Capítulo 8 — Perícia digital e análise de malware: análise supervisionada de casos
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX036.
flowchart TD
N0["8.1 Fontes"]
N1["8.2 Fusos horários"]
N2["8.3 A narrativa"]
N3["8.4 Lacunas"]
N4["8.5 Revisão do supervisor"]
N5["8.6 Narrativas alternativas"]
N6["8.7 Reprodução por um colega"]
N7["Preparando-se para a revisão"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX036"]
Desenho lógico
flowchart LR
N0["8.1 Fontes"]
N1["8.2 Fusos horários"]
N2["8.3 A narrativa"]
N3["8.4 Lacunas"]
N4["8.5 Revisão do supervisor"]
N5["8.6 Narrativas alternativas"]
N6["8.7 Reprodução por um colega"]
N7["Preparando-se para a revisão"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX036"]
[8.1 Fontes]
|
v
[8.2 Fusos horários]
|
v
[8.3 A narrativa]
|
v
[8.4 Lacunas]
|
v
[8.5 Revisão do supervisor]
|
v
[8.6 Narrativas alternativas]
|
v
[8.7 Reprodução por um colega]
|
v
[Preparando-se para a revisão]
|
v
[Exemplo resolvido] --> [Exercício EX036]
Objetivos de aprendizagem
Você vai (1) montar uma linha do tempo a partir de várias fontes; (2) ligar os eventos numa narrativa; (3) apresentar a análise para a revisão do supervisor; (4) responder a questionamentos.
8.1 Fontes
Log do proxy (a visita de Joy à página imitada), log de entradas, auditoria da caixa de correio (criação da regra), rastreamento de mensagens (o e-mail de troca bancária) e o registro de mudanças da TI (redefinição). Cada fonte responde a uma parte diferente da história e usa seus próprios identificadores. O proxy indica o PC de Joy e o domínio, o log de entradas indica o endereço e a sessão, o registro de auditoria mostra a regra e a sessão, o rastreamento mostra remetente, destinatário e assunto, e o registro de mudanças da TI mostra a redefinição. Lena lista cada fonte com seu horário de exportação e seu fuso horário antes de juntar qualquer coisa.
8.2 Fusos horários
Todas as exportações são passadas para UTC antes da junção, para que os horários se alinhem. As notas do caso dizem qual fuso é usado. Sem um fuso único, a ordem dos eventos pode sair errada mesmo quando cada registro está correto. A exportação do proxy da Marlow usava o horário local, uma hora diferente dos registros de entrada e de auditoria em UTC, então a visita à página das 09:10 a princípio pareceu fora do lugar. Lena converte cada exportação e escreve o fuso original e a conversão nas notas do caso, para que um revisor possa refazê-la.
8.3 A narrativa
Joy abriu a página imitada às 09:10; o atacante entrou às 09:14; criou a regra de encaminhamento às 09:20; enviou o e-mail de troca bancária às 09:40; a TI redefiniu a senha às 10:05. O laboratório do capítulo 11 reconstrói essa linha do tempo a partir dos registros sintéticos. Cada passo tem seu próprio registro: o log do proxy para 09:10, o log de entradas para 09:14, a auditoria da caixa de correio para 09:20, o rastreamento de mensagens para 09:40 e o registro de mudanças da TI para 10:05. Os intervalos também merecem nota: quatro minutos da visita à página até a entrada e vinte e seis minutos da entrada até o e-mail fraudulento.
8.4 Lacunas
Nada mostra o que o atacante leu entre 09:14 e 09:40. Lena registra a lacuna em vez de adivinhar. A leitura de uma mensagem pode não ser registrada em todos os níveis de licença, então a ausência de registros não significa que o atacante não leu nada. Nesses 26 minutos, ele pode ter aberto correspondências com fornecedores para tornar convincente o e-mail de troca bancária, mas nenhum registro mostra isso, nem num sentido nem no outro. Lena escreve a lacuna na linha do tempo e nos limites do relatório, e avisa o responsável pela proteção de dados que não é possível mostrar que o conteúdo da caixa de correio ficou sem ser lido.
8.5 Revisão do supervisor
Dev questiona cada passo: "Como você sabe que a sessão das 09:14 criou a regra?" Lena aponta o identificador de sessão compartilhado pelos registros de entrada e de auditoria. As perguntas de Dev seguem a cadeia elo por elo: como a visita das 09:10 se liga ao PC de Joy, por que a entrada das 09:14 não foi de Joy e o que mostra que o e-mail de troca bancária saiu da mesma sessão. Onde Lena tem um registro, ela o mostra; onde não tem, como na lacuna de 09:14–09:40, ela diz isso. Dev só assina as conclusões quando cada elo tem uma resposta.
8.6 Narrativas alternativas
Joy poderia ter criado a regra por engano? A sessão veio do endereço do atacante, e Joy diz que não a criou. A alternativa é rejeitada com motivos. O teste é o mesmo usado para a entrada: nomear a explicação inocente e depois encontrar o registro que a sustentaria ou a refutaria. Se a regra tivesse sido criada a partir do endereço do escritório de Joy e da sessão dela, a alternativa teria continuado em aberto. Lena registra a narrativa rejeitada e seus motivos nas notas do caso, para que um leitor posterior veja que ela foi considerada, e não ignorada.
8.7 Reprodução por um colega
Um colega reconstrói dois elos usando apenas as notas de Lena e obtém o mesmo resultado. O colega trabalha só com as notas e com o compartilhamento de evidências, sem fazer perguntas a Lena. Os dois elos escolhidos são o identificador de sessão que junta a entrada das 09:14 à regra das 09:20 e o e-mail de troca bancária das 09:40 no rastreamento de mensagens. Resultados coincidentes mostram que as notas estão completas o bastante para outra pessoa segui-las. Se o colega não tivesse conseguido reconstruir um elo, Lena teria corrigido as notas antes que o relatório fosse para Dev.
Preparando-se para a revisão
Antes do ponto de controle, Lena envia a Dev sua linha do tempo e os registros por trás dela com uma hora de antecedência. Revisar antes permite que ele prepare as perguntas, e a reunião é usada para o raciocínio, e não para a leitura. Ela também lista as partes de que tem menos certeza, para que o esforço de revisão vá para onde mais se precisa dele.
Exemplo resolvido
O slide de Lena para o ponto de controle: cinco caixas em fila, com horário, fonte e evento, um marcador vermelho para a lacuna de 09:14–09:40 e uma nota de rodapé: "Todos os horários em UTC. O identificador de sessão liga a entrada à criação da regra."
Caso sintético. A análise é inventada.
Erros e limites
Narrativas são tentadoras; cada elo precisa apontar para um registro.
Exercícios
- EX036 — Fontes usadas. Cite quatro fontes da linha do tempo. Rubrica: 3 = proxy, entradas, auditoria da caixa de correio, rastreamento de mensagens, registro de mudanças (quatro); 2 = três; 1 = uma; 0 = nada.
- EX037 — Narrativa. Dê os cinco eventos com seus horários. Rubrica: 3 = 09:10, 09:14, 09:20, 09:40, 10:05 corretos; 2 = quatro; 1 = dois; 0 = nada.
- EX038 — Ligando a evidência. Como Lena ligou a entrada à regra? Rubrica: 3 = identificador de sessão compartilhado; 2 = só o mesmo IP; 1 = palpite; 0 = nada.
- EX039 — A lacuna. Que lacuna foi registrada, e por que não preenchê-la? Rubrica: 3 = o que o atacante leu entre 09:14 e 09:40; não há registros; 2 = parcial; 1 = preencheu; 0 = nada.
- EX040 — Alternativa rejeitada. Por que "Joy criou a regra" foi rejeitada? Rubrica: 3 = sessão a partir do endereço do atacante; Joy nega; 2 = um; 1 = aceita; 0 = nada.
Síntese
Junte as fontes num só fuso horário, ligue os eventos por registros, registre as lacunas e responda aos questionamentos com evidências.
Continue estudando — capítulo 08 de 12
← Capítulo 07 (rascunho) · Índice de capítulos do curso · Capítulo 09 (rascunho) →