Capítulo 13 — Perícia digital e análise de malware: solução de problemas
Mapa da aula
Aula 13 publicada. Mapa, exemplo, EX049.
flowchart TD
N0["13.1 Um método"]
N1["13.2 Problema do caso: eventos ausentes"]
N2["13.3 Resolvendo passo a passo"]
N3["13.4 Resolução"]
N4["13.5 Falhas de ferramenta versus evidência"]
N5["13.6 Escalonamento"]
N6["13.7 Registro"]
N7["Sintomas comuns"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX049"]
Desenho lógico
flowchart LR
N0["13.1 Um método"]
N1["13.2 Problema do caso: eventos ausentes"]
N2["13.3 Resolvendo passo a passo"]
N3["13.4 Resolução"]
N4["13.5 Falhas de ferramenta versus evidência"]
N5["13.6 Escalonamento"]
N6["13.7 Registro"]
N7["Sintomas comuns"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX049"]
[13.1 Um método]
|
v
[13.2 Problema do caso: eventos ausentes]
|
v
[13.3 Resolvendo passo a passo]
|
v
[13.4 Resolução]
|
v
[13.5 Falhas de ferramenta versus evidência]
|
v
[13.6 Escalonamento]
|
v
[13.7 Registro]
|
v
[Sintomas comuns]
|
v
[Exemplo resolvido] --> [Exercício EX049]
Objetivos de aprendizagem
Você vai (1) resolver problemas de coleta e de análise com método; (2) separar falhas de ferramenta de questões de evidência; (3) escalar quando não conseguir avançar; (4) registrar a solução de problemas.
13.1 Um método
Descreva o sintoma com precisão, verifique primeiro as causas mais simples, mude uma coisa de cada vez e registre cada passo e seu resultado. Isso evita mudanças aleatórias que escondem a causa. Descrever com precisão significa indicar o host, o intervalo de tempo e o que está faltando, como 'nenhum evento do EDR no PHARM-PC3 entre 11:20 e 11:40'. Verificar primeiro as causas simples poupa tempo, porque um filtro errado é muito mais comum do que um atacante apagando logs. Cada passo e seu resultado vão para o log do caso no momento em que acontecem.
13.2 Problema do caso: eventos ausentes
A linha do tempo do EDR do PHARM-PC3 não mostra nenhum evento entre 11:20 e 11:40, embora o PC estivesse em uso. Causas possíveis: agente parado, perda de rede, filtro do console ou adulteração pelo atacante. A lacuna começou cinco minutos depois que o pendrive foi montado no PHARM-PC3, durou vinte minutos e abrangeu a contenção do PHARM-PC3 às 11:31. Se a ferramenta tivesse removido eventos, isso mudaria o caso para muito pior. Sana lista todas as causas possíveis antes de verificar qualquer uma delas. Cada causa candidata é escrita como uma pergunta, junto com o registro que a responderia.
13.3 Resolvendo passo a passo
Sana verifica primeiro o filtro do console — nenhum aplicado. O log de saúde do agente mostra que ele estava rodando. O log do switch mostra a porta do switch da farmácia oscilando entre 11:19 e 11:41. Os eventos ficaram guardados localmente e chegaram depois, com seus horários originais, mas arquivados num lote de envio posterior. Cada verificação descarta uma causa: o filtro, depois o agente, depois o caminho de rede. O log do switch pertence à equipe de rede, então Sana o pede pela fila dessa equipe com a referência do caso. A porta oscilante explica por que os eventos chegaram atrasados ao console, mas mantiveram seus horários originais.
13.4 Resolução
Uma consulta pelo horário do evento, e não pelo horário de envio, devolve os eventos ausentes. Nada indica adulteração. Trinta e oito eventos foram recuperados com a consulta pelo horário do evento em vez do horário de envio. Sana roda de novo suas consultas anteriores ao PHARM-PC3 com o campo corrigido, para que nenhum outro resultado dependa da consulta defeituosa. Os eventos recuperados entram na linha do tempo com uma nota sobre como foram encontrados. A consulta defeituosa fica no log do caso ao lado da corrigida, para que um revisor veja exatamente o que mudou entre elas.
