Capítulo 6 — Perícia digital e análise de malware: modelo do sistema
Mapa da aula
Aula 06 publicada. Mapa, exemplo, EX021.
flowchart TD
N0["6.1 O modelo"]
N1["6.2 Hipóteses de propagação"]
N2["6.3 Evidência por hipótese"]
N3["6.4 Primeiros resultados"]
N4["6.5 Atualização"]
N5["6.6 Compartilhamento"]
N6["O modelo como guia para as perguntas"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX021"]
Desenho lógico
flowchart LR
N0["6.1 O modelo"]
N1["6.2 Hipóteses de propagação"]
N2["6.3 Evidência por hipótese"]
N3["6.4 Primeiros resultados"]
N4["6.5 Atualização"]
N5["6.6 Compartilhamento"]
N6["O modelo como guia para as perguntas"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX021"]
[6.1 O modelo]
|
v
[6.2 Hipóteses de propagação]
|
v
[6.3 Evidência por hipótese]
|
v
[6.4 Primeiros resultados]
|
v
[6.5 Atualização]
|
v
[6.6 Compartilhamento]
|
v
[O modelo como guia para as perguntas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX021]
Objetivos de aprendizagem
Você vai (1) modelar os sistemas e as conexões do incidente; (2) listar hipóteses sobre a propagação; (3) associar fontes de evidência a cada hipótese; (4) atualizar o modelo à medida que a evidência chega.
6.1 O modelo
Nós: WB-USB-01, WARD4-PC2, PHARM-PC3, WARD2-PC1, o proxy, o console do EDR, o compartilhamento de arquivos, update-cdn.example.net. Arestas: conexões USB, fluxos de rede, acessos ao compartilhamento de arquivos. Desenhar o modelo faz Sana listar sistemas que ela poderia esquecer, como o compartilhamento de arquivos e o domínio externo. O WARD2-PC1 só entrou no modelo depois que os registros de USB mostraram o pendrive nele no dia anterior. Cada aresta registra sua fonte de evidência, como os registros de USB para as conexões do pendrive e os logs do proxy para o domínio.
6.2 Hipóteses de propagação
H1: o pendrive levou o malware a cada PC. H2: o WARD4-PC2 infectou o PHARM-PC3 pela rede. H3: os dois foram infectados de forma independente pela internet. Cada hipótese prevê uma evidência diferente, e é isso que as torna testáveis, e não palpites. A H1 prevê o número de série do pendrive em cada PC infectado, a H2 prevê conexões internas entre os PCs e a H3 prevê downloads ou e-mails separados em cada um. Escrever as três antes de olhar impede que Sana se fixe na primeira explicação que se encaixa.
6.3 Evidência por hipótese
H1: registros de conexão USB em cada PC com o número de série do pendrive. H2: eventos do firewall interno e de rede do EDR do WARD4-PC2 para o PHARM-PC3. H3: registros do proxy ou de e-mail de downloads separados. O mapeamento também mostra quais fontes precisam ser coletadas, o que transforma as hipóteses num plano de coleta. Os logs do firewall interno e os eventos de rede do EDR respondem à H2, enquanto os registros de USB respondem à H1. Os logs do proxy e de e-mail dos dois PCs só são necessários para a H3, então são pedidos à equipe de rede com a referência do caso.
6.4 Primeiros resultados
O firewall interno não mostra conexões do WARD4-PC2 para o PHARM-PC3 (enfraquece a H2). O EDR mostra uma montagem de USB no PHARM-PC3 às 11:15 (sustenta a H1). A montagem no PHARM-PC3 às 11:15 veio um minuto antes do contato desse PC com o proxy às 11:16, o mesmo padrão da Ala 4. Sana escreve 'sustenta' e 'enfraquece' em vez de 'prova', porque uma única fonte ainda pode estar incompleta. A H3 continua sem teste até que as buscas no proxy e no e-mail terminem. Essas palavras mantêm honesta a tabela de hipóteses quando Owen a revisa e quando o conselho depois lê o resumo.
