Capítulo 15 — Perícia digital e análise de malware: integração e dependências
Mapa da aula
Aula 15 publicada. Mapa, exemplo, EX057.
flowchart TD
N0["15.1 Mapa de dependências"]
N1["15.2 Pontos únicos de falha"]
N2["15.3 Coordenando os donos"]
N3["15.4 Dependências clínicas"]
N4["15.5 Planejando para a perda"]
N5["15.6 Integração"]
N6["15.7 Revisão"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX057"]
Desenho lógico
flowchart LR
N0["15.1 Mapa de dependências"]
N1["15.2 Pontos únicos de falha"]
N2["15.3 Coordenando os donos"]
N3["15.4 Dependências clínicas"]
N4["15.5 Planejando para a perda"]
N5["15.6 Integração"]
N6["15.7 Revisão"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX057"]
[15.1 Mapa de dependências]
|
v
[15.2 Pontos únicos de falha]
|
v
[15.3 Coordenando os donos]
|
v
[15.4 Dependências clínicas]
|
v
[15.5 Planejando para a perda]
|
v
[15.6 Integração]
|
v
[15.7 Revisão]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX057]
Objetivos de aprendizagem
Você vai (1) mapear os sistemas de que a investigação depende; (2) identificar pontos únicos de falha; (3) coordenar com as equipes donas das dependências; (4) planejar para a perda de uma dependência.
15.1 Mapa de dependências
A investigação se apoiou no console do EDR, no repositório central de logs, no proxy, no servidor DHCP, no servidor de horário, nos logs do switch, na unidade do kit e no analista externo de malware. Cada um tem um dono. Cada um deles foi necessário em algum momento: o DHCP para a atribuição, o servidor de horário para a defasagem, os logs do switch para a lacuna do PHARM-PC3 e o analista para o svch.exe. Indicar um dono para cada um diz a quem responde qual fila usar durante um incidente. O mapa fica junto dos runbooks, e não no arquivo do caso.
15.2 Pontos únicos de falha
O repositório central de logs não tem réplica: se ele falhasse, os logs do proxy e de segurança se perderiam. A unidade do kit existe em duas cópias, mas só uma é mantida atualizada. O contrato de análise de malware permite duas amostras por mês. Cada ponto único foi encontrado perguntando o que aconteceria se aquela dependência falhasse durante o caso da Ala 4. Perder o repositório de logs teria eliminado os registros do proxy que ligavam os dois PCs ao domínio. Com só uma cópia do kit atualizada, uma unidade perdida ou emprestada deixaria quem responde com um conjunto de ferramentas desatualizado justamente quando precisasse dele.
15.3 Coordenando os donos
O proxy e o DHCP pertencem à equipe de rede; o servidor de horário, à infraestrutura; o EDR, à segurança. Os pedidos de Sana a cada um passam pelas respectivas filas com referências do caso, e não por favores pessoais. Trabalhar pelas filas significa que cada pedido tem uma referência, uma prioridade e um dono a quem se pode perguntar sobre ele depois. Favores pessoais não deixam registro e falham quando a pessoa está ausente. O pedido de Sana pelo log do switch durante a lacuna do PHARM-PC3 passou da mesma forma pela fila da equipe de rede.
15.4 Dependências clínicas
Os PCs das alas apoiam os sistemas de medicação e de escala. Conter o WARD4-PC2 afetou o acesso da Ala 4 ao visualizador de prontuários de medicação; a ala usou um PC reserva. Quem responde considera o impacto clínico antes de agir. Primeiro se pergunta para que o PC é usado, e qualquer ação é combinada com a gerente da ala. Na Ala 4, a contenção do WARD4-PC2 foi aceita porque um PC reserva conseguia acessar o visualizador de prontuários de medicação. Numa ala sem PC reserva, a decisão poderia ter sido outra e teria sido escalada.
15.5 Planejando para a perda
Para cada dependência, o plano registra o que acontece se ela falhar: por exemplo, se o console do EDR cair, os logs de eventos locais são coletados pela ferramenta de triagem. Escrever as alternativas antes de um incidente significa que quem responde não precisa inventá-las sob pressão. Para o servidor de horário, a alternativa é comparar cada PC com um relógio de referência na coleta, como Sana fez no WARD4-PC2. Para o analista, é o caminho da aprovação de compra para uma amostra além da cota mensal.
15.6 Integração
As exportações de cada sistema usam o mesmo fuso horário (UTC) e incluem identificadores de host, para que se juntem sem problemas. O UTC evita confusão nas mudanças de horário e entre sistemas configurados em fusos locais diferentes. Os identificadores de host em todas as exportações permitem juntar os registros do EDR, do proxy e do DHCP sem adivinhação. Quando um sistema não consegue exportar em UTC, seu fuso é registrado e convertido antes da junção. As exportações do DHCP, do proxy e do EDR do caso da Ala 4 usaram todas UTC, o que tornou simples a linha do tempo combinada.
15.7 Revisão
O mapa é revisado duas vezes por ano. Duas vezes por ano é o bastante para a equipe de um hospital pequeno, e qualquer projeto que acrescente ou remova uma dependência também provoca uma atualização. Cada revisão confere donos, alternativas e limites de contrato com o que está em vigor. A réplica do repositório de logs pedida na mudança 2291 é um dos itens que a próxima revisão confirma. A revisão também verifica se a segunda cópia da unidade do kit foi atualizada. Qualquer mudança encontrada na revisão é registrada com data e dono.
Contratos e limites
As dependências externas são regidas por contratos. O limite de duas amostras por mês do contrato de análise fez com que o run.vbs e o svch.exe consumissem toda a cota; uma terceira amostra teria exigido uma aprovação de compra. Sana registra os limites de contrato no mapa, para que quem responde os conheça antes de um incidente, e não durante.
Exemplo resolvido
Linha do mapa de Sana: "Repositório central de logs — dono: infraestrutura; guarda o proxy e os logs de segurança; sem réplica (ponto único de falha); alternativa: nenhuma; ação: réplica pedida (mudança 2291)."
Caso sintético. O mapa é inventado.
Erros e limites
Os mapas ficam desatualizados; as dependências mudam com os projetos.
Exercícios
- EX057 — Dependências. Cite cinco dependências da investigação. Rubrica: 3 = cinco quaisquer entre EDR, repositório de logs, proxy, DHCP, servidor de horário, logs do switch, kit, analista; 2 = três; 1 = uma; 0 = nada.
- EX058 — Pontos únicos. Identifique dois pontos únicos de falha. Rubrica: 3 = repositório de logs sem réplica; uma só cópia atual do kit (ou o limite do analista); 2 = um; 1 = errado; 0 = nada.
- EX059 — Impacto clínico. Como foi tratado o impacto clínico da contenção? Rubrica: 3 = a ala usou um PC reserva para o visualizador de medicação; considerado antes de agir; 2 = parcial; 1 = ignorado; 0 = nada.
- EX060 — Alternativa. Qual é a alternativa se o console do EDR cair? Rubrica: 3 = coletar os logs de eventos locais com a ferramenta de triagem; 2 = parcial; 1 = esperar; 0 = nada.
Síntese
Saiba de que a investigação depende, quem é o dono de cada coisa e o que fazer quando ela falha.
Continue estudando — capítulo 15 de 18
← Capítulo 14 (rascunho) · Índice de capítulos do curso · Capítulo 16 (rascunho) →