Capítulo 1 — Perícia digital e análise de malware: fundamentos e decisões
Mapa da aula
Aula 01 publicada. Mapa, exemplo, EX001.
flowchart TD
N0["1.1 O que é a área"]
N1["1.2 Cinco palavras para saber"]
N2["1.3 O caso do curso"]
N3["1.4 Primeiras decisões"]
N4["1.5 Por que não simplesmente apagar tudo?"]
N5["1.6 Quem decide"]
N6["1.7 Fazer anotações"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX001"]
Desenho lógico
flowchart LR
N0["1.1 O que é a área"]
N1["1.2 Cinco palavras para saber"]
N2["1.3 O caso do curso"]
N3["1.4 Primeiras decisões"]
N4["1.5 Por que não simplesmente apagar tudo?"]
N5["1.6 Quem decide"]
N6["1.7 Fazer anotações"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX001"]
[1.1 O que é a área]
|
v
[1.2 Cinco palavras para saber]
|
v
[1.3 O caso do curso]
|
v
[1.4 Primeiras decisões]
|
v
[1.5 Por que não simplesmente apagar tudo?]
|
v
[1.6 Quem decide]
|
v
[1.7 Fazer anotações]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX001]
Objetivos de aprendizagem
Você vai (1) explicar em palavras simples o que são a perícia digital e a análise de malware; (2) definir malware, artefato, evidência, hash e incidente; (3) descrever as primeiras decisões quando algo parece errado; (4) conhecer o caso do curso.
1.1 O que é a área
A perícia digital é o estudo cuidadoso de computadores e contas para descobrir o que aconteceu, de um modo que outras pessoas possam conferir. A análise de malware examina programas suspeitos para saber o que eles fazem. As duas ajudam as pessoas a responder a incidentes: a NIST SP 800-61 descreve a resposta como preparar, detectar e analisar, conter e recuperar, e depois tirar lições. Neste curso o incidente é pequeno: um notebook de um banco de alimentos exibindo falsos alertas de vírus. Priya não precisa de um laboratório. Ela precisa descobrir o que o arquivo baixado instalou, se alguma conta do banco de alimentos está em risco e como deixar o notebook seguro de novo, de um modo que Ana possa conferir depois.
1.2 Cinco palavras para saber
Malware é um software feito para causar dano, como roubar dados ou exibir alertas falsos. Um artefato é qualquer rastro num computador: um arquivo, uma linha de log, uma entrada de inicialização. Evidência é um artefato que você coletou com cuidado, de modo a poder mostrar que ele não foi alterado. Um hash é uma impressão digital curta calculada a partir de um arquivo; se um byte muda, a impressão digital muda. Um incidente é um evento que causa dano ou ameaça sistemas ou dados. No caso do curso, FreeTemplates_setup.exe é o malware, e TemplateUpdater na lista de inicialização é um artefato. A cópia salva da lista de inicialização feita por Priya se torna evidência assim que sua data e sua origem são anotadas.
1.3 O caso do curso
Tomás Reyes é voluntário no fictício Riverside Food Bank. Numa terça-feira, ele baixa um "modelo de fatura grátis" a partir de um anúncio. Logo, janelas pop-up afirmam que o notebook está infectado e insistem para que ele ligue para um número. Ele avisa Priya Nair, a coordenadora voluntária de TI do banco de alimentos. Os pop-ups são um golpe conhecido: o programa quer que Tomás ligue para uma falsa central de suporte, onde alguém pode pedir pagamento ou acesso remoto ao notebook. Tomás agiu certo ao avisar alguém em vez de ligar. A pergunta para Priya é o que o arquivo de modelo colocou no notebook e se algo além do notebook foi afetado, como o e-mail do banco de alimentos ou a conta de doações.
1.4 Primeiras decisões
As primeiras decisões de Priya são simples: não ligar para o número; não pagar nada; parar de usar o notebook para o trabalho do banco de alimentos; desconectá-lo do Wi-Fi; anotar o que se vê e quando. Ela ainda não apaga arquivos, porque eles podem lhe mostrar o que aconteceu. Desconectar do Wi-Fi impede o notebook de falar com a internet, então um programa nele não consegue baixar mais arquivos nem enviar dados para fora. Mantê-lo ligado, mas desconectado, deixa os pop-ups visíveis para as anotações dela. Sua primeira anotação registra tudo isso: relato às 14:20, notebook desconectado às 14:25, permissão de Ana às 14:30, nenhuma ligação feita e nada pago.
1.5 Por que não simplesmente apagar tudo?
Apagar tudo remove o problema, mas também as respostas: o que foi instalado, se senhas foram roubadas, se outras máquinas foram afetadas. Alguns passos cuidadosos antes tornam a correção mais segura. No FB-LAP-02, esses primeiros passos responderam à principal preocupação. A verificação de hash identificou o arquivo como um adware conhecido, a lista de inicialização mostrou dois programas novos, e o histórico de entradas do e-mail mostrou apenas as entradas habituais de Tomás. Com essas respostas anotadas, Priya e Ana puderam restaurar o notebook na quinta-feira sabendo o que estavam removendo, e sabendo que o e-mail do banco de alimentos não precisava de mais trabalho além de uma nova senha e da verificação em duas etapas.
1.6 Quem decide
A coordenadora do banco de alimentos é a dona do notebook. Priya pede a permissão dela antes de examiná-lo. Ana é dona das decisões, não só do notebook. Ela decide o que Priya pode examinar, se o e-mail de Tomás no banco de alimentos pode ser verificado, se o notebook será restaurado ou limpo, e se alguém de fora do banco de alimentos precisa ser avisado. O trabalho de Priya é dar a Ana fatos e opções claros. Quando, mais tarde, Priya precisa olhar a conta de e-mail, ela volta a Ana em vez de decidir por conta própria, e a resposta de Ana é acrescentada ao escopo por escrito.
1.7 Fazer anotações
Cada passo vai para um caderno, com o horário. Anote o horário, o que você fez, o que viu e de onde isso veio, em palavras que outra pessoa consiga acompanhar. A primeira anotação de Priya, citada no exemplo resolvido abaixo, faz isso e dá o horário do download como por volta de 13:50. Depois, o histórico do navegador forneceu o horário exato do download, 13:48, e as anotações dela mostram tanto o primeiro relato quanto o horário verificado mais tarde. Uma boa anotação nunca altera entradas antigas; ela acrescenta novas.
Exemplo resolvido
Primeira anotação de Priya: "Ter 14:20 — Tomás relata pop-ups depois de baixar 'FreeTemplates_setup.exe' por volta de 13:50. Notebook FB-LAP-02 desconectado do Wi-Fi às 14:25. A coordenadora Ana deu permissão para o exame às 14:30. Nenhuma ligação feita, nada pago."
Caso sintético. O Riverside Food Bank, o notebook e todas as pessoas são inventados.
Erros e limites
Alertas falsos são feitos para assustar; passos calmos e escritos funcionam melhor do que a pressa.
Exercícios
- EX001 — A perícia numa frase. Explique a perícia digital numa frase simples. Rubrica: 3 = descobrir o que aconteceu em computadores de um modo conferível; 2 = parcial; 1 = invasão (hacking); 0 = nada.
- EX002 — Análise de malware. Que pergunta a análise de malware responde? Rubrica: 3 = o que um programa suspeito faz; 2 = parcial; 1 = quem o escreveu; 0 = nada.
- EX003 — Definir malware. Dê uma definição de malware com um exemplo de dano. Rubrica: 3 = software nocivo mais exemplo (roubo, alertas falsos); 2 = só a definição; 1 = qualquer programa; 0 = nada.
- EX004 — Artefato. Cite três tipos de artefato. Rubrica: 3 = arquivo, linha de log, entrada de inicialização (quaisquer três rastros); 2 = dois; 1 = um; 0 = nada.
- EX005 — Evidência versus artefato. O que transforma um artefato em evidência? Rubrica: 3 = coleta cuidadosa que mostra que ele não foi alterado; 2 = parcial; 1 = vago; 0 = nada.
- EX006 — Hash. Descreva o que um hash faz. Rubrica: 3 = impressão digital de um arquivo; muda se qualquer byte mudar; 2 = parcial; 1 = senha; 0 = nada.
- EX007 — Incidente. A situação de Tomás é um incidente? Explique. Rubrica: 3 = sim; ameaça o notebook e os dados; 2 = só sim; 1 = não; 0 = nada.
- EX008 — Fases da resposta. Liste as fases da resposta a incidentes. Rubrica: 3 = preparar, detectar/analisar, conter/recuperar, lições; 2 = três; 1 = uma; 0 = nada.
- EX009 — Não ligue. Por que Tomás não deve ligar para o número? Rubrica: 3 = golpe do alerta falso; quem atende pede dinheiro ou acesso remoto; 2 = parcial; 1 = pode ligar; 0 = nada.
- EX010 — Desconectar. O que se consegue ao desconectar do Wi-Fi? Rubrica: 3 = interrompe a comunicação e a propagação, preservando a evidência; 2 = parcial; 1 = vago; 0 = nada.
- EX011 — Apagar agora? Dê um motivo para não apagar tudo de imediato. Rubrica: 3 = perde as respostas sobre o que aconteceu, as senhas, outras máquinas; 2 = parcial; 1 = apagar agora; 0 = nada.
- EX012 — Permissão. De quem Priya precisava de permissão, e por quê? Rubrica: 3 = da coordenadora Ana, dona do notebook; 2 = só o nome; 1 = vago; 0 = nada.
- EX013 — Primeira anotação. Liste quatro detalhes da primeira anotação de Priya. Rubrica: 3 = horário do relato, nome do arquivo, horário da desconexão, permissão, nenhuma ligação/pagamento (quatro); 2 = três; 1 = um; 0 = nada.
Síntese
Entenda as palavras básicas, decida com calma, guarde as evidências e anote cada passo.
Continue estudando — capítulo 01 de 04
← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →