Capítulo 18 — Perícia digital e análise de malware: projeto técnico supervisionado
Mapa da aula
Aula 18 publicada. Mapa, exemplo, EX069.
flowchart TD
N0["18.1 O projeto"]
N1["18.2 Conteúdo do arquivo do caso"]
N2["18.3 Resumo das constatações"]
N3["18.4 Recomendações"]
N4["18.5 Apresentação"]
N5["18.6 Supervisão"]
N6["18.7 Reflexão"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX069"]
Desenho lógico
flowchart LR
N0["18.1 O projeto"]
N1["18.2 Conteúdo do arquivo do caso"]
N2["18.3 Resumo das constatações"]
N3["18.4 Recomendações"]
N4["18.5 Apresentação"]
N5["18.6 Supervisão"]
N6["18.7 Reflexão"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX069"]
[18.1 O projeto]
|
v
[18.2 Conteúdo do arquivo do caso]
|
v
[18.3 Resumo das constatações]
|
v
[18.4 Recomendações]
|
v
[18.5 Apresentação]
|
v
[18.6 Supervisão]
|
v
[18.7 Reflexão]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX069]
Objetivos de aprendizagem
Você vai (1) concluir um projeto técnico supervisionado de ponta a ponta; (2) montar um arquivo do caso; (3) apresentar as constatações a públicos técnicos e não técnicos; (4) refletir sobre a sua prática.
18.1 O projeto
O projeto final de Sana para o Harbour Technical College é o arquivo completo do caso do incidente USB da Ala 4, supervisionado por Owen, usando apenas cópias sintéticas aprovadas para o curso. O projeto usa cópias sintéticas para que o trabalho do curso não contenha nenhum dado de pacientes ou funcionários do incidente real. Owen supervisiona o projeto como supervisionou o caso, revisando cada parte segundo a rubrica do curso. O arquivo do caso mostra que Sana consegue conduzir um incidente do primeiro alerta ao relatório final.
18.2 Conteúdo do arquivo do caso
Autorização; escopo; logs de coleta; manifestos e tabelas de verificação; linha do tempo com as correções de relógio; tabela de movimentação USB; árvore de processos; resumo do relatório do analista; mudanças de controles com resultados de teste; lições aprendidas; referências. Cada item é um registro produzido durante o caso, e não algo escrito depois para o projeto. A lista segue a ordem em que uma investigação acontece, da autoridade às lições aprendidas. Um revisor consegue conferir qualquer constatação seguindo-a de volta, pela linha do tempo e pelas tabelas de verificação, até os logs de coleta. Todo registro do arquivo leva o rótulo de sintético exigido para a entrega no curso.
18.3 Resumo das constatações
O pendrive da escala SN-7731, editado num PC doméstico, carregava um atalho malicioso. No WARD2-PC1, o controle de aplicações do piloto o bloqueou. No WARD4-PC2 e no PHARM-PC3, ele rodou um script que gravou uma ferramenta de acesso remoto, que contatou update-cdn.example.net. A contenção do EDR interrompeu a atividade às 10:09 no WARD4-PC2; o PHARM-PC3 foi contido às 11:31. Nenhuma conexão lateral entre os hosts foi encontrada; a propagação foi pelo pendrive. Cada frase do resumo remonta a um registro específico: a tabela de USB, o evento de bloqueio do controle de aplicações, o laboratório de filtragem, o log do proxy e os horários de contenção. Nenhuma conexão lateral foi encontrada na busca no firewall interno. O resumo diz 'nenhuma conexão foi encontrada', e não 'não houve nenhuma', porque o firewall só registra o tráfego que vê.
18.4 Recomendações
Controle de aplicações em todas as alas; bloqueio de scripts a partir de mídia removível; escala na intranet; retenção do proxy e do DHCP de acordo com a política; réplica do repositório de logs. Cada recomendação responde a uma constatação: o controle de aplicações e o bloqueio de scripts barram a sequência da Ala 4, e a escala na intranet elimina a função do pendrive. Os itens de retenção e de réplica fecham as lacunas encontradas nos logs. O resumo para o conselho dá a cada um custo e dono, para que o conselho possa decidir. O item da réplica cita a mudança 2291, pedida quando o mapa de dependências foi feito, para que o conselho veja que ele já está em andamento.
18.5 Apresentação
Ao conselho de TI: uma página com impacto, causa, ações e custos. À equipe de segurança: o arquivo completo. Às gerentes de ala: o que aconteceu e o que muda para a equipe. O conselho recebe impacto, causa e custo porque decide os orçamentos; a equipe de segurança recebe o arquivo completo porque pode precisar repetir o trabalho. As gerentes de ala recebem o que muda para suas equipes, como usar a intranet para as escalas. Cada versão sai do mesmo arquivo do caso, então os números coincidem.
18.6 Supervisão
Owen revisa cada seção antes da entrega e registra sua avaliação segundo a rubrica do curso. A revisão dele cobre exatidão, completude e se cada constatação é sustentada por um registro do arquivo. Os comentários são feitos por escrito, para que Sana possa mostrar como tratou cada um. A avaliação segundo a rubrica do curso é registrada separadamente dos comentários, para que a escola veja as duas coisas. As notas de revisão de Owen ficam no arquivo do caso com as respostas de Sana a cada comentário. Essas respostas mostram quais comentários levaram a uma mudança no arquivo e quais ela respondeu com uma justificativa.
18.7 Reflexão
Sana anota o que faria de outro jeito: fazer a pergunta sobre o relógio logo no início da coleta e travar a pasta de evidências antes do início da análise. Perguntar sobre o relógio no início teria evitado a confusão de misturar horários brutos do PC com horários dos servidores. Travar a pasta mais cedo teria evitado a divergência do usb_log.csv. As duas lições vão para o runbook, para que o próximo operador se beneficie sem repetir o erro. Ela também anota que consultar pelo horário do evento desde o início teria evitado a questão da lacuna no PHARM-PC3.
Exemplo resolvido
No conselho, um membro pergunta se dados de pacientes saíram do hospital. Sana responde: "A ferramenta contatou um domínio externo por menos de sete minutos no WARD4-PC2 e por quinze no PHARM-PC3. Os logs do proxy mostram só transferências pequenas, coerentes com sinais de verificação periódica. Não podemos descartar completamente a perda de dados, por isso o encarregado de proteção de dados foi informado."
Caso sintético. O projeto e as respostas são inventados.
Erros e limites
Um projeto feito depois dos fatos se beneficia da visão retrospectiva; as decisões em tempo real foram mais difíceis.
Exercícios
- EX069 — Arquivo do caso. Liste seis itens do arquivo do caso. Rubrica: 3 = seis dos itens listados; 2 = quatro; 1 = dois; 0 = nada.
- EX070 — Constatações. Resuma como a infecção se propagou. Rubrica: 3 = pelo pendrive SN-7731; bloqueada na Ala 2; executada na Ala 4 e na farmácia; nada lateral; 2 = parcial; 1 = worm de rede; 0 = nada.
- EX071 — Públicos. Como a apresentação foi adaptada para três públicos? Rubrica: 3 = conselho, uma página; segurança, arquivo completo; gerentes de ala, mudanças para a equipe; 2 = dois; 1 = um; 0 = nada.
- EX072 — Resposta sobre perda de dados. Como Sana respondeu à pergunta sobre perda de dados? Rubrica: 3 = contato curto, transferências pequenas, não dá para descartar, encarregado informado; 2 = parcial; 1 = "nenhuma perda"; 0 = nada.
Síntese
Um projeto supervisionado reúne o curso: registros completos, constatações claras, limites honestos e relatórios adequados a cada público.
Continue estudando — capítulo 18 de 18
← Capítulo 17 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →
Resoluções
Respostas-modelo para EX001–EX072. Sana Mirza, Owen Price, o Westbrook Community Hospital, o Harbour Technical College e todos os valores são sintéticos. As respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. Ele apoia o cuidado aos pacientes, como os registros de medicação, então qualquer desligamento precisa ser combinado com a gerente da ala.
EX002. Ela bloqueia as conexões de rede do PC e o deixa ligado e utilizável localmente.
EX003. Anotar o horário e o que foi observado, informar o líder de segurança, seguir o runbook de contenção e evitar reiniciar, varrer ou limpar o PC, a menos que haja instrução para isso.
EX004. Os logs guardados de forma central — o console do EDR, os logs do proxy e os logs do serviço de identidade.
EX005. O log do DHCP mostra que o WARD4-PC2 usava o 10.40.4.22 naquele período, então as entradas do proxy para esse endereço pertencem a ele.
EX006. O proxy não registrou mais nenhuma conexão a partir do 10.40.4.22 depois da contenção às 10:09.
EX007. O PHARM-PC3, às 11:16.
EX008. Sugerem que o PC baixou algo, mas o conteúdo cifrado não pode ser visto.
EX009. O fabricante, o produto, o número de série e os horários de conexão do dispositivo.
EX010. A sessão de login compartilhada da ala, e não qual funcionário a estava usando.
EX011. Um atalho na pasta de inicialização chamado "Updater", apontando para C:/Users/Public/svch.exe, criado às 10:02:45.
EX012. Acesso rápido em emergências, ao custo de não saber qual pessoa executou uma ação.
EX013. Dois eventos: às 10:02:41 o wscript.exe iniciou o E:/.sys/run.vbs e às 10:02:44 gravou C:/Users/Public/svch.exe.
EX014. USB montado às 10:02:11, atalho da escala aberto às 10:02:40, script oculto executado às 10:02:41 e svch.exe gravado às 10:02:44.
EX015. O arquivo filtrado é rotulado como derivado e registra o filtro usado, enquanto a exportação original recebe um hash e é mantida sem alteração.
EX016. Tudo o que seus sensores não observam e tudo o que aconteceu antes da instalação do agente.
EX017. Um pendrive particular exigiria o consentimento do dono ou outra autorização legal; um pendrive da ala está coberto pela política do hospital.
EX018. Auditabilidade, repetibilidade e justificabilidade (a reprodutibilidade também conta).
EX019. Não são examinados além do necessário, são guardados com segurança e o encarregado de proteção de dados é avisado se puderem ter sido afetados.
EX020. Os logs de acesso e os arquivos da conta da ala respondem à pergunta expondo muito menos dados de pacientes do que uma imagem completa do compartilhamento.
EX021. O pendrive levou o malware a cada PC; o WARD4-PC2 o espalhou pela rede até o PHARM-PC3; ou cada PC foi infectado separadamente pela internet.
EX022. Registros do firewall interno ou do EDR de conexões do WARD4-PC2 para o PHARM-PC3.
EX023. Só quando se sabe que o firewall registra o tráfego entre esses segmentos, o que Sana confirmou.
EX024. Onde o pendrive tinha estado antes da Ala 2, para descobrir onde ele pegou o malware pela primeira vez.
EX025. WARD2-PC1 em 13 de setembro às 15:40, depois WARD4-PC2 em 14 de setembro às 10:02, depois PHARM-PC3 às 11:15.
EX026. Uma regra de controle de aplicações do piloto da Ala 2 impediu que o script rodasse.
EX027. Alguns dispositivos não informam número de série ou repetem números, e os números de série podem ser falsificados.
EX028. O PC doméstico estava fora da autoridade do hospital, então a funcionária concordou em tê-lo verificado pelo seu próprio prestador e compartilhou o resultado.
EX029. A mídia removível podia executar atalhos e scripts, o controle de aplicações existia apenas no piloto da Ala 2 e o pendrive da escala circulava entre a casa e o trabalho (também não havia alerta para scripts executados a partir de mídia removível).
EX030. Ela destrói evidência, é provável quando a equipe quer os sistemas de volta depressa e só é percebida depois de acontecer.
EX031. A trava segurou a tarefa de reinstalação até a aprovação de Owen; a coleta terminou às 14:00 e a reinstalação aconteceu às 14:30.
EX032. Ampliar o controle de aplicações para todas as alas, porque ele bloqueou o mesmo ataque na Ala 2.
EX033. Num arquivo compactado protegido por senha, enviado pelo canal seguro combinado, com seus hashes e o contexto de onde foram encontradas.
EX034. Pelo hash, o svch.exe pertence a uma família conhecida de ferramentas de acesso remoto; suas strings incluem update-cdn.example.net; ele persiste pela pasta de inicialização.
EX035. Os horários de início e de fim, a versão da ferramenta, a identificação da unidade do kit e os dados do hash de saída e do manifesto.
EX036. Toda ferramenta altera o sistema em execução, então registrar as ações permite que os analistas distingam os efeitos das ferramentas da atividade do atacante.
EX037. O proxy (30 dias contra 180) e o DHCP (14 dias contra 90).
EX038. Se o pendrive tivesse sido usado um mês antes, os registros do proxy e do DHCP necessários para rastreá-lo já teriam sido apagados.
EX039. Bloquear scripts e atalhos a partir de mídia removível, ampliar o controle de aplicações para todas as alas e alertar quando o host de scripts rodar a partir de uma unidade removível.
EX040. Um atalho sintético inofensivo foi executado num PC de teste; ele foi bloqueado e um alerta do EDR apareceu em menos de um minuto.
