Capítulo 2 — Redes e protocolos | Técnico Perícia digital e análise de malware

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 2 — Redes e protocolos

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX005.

flowchart TD
  N0["2.1 Do endereço ao dispositivo"]
  N1["2.2 DNS e proxy"]
  N2["2.3 Verificação da contenção"]
  N3["2.4 Outros hosts"]
  N4["2.6 Horário"]
  N5["2.7 Registro"]
  N6["Visão do firewall"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX005"]

Desenho lógico

flowchart LR
  N0["2.1 Do endereço ao dispositivo"]
  N1["2.2 DNS e proxy"]
  N2["2.3 Verificação da contenção"]
  N3["2.4 Outros hosts"]
  N4["2.6 Horário"]
  N5["2.7 Registro"]
  N6["Visão do firewall"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX005"]

[2.1 Do endereço ao dispositivo]
    |
    v
[2.2 DNS e proxy]
    |
    v
[2.3 Verificação da contenção]
    |
    v
[2.4 Outros hosts]
    |
    v
[2.6 Horário]
    |
    v
[2.7 Registro]
    |
    v
[Visão do firewall]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX005]

Objetivos de aprendizagem

Você vai (1) rastrear a atividade de rede de um PC pelos logs de DHCP, DNS e proxy; (2) identificar conexões de saída suspeitas; (3) verificar se a contenção funcionou; (4) evitar ler nos dados de rede mais do que eles mostram.

2.1 Do endereço ao dispositivo

Os logs de DHCP associam o WARD4-PC2 ao endereço 10.40.4.22 durante a manhã. As entradas do proxy e do firewall para esse endereço podem então ser atribuídas ao PC naquele horário. O registro de concessão cobre das 07:30 às 19:30, o que inclui toda a janela do incidente no WARD4-PC2. Sana confere a concessão em vez de supor que um PC de ala sempre mantém o mesmo endereço, porque outro dispositivo poderia ter usado o 10.40.4.22 mais cedo naquela manhã. A mesma consulta depois associa o 10.40.9.31 ao PHARM-PC3, na farmácia, às 11:16. Endereços estáticos são a exceção, e para eles o inventário de ativos substitui a consulta à concessão.

2.2 DNS e proxy

O DNS mostra o WARD4-PC2 resolvendo update-cdn.example.net às 10:02:45; o proxy mostra uma conexão HTTPS com esse nome, com 18 KB enviados e 2,1 MB recebidos. O nome parece de um site de atualização de software, mas não é um que o hospital use. A consulta DNS às 10:02:45 vem um segundo depois que o svch.exe foi gravado, o que combina com um programa contatando seu servidor assim que inicia. Sana registra o nome exatamente como aparece no log e não o visita, já que navegar até um domínio suspeito a partir da rede do hospital criaria tráfego por si só. Se o nome é malicioso ou não fica para o relatório do analista.

2.3 Verificação da contenção

Depois da contenção às 10:09, o proxy não mostra mais nenhuma conexão a partir do 10.40.4.22. Sana registra isso como confirmação de que a contenção funcionou. A verificação no proxy só prova que o tráfego web parou, por isso Sana também consulta, no console do EDR, as tentativas de conexão bloqueadas depois das 10:09. Tentativas recusadas mostrariam o programa ainda tentando alcançar seu servidor, o que reforça a contenção em vez de enfraquecê-la. Ela registra as duas consultas, com seus intervalos de tempo, ao lado do registro da contenção no chamado. A contenção às 10:09 veio seis minutos e quinze segundos depois do primeiro contato pelo proxy, às 10:02:45.

2.4 Outros hosts

A busca nos logs do proxy por update-cdn.example.net encontra mais um cliente: o 10.40.9.31 às 11:16, que o DHCP associa ao PHARM-PC3, na farmácia. A busca cobre todo o log do proxy para o domínio, e não só a manhã, de modo que contatos anteriores de outros PCs também apareceriam. Só um outro cliente é encontrado, o que naquele momento restringe o incidente a dois PCs. O PHARM-PC3 se torna a segunda máquina a coletar e é contido às 11:31. O resultado da busca é salvo com sua consulta, para que a equipe de rede possa repeti-la se necessário.

2.5 Limites

O HTTPS esconde o conteúdo; volumes e horários sugerem um download, mas não o que foi baixado. Nomes podem ser compartilhados por serviços legítimos e maliciosos. Os 18 KB enviados e os 2,1 MB recebidos combinam com uma pequena requisição seguida de um download, mas os mesmos volumes poderiam vir de uma atualização de software comum. Sana escreve 'compatível com um download' e deixa a questão do conteúdo para o relatório do analista sobre o svch.exe. Um nome como update-cdn.example.net é escolhido para parecer inofensivo, então seu aparecimento, sozinho, não prova nada em nenhum sentido.

2.6 Horário

Os servidores de proxy e DHCP sincronizam com o servidor de horário do hospital; os PCs das alas deveriam fazer o mesmo, mas isso precisa ser conferido. Os PCs das alas devem sincronizar com o mesmo servidor de horário, mas o WARD4-PC2 se revelou seis minutos e vinte segundos atrasado na coleta. Por isso Sana compara o relógio de cada PC com uma referência antes de juntar os horários locais dele com os do proxy ou do DHCP. Os horários dos servidores só são aceitos depois que ela confirma que eles sincronizam como configurado. O desvio afeta apenas os horários que o próprio PC grava, como as marcas de tempo do sistema de arquivos e seus logs de eventos locais. Os eventos do EDR são diferentes: o servidor do EDR carimba cada um com seu próprio horário UTC sincronizado ao recebê-lo, então os horários da exportação do EDR e do chamado não precisam de correção.

2.7 Registro

Cada achado cita o log, o intervalo de tempo e a consulta. Um achado escrito como 'proxy, 10.40.4.22, 10:00–10:30, consulta por endereço do cliente' permite que Owen repita a mesma busca e obtenha a mesma resposta. Sem a consulta, o leitor não consegue saber se um registro ausente significa ausência de tráfego ou uma busca feita no lugar errado. O mesmo hábito vale para resultados negativos, como a busca vazia no firewall entre o WARD4-PC2 e a farmácia. Owen recusa qualquer achado do chamado que não indique seu log, seu intervalo de tempo e sua consulta.

Visão do firewall

O firewall interno registra as conexões entre os segmentos do hospital. Sana verifica se o WARD4-PC2 tentou alcançar outros PCs das alas ou a rede da farmácia antes da contenção. Não tentou, o que sugere que a propagação para o PHARM-PC3 aconteceu de outro modo — uma pista que depois aponta para o próprio pendrive. Ela registra a consulta, o intervalo de tempo e o resultado vazio, para que o achado negativo possa ser conferido depois.

Exemplo resolvido

Nota de Sana no chamado: "Proxy: 10.40.4.22 (WARD4-PC2 segundo o DHCP, 07:30–19:30) conectou-se a update-cdn.example.net às 10:02:45 e recebeu 2,1 MB. Nenhuma conexão depois da contenção (10:09). O mesmo domínio foi contatado pelo 10.40.9.31 (PHARM-PC3) às 11:16."

Caso sintético. Os logs são inventados.

Erros e limites

As associações do DHCP falham para endereços estáticos; para eles, consulte o inventário de ativos.

Exercícios

EX005 — Cadeia de atribuição. Como o tráfego do proxy foi ligado ao WARD4-PC2? Rubrica: 3 = a concessão do DHCP associa o 10.40.4.22 naquele horário; 2 = parcial; 1 = palpite; 0 = nada.
EX006 — Prova da contenção. O que mostrou que a contenção funcionou? Rubrica: 3 = nenhuma conexão no proxy depois das 10:09; 2 = parcial; 1 = suposto; 0 = nada.
EX007 — Segundo host. Que outro host contatou o domínio, e quando? Rubrica: 3 = PHARM-PC3 às 11:16; 2 = só o host; 1 = errado; 0 = nada.
EX008 — Significado do volume. O que 18 KB enviados e 2,1 MB recebidos sugerem e o que não mostram? Rubrica: 3 = sugerem download; conteúdo desconhecido; 2 = parcial; 1 = dados roubados; 0 = nada.

Síntese

Os logs de rede, ligados aos dispositivos pelo DHCP e pelo horário, delimitam a propagação e confirmam a contenção — sem revelar o conteúdo cifrado.

Continue estudando — capítulo 02 de 18

← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →