## Capítulo 1 — Arquitetura de computação e de serviços ### Mapa da aula Aula 01 publicada. Mapa, exemplo, EX001. ```mermaid flowchart TD N0["1.1 Cenário"] N1["1.2 Serviços"] N2["1.3 Restrições clínicas"] N3["1.4 Evidência nos serviços"] N4["1.5 Deveres do operador"] N5["1.6 Documentação"] N6["Síntese"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 N6 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX001"] ``` ### Desenho lógico ```mermaid flowchart LR N0["1.1 Cenário"] N1["1.2 Serviços"] N2["1.3 Restrições clínicas"] N3["1.4 Evidência nos serviços"] N4["1.5 Deveres do operador"] N5["1.6 Documentação"] N6["Síntese"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX001"] ``` ```text [1.1 Cenário] | v [1.2 Serviços] | v [1.3 Restrições clínicas] | v [1.4 Evidência nos serviços] | v [1.5 Deveres do operador] | v [1.6 Documentação] | v [Síntese] | v [Exemplo resolvido] --> [Exercício EX001] ``` ### Objetivos de aprendizagem Você vai (1) descrever como os serviços de TI de um hospital se encaixam; (2) identificar onde a evidência é produzida em cada serviço; (3) entender as restrições específicas dos sistemas clínicos; (4) conhecer os deveres de primeira resposta do operador. ### 1.1 Cenário Sana Mirza faz um curso técnico de 18 meses no fictício Harbour Technical College enquanto trabalha como operadora de TI no fictício Westbrook Community Hospital. Seu mentor é o líder de segurança de TI do hospital, Owen Price. O curso alterna semanas na escola com trabalho no hospital, então o incidente da Ala 4 deste livro se torna ao mesmo tempo seu trabalho e seu projeto supervisionado. Owen decide o que ela pode coletar e quando, e assina junto os registros dela. O papel de Sana é o de operadora: ela coleta, preserva e verifica a evidência, enquanto a análise do malware em si fica com um fornecedor externo. ### 1.2 Serviços PCs das alas, o sistema de administração de pacientes, os sistemas da farmácia, e-mail, compartilhamentos de arquivos, serviços de identidade, um proxy web e um agente de detecção e resposta em endpoints (EDR) em cada PC. Cada um produz logs: o EDR registra a atividade de processos e arquivos; o proxy registra o tráfego web; os serviços de identidade registram os logons. Para Sana, a pergunta útil sobre cada serviço é o que ele registra e onde esse registro fica guardado. O console do EDR e o proxy guardam seus registros de forma central, enquanto os PCs das alas mantêm parte da evidência só localmente. Em 14 de setembro, são os registros do proxy e do EDR que ligam o pop-up no WARD4-PC2 a um contato com update-cdn.example.net. ### 1.3 Restrições clínicas Os PCs das alas apoiam o cuidado aos pacientes. Desligar um deles sem aviso pode atrasar os registros de medicação. As ações de resposta são combinadas com os gerentes das alas, e o isolamento usa a contenção de rede do EDR sempre que possível, o que mantém o PC utilizável localmente enquanto o desliga da rede. Na Ala 4, o WARD4-PC2 é usado para os registros de medicação e a escala da equipe, então qualquer ação nele é combinada antes com a gerente da ala. A contenção de rede foi escolhida em vez do desligamento porque interrompe o contato externo e mantém disponíveis a memória e o estado em execução do PC. Quando a Ala 4 perdeu o acesso ao visualizador de prontuários de medicação, a ala usou um PC reserva. ### 1.4 Evidência nos serviços Os serviços centrais (console do EDR, proxy, identidade) mantêm a evidência mesmo que um PC seja reinstalado. A evidência local — memória, logs ainda não enviados — existe só no PC. Essa diferença define a ordem do trabalho: a evidência local é coletada antes que alguém cogite reinstalar a imagem, enquanto os registros centrais podem esperar algumas horas. No WARD4-PC2, a captura de memória e a coleta de triagem tinham de acontecer antes da reinstalação pelo helpdesk. Os registros do proxy e do DHCP só estavam seguros enquanto a retenção permitisse, e ela depois se mostrou mais curta do que a política exigia. ### 1.5 Deveres do operador Diante da suspeita de um incidente: anote o horário e o que viu, informe Owen, siga o runbook de contenção e não reinicie, não faça varredura nem limpe o PC, a menos que receba instrução para isso. A RFC 3227 lembra a quem responde que a evidência volátil é a primeira a se perder. Reiniciar perderia a memória, a varredura poderia alterar os horários dos arquivos e a limpeza poderia apagar justamente os arquivos de que o analista precisa. As primeiras ações de Sana em 14 de setembro seguem essa lista à risca: ela registra o relato da enfermeira, liga para Owen e aplica a contenção às 10:09, com a concordância da gerente da ala. Ela deixa o WARD4-PC2 ligado o tempo todo, exatamente como o runbook de contenção exige. ### 1.6 Documentação Toda ação vai para o chamado, com horário e nome. Um registro como '10:09 S. Mirza aplicou a contenção de rede do EDR ao WARD4-PC2, gerente da ala de acordo' diz a um leitor posterior exatamente o que mudou e quem decidiu. Os registros são escritos no momento da ação, e não reconstruídos depois, porque horários lembrados mais tarde costumam errar por minutos. O chamado se torna a espinha dorsal do dossiê do caso que Sana entrega em seu projeto. O chamado do incidente da Ala 4 começa com o relato da enfermeira às 10:04 e termina com a reinstalação às 14:30 do segundo dia. ### Exemplo resolvido Às 10:04 de 14 de setembro, uma enfermeira da Ala 4 relata um pop-up depois de abrir a escala da equipe a partir de um pendrive no WARD4-PC2. Sana registra o relato, liga para Owen e, com a concordância da gerente da ala, usa o EDR para conter o acesso do PC à rede às 10:09, deixando-o ligado. > **Caso sintético.** Sana, o Westbrook e o WARD4-PC2 são inventados. ### Erros e limites A contenção muda o estado do PC; registre quando ela foi aplicada. ### Exercícios - **EX001 — Restrição clínica.** Por que um PC de ala não pode simplesmente ser desligado? *Rubrica:* 3 = apoia o cuidado aos pacientes; combinar com a ala; 2 = parcial; 1 = sem motivo; 0 = nada. - **EX002 — Contenção pelo EDR.** O que faz a contenção pelo EDR? *Rubrica:* 3 = corta a rede, mantém o PC ligado/utilizável localmente; 2 = parcial; 1 = desliga; 0 = nada. - **EX003 — Deveres do operador.** Liste os deveres de primeira resposta do operador. *Rubrica:* 3 = anotar horário/observação, informar o líder, seguir o runbook, não reiniciar/varrer/limpar; 2 = três; 1 = um; 0 = nada. - **EX004 — Evidência central.** Que evidência sobrevive a uma reinstalação? *Rubrica:* 3 = logs centrais do EDR, do proxy e de identidade; 2 = parcial; 1 = memória; 0 = nada. ### Síntese Conheça os serviços, suas evidências e as restrições clínicas antes de agir; contenha com cuidado e registre tudo. ### Continue estudando — capítulo 01 de 18 [← Página do curso](../../README.md) · [Índice de capítulos do curso](../SUBJECTS.md) · [Capítulo 02 (rascunho) →](#ch-02) ## Worked answers **EX001.** Ele apoia o cuidado aos pacientes, como os registros de medicação, então qualquer desligamento precisa ser combinado com a gerente da ala. **EX002.** Ela bloqueia as conexões de rede do PC e o deixa ligado e utilizável localmente. **EX003.** Anotar o horário e o que foi observado, informar o líder de segurança, seguir o runbook de contenção e evitar reiniciar, varrer ou limpar o PC, a menos que haja instrução para isso. **EX004.** Os logs guardados de forma central — o console do EDR, os logs do proxy e os logs do serviço de identidade.