EX041. O usb_log.csv, porque foi aberto e salvo de novo num editor que acrescentou uma quebra de linha.
EX042. A cópia alterada foi posta de lado e rotulada, uma cópia nova foi tirada do repositório e verificada, o ocorrido foi registrado e a pasta passou a ser somente leitura.
EX043. O horário de conexão no registro foi comparado com o evento de montagem do EDR; eles coincidiram com diferença de até dois segundos.
EX044. Que tudo o que era relevante foi coletado.
EX045. Seis minutos e vinte segundos de atraso, medidos contra um servidor de horário de referência quando a evidência foi coletada.
EX046. 10:02:41 o wscript.exe iniciou o script oculto, 10:02:44 o svch.exe foi gravado e 10:02:45 o proxy viu o contato.
EX047. Depois da correção, o horário de último acesso ao atalho no registro concorda com o início do wscript no EDR, que o servidor do EDR carimbou em UTC sincronizado.
EX048. O erro do relógio muda aos poucos, então um deslocamento medido no dia da coleta pode diferir do erro de dias antes.
EX049. Descrever o sintoma com exatidão, testar primeiro as explicações mais simples, alterar uma coisa de cada vez e registrar cada passo com seu resultado.
EX050. A porta do switch da farmácia oscilou, então os eventos ficaram guardados e foram arquivados num lote de envio posterior; a consulta pelo horário de envio os escondia.
EX051. Algo que parece evidência ausente pode ser uma falha de consulta ou de ferramenta, então isso deve ser descartado antes de relatar uma exclusão.
EX052. Quando duas horas de trabalho metódico não explicaram um problema, ela entrega suas notas a Owen.
EX053. Os hashes de manifesto e a verificação semanal de retenção se prestam à automação; a decisão de conter um PC continua com as pessoas.
EX054. Outra pessoa o revisa, ele é testado com dados sintéticos de respostas conhecidas, e sua versão e seu hash são anotados a cada execução.
EX055. O script imprimiu zero registros de entrada, revelando que a exportação tinha falhado, e não que não havia ocorrências.
EX056. Para que a evidência nunca possa ser alterada pelo script; os resultados vão para uma pasta de saída separada.
EX057. O console do EDR, o repositório central de logs, o proxy, o servidor DHCP e o servidor de horário (os logs do switch, o kit e o analista também contam).
EX058. O repositório central de logs não tem réplica, e só uma das duas cópias da unidade do kit é mantida atualizada.
EX059. Quem respondeu pesou o efeito antes, e a Ala 4 usou um PC reserva para acessar o visualizador de prontuários de medicação.
EX060. Usar a ferramenta de triagem para coletar os logs de eventos locais do PC.
EX061. Finalidade, escopo, pré-requisitos, passos numerados e resultados esperados (também o tratamento de desvios e os avisos de segurança).
EX062. Logo antes do passo a que se aplicam, como "Não reinstale a imagem sem aprovação da segurança."
EX063. Os nomes de pacientes são ocultados ou ficam totalmente de fora, o visualizador de medicação nunca é capturado em tela e os nomes de funcionários só aparecem quando necessários.
EX064. Faltava a localização da unidade do kit; Sana a acrescentou e o novo teste deu certo.
EX065. O explorer (400) iniciou o wscript (812), que iniciou o svch (900), que iniciou o cmd (950).
EX066. O Teams (420), lançado pelo explorer como no uso diário.
EX067. Ela confirma que o processo pai já estava rodando quando o filho iniciou.
EX068. Sim: o wscript às 10:02:41, o svch às 10:02:44 e o cmd às 10:03:10 coincidem com a linha do tempo corrigida.
EX069. Autorização, escopo, logs de coleta, tabelas de verificação, a linha do tempo corrigida e a árvore de processos (também a tabela de USB, o resumo do analista, as mudanças de controles e as lições).
EX070. O pendrive SN-7731 a levou de PC em PC: bloqueada na Ala 2 pelo piloto, executada na Ala 4 e na farmácia, sem propagação de rede entre hosts.
EX071. O conselho de TI recebeu um resumo de uma página, a equipe de segurança o arquivo completo do caso e as gerentes de ala uma explicação do que muda para a equipe.
EX072. Ela descreveu o contato breve e as transferências pequenas, do tamanho de sinais de verificação, disse que a perda não podia ser totalmente excluída e informou que o encarregado de proteção de dados tinha sido avisado.