Capítulo 3 — Sistemas operacionais e identidades
Mapa da aula
Aula 03 publicada. Mapa, exemplo, EX009.
flowchart TD
N0["3.1 Artefatos de USB"]
N1["3.2 Execução e persistência"]
N2["3.3 Contas"]
N3["3.4 Evidência de identidade"]
N4["3.5 Privilégio"]
N5["3.6 Registro do contexto"]
N6["3.7 Questão de política"]
N7["Tipos de logon"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX009"]
Desenho lógico
flowchart LR
N0["3.1 Artefatos de USB"]
N1["3.2 Execução e persistência"]
N2["3.3 Contas"]
N3["3.4 Evidência de identidade"]
N4["3.5 Privilégio"]
N5["3.6 Registro do contexto"]
N6["3.7 Questão de política"]
N7["Tipos de logon"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX009"]
[3.1 Artefatos de USB]
|
v
[3.2 Execução e persistência]
|
v
[3.3 Contas]
|
v
[3.4 Evidência de identidade]
|
v
[3.5 Privilégio]
|
v
[3.6 Registro do contexto]
|
v
[3.7 Questão de política]
|
v
[Tipos de logon]
|
v
[Exemplo resolvido] --> [Exercício EX009]
Objetivos de aprendizagem
Você vai (1) identificar os artefatos do sistema operacional que mostram uso de USB, execução de programas e persistência; (2) relacionar contas locais e de domínio à atividade; (3) reconhecer os problemas das contas compartilhadas; (4) registrar com cuidado o contexto das contas.
3.1 Artefatos de USB
O Windows registra os dispositivos USB conectados — fabricante, produto, número de série e horários de conexão — no registro e nos logs de eventos. O EDR também pode registrar as montagens. São esses registros que depois mostram o pendrive da ala, de número de série SN-7731, em três PCs, em sequência. O registro guarda o primeiro e o último horário de conexão, enquanto os logs de eventos e o EDR registram cada montagem. Sana coleta esses artefatos com a ferramenta de triagem, em vez de navegar pelo registro no PC ligado, o que acrescentaria sua própria atividade ao registro.
3.2 Execução e persistência
O prefetch (onde estiver habilitado), os registros de processos do EDR e os logs de eventos mostram os programas que rodaram. A persistência pode usar pastas de inicialização, chaves run, tarefas agendadas ou serviços. Carrier (2005) explica os metadados do sistema de arquivos que mostram quando os arquivos apareceram. No WARD4-PC2, os registros de processos do EDR mostram o wscript.exe executando o script oculto e gravando o svch.exe, e a pasta de inicialização guarda o atalho 'Updater', que o iniciaria de novo no logon. Os horários do sistema de arquivos mostram exatamente quando o svch.exe apareceu pela primeira vez em C:/Users/Public naquela manhã. Sana registra cada artefato com sua fonte, porque o prefetch pode estar desabilitado em algumas imagens dos PCs das alas.
3.3 Contas
Os PCs das alas do Westbrook usam uma conta compartilhada da ala, para que a equipe consiga entrar depressa em emergências. As ações no WARD4-PC2 aparecem sob "ward4.shared", que identifica a sessão, e não a enfermeira. Qualquer pessoa da ala que conheça a senha compartilhada pode usar a sessão, então o mesmo nome de conta cobre várias enfermeiras durante um plantão. A conta estava conectada desde as 07:01, três horas antes de o pendrive ser usado. Por isso as notas de Sana nunca atribuem uma ação a uma enfermeira nomeada, embora tenha sido uma enfermeira quem relatou o pop-up.
3.4 Evidência de identidade
O controlador de domínio registra o logon da conta da ala às 07:01. Os registros de crachá mostram quais funcionários entraram na Ala 4, mas não conseguem colocar uma pessoa diante de um PC específico. O log do controlador de domínio confirma que a sessão começou às 07:01 e continuou durante todo o incidente. Os registros de crachá mostram quem entrou na ala, mas não quem se sentou diante do WARD4-PC2, então Sana não os combina numa afirmação sobre uma pessoa. Se um nome algum dia fosse necessário, ele viria do relato da gerente da ala sobre quem usou o PC, registrado como declaração.
