Capítulo 10 — Perícia digital e análise de malware: configuração de controles
Mapa da aula
Aula 10 publicada. Mapa, exemplo, EX037.
flowchart TD
N0["10.1 Configurações de retenção"]
N1["Laboratório — retenção comparada com a política"]
N2["10.2 Lendo o resultado"]
N3["10.3 Corrigindo a retenção"]
N4["10.4 Controles preventivos"]
N5["10.5 Documentando as mudanças"]
N6["10.6 Verificação"]
N7["10.7 Prontidão"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX037"]
Desenho lógico
flowchart LR
N0["10.1 Configurações de retenção"]
N1["Laboratório — retenção comparada com a política"]
N2["10.2 Lendo o resultado"]
N3["10.3 Corrigindo a retenção"]
N4["10.4 Controles preventivos"]
N5["10.5 Documentando as mudanças"]
N6["10.6 Verificação"]
N7["10.7 Prontidão"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX037"]
[10.1 Configurações de retenção]
|
v
[Laboratório — retenção comparada com a política]
|
v
[10.2 Lendo o resultado]
|
v
[10.3 Corrigindo a retenção]
|
v
[10.4 Controles preventivos]
|
v
[10.5 Documentando as mudanças]
|
v
[10.6 Verificação]
|
v
[10.7 Prontidão]
|
v
[Exemplo resolvido] --> [Exercício EX037]
Objetivos de aprendizagem
Você vai (1) conferir as configurações de log e de retenção com a política; (2) configurar controles que evitem a repetição; (3) documentar mudanças de configuração; (4) verificar as configurações depois da mudança.
10.1 Configurações de retenção
A política do hospital define a retenção mínima dos principais logs. Durante o incidente, Sana percebeu que faltavam os registros de DHCP com mais de duas semanas. Ela confere todas as fontes principais. A lacuna apareceu quando Sana tentou descobrir qual PC tinha um endereço numa data anterior e não encontrou nenhum registro de DHCP. Em vez de tratá-la como um caso isolado, ela confere cada fonte em que a investigação se apoiou com os mínimos da política. O laboratório compara quatro fontes, logs de segurança, proxy, EDR e DHCP, usando os valores das configurações de cada sistema.
Laboratório — retenção comparada com a política
"""Check synthetic log-retention settings against policy minimums (days)."""
policy = {"security": 365, "proxy": 180, "edr": 90, "dhcp": 90}
actual = {"security": 365, "proxy": 30, "edr": 90, "dhcp": 14}
for k in policy:
print(f"{k:9} policy={policy[k]:4} actual={actual[k]:4} {'OK' if actual[k] >= policy[k] else 'BELOW'}")
Execute com python3 lab_policy.py. Saída verificada:
security policy= 365 actual= 365 OK
proxy policy= 180 actual= 30 BELOW
edr policy= 90 actual= 90 OK
dhcp policy= 90 actual= 14 BELOW
10.2 Lendo o resultado
Os logs de segurança (365 dias) e o EDR (90) cumprem a política. O proxy guarda 30 dias contra um mínimo de 180, e o DHCP 14 dias contra 90: ambos BELOW. Se o pendrive tivesse sido usado pela primeira vez um mês antes, a evidência do proxy e do DHCP já teria desaparecido. As duas fontes abaixo da política são justamente as que ligam o tráfego de rede a um PC da ala, o que torna a lacuna pior do que os números sugerem. Catorze dias de DHCP significam que uma entrada do proxy com mais de duas semanas não pode ser ligada a nenhum dispositivo. Os logs de segurança e o EDR estavam em ordem, e é por isso que o histórico de USB ainda estava completo.
10.3 Corrigindo a retenção
Pedidos de mudança elevam a retenção do proxy para 180 dias e a do DHCP para 90, com estimativas de armazenamento aprovadas. Uma retenção maior exige mais armazenamento, então os pedidos de mudança incluem estimativas que a equipe de infraestrutura confere antes da aprovação. O gestor de documentos confirma que guardar os logs do proxy por 180 dias é compatível com a política de documentos do hospital. Sana prepara a evidência para os pedidos, mas a equipe de rede é a dona das mudanças e as executa. As duas mudanças são acompanhadas no chamado até que a verificação de retenção confirme os novos valores.
10.4 Controles preventivos
Bloquear a execução de scripts e atalhos a partir de mídia removível; ampliar o controle de aplicações para todas as alas; alertar quando o host de scripts rodar a partir de unidades removíveis. Cada controle responde a um passo da sequência da Ala 4: bloquear scripts removíveis barra o run.vbs, o controle de aplicações impede o svch.exe de rodar, e o alerta avisa a segurança quando o wscript.exe inicia a partir da unidade E: ou de outra semelhante. A implantação do controle de aplicações é combinada ala por ala com as gerentes, já que algumas alas usam software clínico especializado. O alerta do host de scripts é o único controle que também ajuda na detecção se os outros dois falharem.
10.5 Documentando as mudanças
Cada mudança tem pedido, aprovação, registro de implementação e resultado de teste. Na mudança de retenção do proxy, por exemplo, o registro mostra o pedido com a referência do caso, a aprovação pelo conselho de TI, a data da implementação e o resultado da verificação de retenção feita depois. Manter as quatro partes juntas permite que um auditor veja que a mudança foi autorizada e realmente entrou em vigor. Sana anexa cada resultado de teste ao respectivo registro de mudança no mesmo chamado. Uma mudança a que falte qualquer das quatro partes é tratada como incompleta, e a verificação semanal seguinte a aponta para Owen.
10.6 Verificação
Depois das mudanças, Sana roda de novo a verificação de retenção e testa os controles com um atalho sintético inofensivo num PC de teste: bloqueado, e um alerta gerado. O atalho de teste é inofensivo e sintético, criado num PC de teste que não está ligado à rede clínica. Ele verifica se o bloqueio e o alerta funcionam, sem usar o run.vbs real nem qualquer malware. Rodar de novo o laboratório de retenção depois das mudanças dá uma segunda verificação, independente, de que as novas configurações estão em vigor.
10.7 Prontidão
A ISO/IEC 27043 inclui processos de prontidão; a configuração de retenção e de alertas é prontidão na prática. Prontidão significa conseguir investigar o próximo incidente sem as lacunas que este expôs. Para o Westbrook, isso quer dizer fontes de log guardadas pelo tempo que a política manda, alertas para o comportamento visto na Ala 4 e runbooks testados. A verificação de retenção agora roda toda semana, então um desvio depois de uma atualização é notado em poucos dias. A prontidão também inclui o runbook testado e a unidade do kit, com sua localização escrita nele.
Quem aprova as mudanças
Mudanças de retenção precisam do gestor de documentos e do conselho de TI, porque uma retenção maior levanta questões de privacidade e de armazenamento, além das de segurança. A implantação do controle de aplicações precisa da concordância das gerentes de ala, já que uma regra que bloqueie software clínico prejudicaria pacientes. Sana prepara a evidência; outros decidem.
Exemplo resolvido
A verificação depois das mudanças mostra proxy 180 OK, DHCP 90 OK. O atalho de teste num PC de laboratório é bloqueado pelo controle de aplicações e gera um alerta do EDR em menos de um minuto. Sana anexa os dois resultados aos registros de mudança.
Caso sintético. As configurações vêm do script do laboratório.
Erros e limites
A configuração pode se desviar depois de atualizações; programe verificações regulares, e não correções pontuais.
Exercícios
- EX037 — Abaixo da política. Quais fontes estavam abaixo da política? Rubrica: 3 = proxy 30 contra 180; DHCP 14 contra 90; 2 = uma; 1 = errado; 0 = nada.
- EX038 — Impacto. Por que retenções curtas importam neste caso? Rubrica: 3 = um uso anterior teria perdido a evidência do proxy/DHCP; 2 = parcial; 1 = vago; 0 = nada.
- EX039 — Controles preventivos. Liste três controles preventivos configurados. Rubrica: 3 = bloquear scripts/atalhos removíveis, controle de aplicações em todas as alas, alerta do host de scripts; 2 = dois; 1 = um; 0 = nada.
- EX040 — Teste de verificação. Como os controles foram verificados? Rubrica: 3 = atalho sintético inofensivo num PC de teste; bloqueado e alertado; 2 = parcial; 1 = presumido; 0 = nada.
Síntese
Confira a configuração com a política, corrija com mudanças documentadas e verifique com testes seguros.
Continue estudando — capítulo 10 de 18
← Capítulo 09 (rascunho) · Índice de capítulos do curso · Capítulo 11 (rascunho) →