13.5 Falhas de ferramenta versus evidência
Uma falha de ferramenta (campo de consulta errado) parecia uma lacuna na evidência. Antes de relatar "logs apagados", os operadores descartam falhas de ferramenta e de consulta. Relatar 'logs apagados' teria sugerido adulteração e mudado a direção e a urgência da investigação. A causa real era uma consulta que usava o campo do horário de envio, um problema de ferramenta e de método, e não evidência de um atacante. Sana acrescenta ao runbook uma linha para consultar pelo horário do evento. A mudança no runbook é revisada e testada como qualquer outra edição de documento.
13.6 Escalonamento
Se duas horas de trabalho metódico não explicarem um problema, Sana escala para Owen com suas notas, em vez de adivinhar. As duas horas são um limite combinado com Owen, então escalar faz parte do método, e não é uma confissão de fracasso. As notas vão junto com o escalonamento, para que Owen não repita as verificações que ela já fez. Neste caso, a lacuna foi explicada dentro do limite, e não foi preciso escalar. As notas de escalonamento listam cada verificação, seu resultado e os registros consultados.
13.7 Registro
Os passos da solução de problemas vão para o log do caso, porque uma lacuna explicada de forma errada pode enganar a investigação inteira. O log registra cada verificação, seu resultado e a conclusão: atraso na entrega, e não adulteração. Um leitor posterior que veja uma lacuna de vinte minutos na linha do tempo do PHARM-PC3 encontra a explicação em vez de reabrir a questão. A nota também indica a exportação do log do switch que sustenta a conclusão. A explicação tem uma referência cruzada a partir da entrada das 11:20 na linha do tempo do PHARM-PC3. A nota traz o horário de cada verificação e quem a fez.
Sintomas comuns
Outros sintomas que os operadores encontram incluem uma ferramenta de captura que não inicia por falta de espaço em disco na unidade do kit, um arquivo de triagem que não abre porque a transferência foi interrompida e carimbos de tempo que aparecem em dois fusos diferentes. Cada um tem uma primeira verificação simples: espaço livre, comparação do hash com o manifesto e a configuração de fuso horário da exportação.
Exemplo resolvido
O log de Sana: "Lacuna 11:20–11:40 no PHARM-PC3. Filtro: nenhum. Agente: rodando. Porta do switch oscilou 11:19–11:41. Nova consulta pelo horário do evento: 38 eventos recuperados. Conclusão: atraso na entrega, não adulteração."
Caso sintético. Os logs são inventados.
Erros e limites
A solução metódica de problemas ainda depende dos logs disponíveis; algumas lacunas não podem ser explicadas.
Exercícios
- EX049 — Método. Descreva o método de solução de problemas. Rubrica: 3 = descrever o sintoma, causas simples primeiro, uma mudança de cada vez, registrar; 2 = parcial; 1 = aleatório; 0 = nada.
- EX050 — Causa da lacuna. O que causou a lacuna no PHARM-PC3? Rubrica: 3 = porta do switch oscilando; eventos guardados arquivados pelo horário de envio; 2 = parcial; 1 = adulteração; 0 = nada.
- EX051 — Ferramenta versus evidência. Que lição sobre falhas de ferramenta o caso ensina? Rubrica: 3 = descartar falhas de consulta/ferramenta antes de afirmar exclusão; 2 = parcial; 1 = vago; 0 = nada.
- EX052 — Escalonamento. Quando Sana escala? Rubrica: 3 = depois de duas horas sem explicação, com as notas; 2 = parcial; 1 = nunca; 0 = nada.
Síntese
Resolva problemas com método, descarte falhas de ferramenta antes de tirar conclusões e escale levando as notas.
Continue estudando — capítulo 13 de 18
← Capítulo 12 (rascunho) · Índice de capítulos do curso · Capítulo 14 (rascunho) →