3.5 Privilégio
A conta compartilhada tem direitos de usuário padrão, o que limita o que um malware rodando sob ela consegue alterar sem passos adicionais. Os direitos padrão explicam as escolhas de persistência da ferramenta do atacante: ela gravou em C:/Users/Public e na pasta de inicialização do usuário porque esses locais aceitam gravação sem direitos de administrador. Eles também significam que mudanças no sistema inteiro, como instalar um serviço, teriam exigido mais um passo. Sana registra os direitos da conta junto com os achados, já que eles limitam o que o programa poderia ter feito.
3.6 Registro do contexto
Os achados dizem "sob a conta ward4.shared", nunca "a enfermeira executou". A redação importa porque o dossiê do caso vai para gestores que podem ler 'a enfermeira executou' como culpa de alguém que apenas abriu a escala. 'Sob a conta ward4.shared no WARD4-PC2 às 10:02:40' diz exatamente o que os registros mostram, e nada além disso. Owen confere a redação de cada resumo antes que ele saia da equipe de segurança. A mesma regra vale para o PHARM-PC3, onde os achados nomeiam a conta registrada nos logs e nunca um funcionário da farmácia.
3.7 Questão de política
As contas compartilhadas trocam responsabilização por velocidade; a investigação vai anotar isso para a revisão de riscos do hospital. A conta compartilhada tornava o logon rápido em emergências, o que importa numa ala, mas também significa que ninguém consegue dizer qual pessoa abriu o atalho da escala. Sana escreve a observação para a revisão de riscos do hospital sem recomendar ela mesma uma mudança, porque a decisão pesa a rapidez clínica contra a responsabilização. Owen leva o tema ao conselho de TI junto com as outras lições do incidente. A observação é formulada como uma troca, e não como uma falha, para que a ala não a leia como crítica.
Tipos de logon
Os logs de eventos registram como uma conta fez logon: de forma interativa, no teclado, pela rede ou por área de trabalho remota. O logon da ward4.shared às 07:01 foi interativo, o que é compatível com alguém diante do PC. Sana anota o tipo porque um logon remoto mudaria a direção da investigação e as pessoas envolvidas.
Exemplo resolvido
No WARD4-PC2, um atalho na pasta de inicialização chamado "Updater", apontando para C:/Users/Public/svch.exe, foi criado às 10:02:45 sob a ward4.shared. Sana registra o caminho, o horário e a conta, observando que os direitos de usuário padrão permitiam gravar na pasta Public e na pasta de inicialização do usuário.
Caso sintético. Os artefatos são inventados.
Erros e limites
O comportamento dos artefatos depende da versão e das configurações do sistema operacional; registre as duas.
Exercícios
- EX009 — Registros de USB. O que o Windows registra sobre dispositivos USB? Rubrica: 3 = fabricante, produto, número de série, horários de conexão; 2 = parcial; 1 = vago; 0 = nada.
- EX010 — Conta compartilhada. O que "ward4.shared" identifica? Rubrica: 3 = a sessão/conta, não um indivíduo; 2 = parcial; 1 = a enfermeira; 0 = nada.
- EX011 — Persistência. Que persistência foi encontrada? Rubrica: 3 = atalho de inicialização "Updater" → svch.exe, 10:02:45; 2 = parcial; 1 = errado; 0 = nada.
- EX012 — Troca da política. Que troca as contas compartilhadas fazem? Rubrica: 3 = velocidade vs. responsabilização; 2 = parcial; 1 = vago; 0 = nada.
Síntese
Os artefatos do sistema operacional mostram dispositivos, execução e persistência; o contexto da conta precisa ser declarado com precisão, sobretudo com contas compartilhadas.
Continue estudando — capítulo 03 de 18
← Capítulo 02 (rascunho) · Índice de capítulos do curso · Capítulo 04 (rascunho) →