6.5 Atualização
O WARD2-PC1 é acrescentado ao modelo depois que os registros de USB mostram o mesmo pendrive conectado a ele na tarde anterior. O WARD2-PC1 não tinha relatado nenhum pop-up, então, sem os registros de USB, ninguém teria olhado para ele. Acrescentá-lo mudou a pergunta: de como o programa se espalhou entre dois PCs para onde o pendrive tinha estado. O modelo é atualizado no chamado com a data e a evidência que causou a mudança. A montagem do pendrive no WARD2-PC1 às 15:40 de 13 de setembro é o registro que o trouxe para o modelo.
6.6 Compartilhamento
O diagrama é anexado ao chamado e revisado com Owen. Revisar o diagrama em conjunto permite que Owen perceba sistemas ausentes ou arestas duvidosas antes que a coleta avance. Foi durante essa revisão que ele perguntou onde o pendrive tinha estado antes da Ala 2, uma pergunta escrita nas notas do diagrama como item em aberto para a próxima revisão, já que a montagem no WARD2-PC1 às 15:40 de 13 de setembro ainda era o registro mais antigo do pendrive. A versão revisada é a que fica anexada ao chamado, e as versões anteriores são guardadas para que o raciocínio possa ser acompanhado depois.
6.7 Limites
O modelo mostra os sistemas conhecidos; dispositivos pessoais ou PCs domésticos onde a escala foi editada ainda não estão incluídos. O PC doméstico onde a escala foi editada fica fora da autoridade do hospital, então permanece fora do modelo até que a funcionária concorde em deixá-lo ser examinado. Sana o marca no diagrama como uma lacuna conhecida, em vez de deixá-lo de fora. Qualquer conclusão sobre de onde o programa veio primeiro fica limitada por essa lacuna. Os dispositivos pessoais de outros funcionários que lidaram com a escala também ficam fora do modelo, pelo mesmo motivo.
O modelo como guia para as perguntas
O modelo também orienta as perguntas às pessoas: pergunta-se à gerente da ala quem guarda o pendrive e por onde ele circula; pergunta-se à equipe da farmácia se alguém o usou lá. As respostas são registradas como declarações, separadas da evidência digital, e conferidas com os registros de USB sempre que possível.
Exemplo resolvido
Sana escreve a tabela de hipóteses: H1 sustentada (montagens de USB no PHARM-PC3 e no WARD2-PC1); H2 enfraquecida (nenhuma conexão interna); H3 ainda não testada (nenhum outro registro de download encontrado até agora). Owen acrescenta uma pergunta: onde estava o pendrive antes da Ala 2?
Caso sintético. O modelo é inventado.
Erros e limites
A ausência de registros do firewall só enfraquece a H2 se o firewall registrar todo o tráfego interno entre esses segmentos; Sana confirma que registra.
Exercícios
- EX021 — Três hipóteses. Enuncie as três hipóteses de propagação. Rubrica: 3 = levado pelo USB, propagação pela rede, internet de forma independente; 2 = duas; 1 = uma; 0 = nada.
- EX022 — Evidência da H2. Que evidência sustentaria a H2? Rubrica: 3 = conexões no firewall interno/EDR do WARD4 para o PHARM; 2 = parcial; 1 = vago; 0 = nada.
- EX023 — Condição para enfraquecer. Quando a falta de dados do firewall enfraquece a H2? Rubrica: 3 = só se o firewall registrar esse tráfego; confirmado; 2 = parcial; 1 = sempre; 0 = nada.
- EX024 — A pergunta de Owen. Que pergunta Owen acrescentou, e por quê? Rubrica: 3 = o histórico do pendrive antes da Ala 2; achar a origem; 2 = parcial; 1 = vago; 0 = nada.
Síntese
Modele os sistemas, enuncie hipóteses rivais, associe evidência a cada uma e atualize à medida que os resultados chegam.
Continue estudando — capítulo 06 de 18
← Capítulo 05 (rascunho) · Índice de capítulos do curso · Capítulo 07 (rascunho) →