cada fase termina com uma entrada no chamado, para que qualquer pessoa veja em que ponto o caso está.
6.2 Triagem
A triagem decide a urgência. Um e-mail de troca bancária enviado a um fornecedor é urgente porque o dinheiro pode se mover em poucas horas. Depois que um pagamento é feito, recuperar o dinheiro pode depender dos bancos, e não da Marlow. Até a redefinição às 10:05, a sessão ativa também ainda podia enviar mais mensagens a fornecedores. Por isso Lena trata o caso como urgente desde a ligação das 10:00, e Dev aprova o escopo dois minutos depois. Sinais menos urgentes, como um e-mail de phishing em que ninguém clicou, esperariam a ordem normal da fila.
6.3 Pontos de controle
Dev aprova em três pontos de controle: o escopo no início, as ações de contenção e as conclusões antes do relatório. Lena leva evidências a cada um. Neste caso, o ponto de controle do escopo foi a aprovação de Dev às 10:02 da caixa de correio e dos logs de entrada de Joy, e o ponto de controle da contenção cobriu a redefinição, a remoção da regra depois da exportação e os bloqueios. O ponto de controle das conclusões, às 14:00, usou o slide da linha do tempo de Lena com a lacuna marcada. Levar registros, e não opiniões, a cada reunião permite que Dev questione um passo e veja a resposta na hora.
6.4 A contenção neste caso
Redefinição da senha, encerramento de todas as sessões, remoção da regra de encaminhamento depois da exportação, bloqueio de 203.0.113.50 e do domínio imitado no proxy, e verificação de que a autenticação multifator está ativada para Joy. Cada ação fecha um caminho diferente: a redefinição impede o uso da senha capturada, revogar as sessões encerra o acesso que já não precisa da senha, e remover a 'fwd' impede que cópias continuem saindo. Bloquear 203.0.113.50 e o domínio imitado protege os outros destinatários do e-mail de phishing. A verificação do MFA é a que mais importa, porque sem um segundo fator uma senha capturada poderia abrir a caixa de correio de novo.
6.5 Ampliando o escopo
O e-mail de phishing foi enviado a outras pessoas? O rastreamento de mensagens mostra que ele chegou a seis caixas de correio da Marlow. Dev amplia o escopo por escrito para essas seis. Os registros do proxy mostram que nenhum dos outros destinatários, entre eles m.lee, visitou a página. A verificação ampliada mostra por que o escopo é ampliado por escrito, e não por hábito: seis caixas de correio receberam a mesma isca, mas só a conta de Joy mostra um clique e uma entrada nova. A aprovação de Dev às 11:10 permite que Lena leia o rastreamento e os registros do proxy desses destinatários, e nada mais. As caixas de correio deles continuam fechadas, porque nenhum registro sugere que tenham sido acessadas.
6.6 Acompanhamento das tarefas
Cada ação é uma tarefa do chamado, com dono e situação, para que nada dependa da memória. Na Marlow, o chamado traz tarefas como 'exportar as regras da caixa de entrada' para Lena, 'remover a regra de encaminhamento depois da exportação' para a TI, 'confirmar que nenhum cadastro de fornecedor mudou' para o financeiro e 'informar o responsável pela proteção de dados' para Lena. Cada tarefa mostra seu dono, sua situação e o horário em que foi concluída. Quando a TI estava pronta para excluir a regra, o chamado já mostrava a exportação como feita, então a remoção às 10:15 não precisou de nenhuma ligação extra.
6.7 Encerramento
Um caso é encerrado quando as ações estão concluídas, as partes interessadas foram informadas, a evidência foi arquivada conforme a retenção e as lições foram registradas. O caso da Marlow é encerrado em 10 de março, uma semana depois do relato. Até lá, as três mudanças de controles têm chamados e testes; Joy, o financeiro, a Kestrel e o responsável pela proteção de dados foram informados do desfecho; e o compartilhamento de evidências /IR-0303 está arquivado sob retenção. As lições incluem o intervalo da exportação, a edição da cópia de trabalho e a conversão de fuso horário, cada uma transformada numa mudança do runbook. Encerrar sem a etapa das lições deixaria o próximo analista repetir os mesmos erros.
Passagens de turno
Se o caso passar do turno de Lena, ela escreve uma nota de passagem: fase atual, tarefas abertas com donos, horário do próximo ponto de controle e tudo o que depende de outras pessoas. O analista seguinte lê o chamado e a nota juntos e confirma o recebimento, para que nenhuma ação seja esquecida ou feita duas vezes. As notas de passagem ficam no chamado como parte do registro.
Exemplo resolvido
O chamado de Lena às 12:00: "Contenção — concluída (10:05–10:20). Preservação — concluída, manifesto de 6 itens. Escopo ampliado às 11:10 para 6 destinatários; nenhum outro clique encontrado. Análise — em andamento. Próximo ponto de controle com Dev às 14:00."
Caso sintético. O chamado é inventado.
Erros e limites
Os fluxos de trabalho orientam o julgamento, não o substituem; casos incomuns precisam da opinião do supervisor.
Exercícios
- EX026 — Ordem das fases. Ponha as fases do fluxo de trabalho em ordem. Rubrica: 3 = relato, triagem/escopo, contenção, preservação, análise, verificação, relatório, encerramento; 2 = pequeno deslize; 1 = embaralhado; 0 = nada.
- EX027 — Urgência. Por que este caso era urgente? Rubrica: 3 = um pagamento a fornecedor poderia ser desviado em poucas horas; 2 = parcial; 1 = não era urgente; 0 = nada.
- EX028 — Lista de contenção. Liste quatro ações de contenção. Rubrica: 3 = redefinição, revogação de sessões, remoção da regra depois da exportação, bloqueio de IP/domínio, verificação do MFA; 2 = três; 1 = uma; 0 = nada.
- EX029 — Outros destinatários. Como a exposição mais ampla foi verificada? Rubrica: 3 = o rastreamento encontrou 6 destinatários; escopo ampliado por escrito; o proxy não mostrou outras visitas; 2 = parcial; 1 = presumida; 0 = nada.
- EX030 — Encerrar um caso. Enuncie as condições de encerramento. Rubrica: 3 = ações concluídas, partes informadas, evidência arquivada, lições registradas; 2 = três; 1 = uma; 0 = nada.
Síntese
Um fluxo de trabalho repetível, com pontos de controle do supervisor, mantém os casos completos e defensáveis.
Continue estudando — capítulo 06 de 12
← Capítulo 05 (rascunho) · Índice de capítulos do curso · Capítulo 07 (rascunho) →