Capítulo 7 — Perícia digital e análise de malware: dados e telemetria
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX025.
flowchart TD
N0["7.1 Fontes de telemetria"]
N1["Laboratório — rastreando um número de série USB"]
N2["7.2 Lendo o resultado"]
N3["7.3 O WARD2-PC1 foi infectado?"]
N4["7.5 Histórico anterior"]
N5["7.6 Retenção da telemetria"]
N6["7.7 Registro"]
N7["Declarações"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX025"]
Desenho lógico
flowchart LR
N0["7.1 Fontes de telemetria"]
N1["Laboratório — rastreando um número de série USB"]
N2["7.2 Lendo o resultado"]
N3["7.3 O WARD2-PC1 foi infectado?"]
N4["7.5 Histórico anterior"]
N5["7.6 Retenção da telemetria"]
N6["7.7 Registro"]
N7["Declarações"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX025"]
[7.1 Fontes de telemetria]
|
v
[Laboratório — rastreando um número de série USB]
|
v
[7.2 Lendo o resultado]
|
v
[7.3 O WARD2-PC1 foi infectado?]
|
v
[7.5 Histórico anterior]
|
v
[7.6 Retenção da telemetria]
|
v
[7.7 Registro]
|
v
[Declarações]
|
v
[Exemplo resolvido] --> [Exercício EX025]
Objetivos de aprendizagem
Você vai (1) usar a telemetria dos dispositivos para rastrear mídia removível entre hosts; (2) agrupar registros pelo número de série do dispositivo; (3) montar um histórico de movimentação; (4) reconhecer os limites do rastreamento por número de série.
7.1 Fontes de telemetria
O EDR e os logs do Windows registram as conexões USB com o número de série do dispositivo. Coletados de forma centralizada, eles permitem que os operadores rastreiem um mesmo pendrive em muitos PCs. A coleta central importa porque o pendrive passou por PCs diferentes em dois dias distintos, e os registros de nenhum PC isolado mostrariam o caminho inteiro. O console do EDR e os logs do Windows reunidos pela ferramenta de triagem trazem o número de série. Sana busca o SN-7731 pelo número de série, e não por host. Uma busca por host encontraria cada ocorrência separadamente, enquanto a busca pelo número de série mostra o caminho inteiro de uma vez.
Laboratório — rastreando um número de série USB
"""Summarise synthetic USB connection records by device serial."""
from collections import defaultdict
rec = [("WARD4-PC2", "SN-7731", "2026-09-14T10:02:09Z"), ("WARD2-PC1", "SN-7731", "2026-09-13T15:40:00Z"),
("WARD4-PC2", "SN-1002", "2026-09-10T08:00:00Z"), ("PHARM-PC3", "SN-7731", "2026-09-14T11:15:30Z")]
by = defaultdict(list)
for host, sn, t in rec: by[sn].append((t, host))
for sn, items in by.items():
print(sn, "seen on", len(items), "hosts:", [h for _, h in sorted(items)])
Execute com python3 lab_usb.py. Saída verificada:
SN-7731 seen on 3 hosts: ['WARD2-PC1', 'WARD4-PC2', 'PHARM-PC3']
SN-1002 seen on 1 hosts: ['WARD4-PC2']
7.2 Lendo o resultado
O número de série SN-7731 (o pendrive da ala, WB-USB-01) aparece em três hosts em ordem cronológica: WARD2-PC1 em 13 de setembro às 15:40, WARD4-PC2 em 14 de setembro às 10:02 e PHARM-PC3 às 11:15. O número de série SN-1002 aparece apenas no WARD4-PC2, dias antes. O caminho do pendrive coincide com a propagação: Ala 2, depois Ala 4, depois farmácia. A ordem também dá o intervalo entre as conexões: cerca de dezoito horas e vinte minutos entre a Ala 2 e a Ala 4, e setenta e três minutos entre a Ala 4 e a farmácia. Esses intervalos combinam com um pendrive levado por pessoas entre turnos, e não com um programa se espalhando pela rede.
7.3 O WARD2-PC1 foi infectado?
O EDR do WARD2-PC1 mostra o atalho aberto, mas o script bloqueado por uma regra de controle de aplicações aplicada à Ala 2 num piloto. A Ala 4 e a farmácia ainda não estavam no piloto. O resultado no WARD2-PC1 se apoia num evento de bloqueio registrado, e não na ausência de sintomas, por isso pode ser mostrado ao conselho de TI. Isso faz do resultado do piloto uma evidência direta a favor de sua ampliação. Sana registra o horário do evento de bloqueio e o nome da regra a partir do console do EDR.
7.4 Limites
Números de série podem faltar, repetir-se em dispositivos baratos ou ser falsificados. Corrobore com a custódia física e com declarações. No caso do pendrive da ala, o número de série é corroborado pelo registro de custódia do WB-USB-01 e pela declaração da gerente da ala de que um único pendrive era usado para as escalas. Um pendrive barato que compartilhasse o número de série com outro dispositivo poderia fazer dois pendrives parecerem um só. É por isso que a tabela nunca é tratada como prova por si só. O dispositivo SN-1002, visto apenas no WARD4-PC2 dias antes, é registrado, mas não é ligado ao incidente.
7.5 Histórico anterior
Antes de 13 de setembro, o SN-7731 não aparece em nenhum PC do hospital. A gerente da ala conta que uma funcionária editou a escala em casa. Um dispositivo pessoal fica fora da autoridade do hospital; Owen pergunta à funcionária, que concorda em ter o PC doméstico verificado pelo seu próprio prestador e compartilha o resultado. O prestador da funcionária relatou o resultado, e Sana o registra como declaração de um terceiro, e não como evidência do hospital. Sem acesso ao PC doméstico, o caso não consegue mostrar exatamente como o atalho e o script oculto chegaram ao pendrive. O arquivo do caso declara esse limite com clareza no resumo das constatações.
7.6 Retenção da telemetria
Os registros de USB são mantidos por 90 dias de forma centralizada, o suficiente aqui. A retenção de 90 dias do EDR correspondia à política, então os registros de USB de 13 e 14 de setembro ainda estavam disponíveis quando Sana fez a busca. Se o pendrive tivesse sido usado pela primeira vez meses antes, esses registros já poderiam ter sido apagados. Por isso a retenção de cada fonte é conferida com a política no trabalho de configuração de controles, mais adiante no curso. A retenção do proxy e do DHCP era menor que a da política, o que o laboratório de retenção confirma depois com os valores reais. Os 90 dias foram confirmados nas configurações do console do EDR antes que Sana se apoiasse neles.
7.7 Registro
A tabela do histórico de movimentação vai para o chamado com as fontes. A tabela lista cada ocorrência com host, data, hora, fonte e desfecho, e o chamado indica a exportação de onde veio cada linha. Um leitor consegue rastrear cada linha até uma exportação com hash. Sana acrescenta a coluna de desfecho, como 'script bloqueado' para a Ala 2, para que a tabela também mostre qual defesa funcionou. A declaração assinada da gerente da ala sobre o uso do pendrive fica junto da tabela e é citada ao lado das linhas que ela sustenta.
Declarações
O relato da gerente da ala sobre o uso do pendrive é registrado por escrito, datado e assinado, e guardado junto com a tabela de telemetria.
Exemplo resolvido
A tabela de Sana: "SN-7731: WARD2-PC1 13/09 15:40 (script bloqueado pelo controle do piloto); WARD4-PC2 14/09 10:02 (script executado, svch.exe gravado); PHARM-PC3 14/09 11:15 (script executado)." Ela marca o controle que bloqueou como constatação para ampliação.
Caso sintético. Os registros vêm do script do laboratório.
Erros e limites
A telemetria cobre apenas PCs gerenciados; o trajeto do pendrive por dispositivos não gerenciados é desconhecido.
Exercícios
- EX025 — Caminho do pendrive. Dê o caminho do SN-7731 em ordem cronológica. Rubrica: 3 = WARD2-PC1, WARD4-PC2, PHARM-PC3 com horários; 2 = só a ordem; 1 = errado; 0 = nada.
- EX026 — Desfecho na Ala 2. Por que o WARD2-PC1 não foi infectado? Rubrica: 3 = o piloto de controle de aplicações bloqueou o script; 2 = parcial; 1 = sorte; 0 = nada.
- EX027 — Limites do número de série. Cite dois limites do rastreamento por número de série. Rubrica: 3 = números ausentes, repetidos, falsificados; 2 = um; 1 = vago; 0 = nada.
- EX028 — PC doméstico. Como foi tratada a questão do PC doméstico? Rubrica: 3 = fora da autoridade; consentimento da funcionária, verificado pelo próprio prestador; 2 = parcial; 1 = examinou o PC; 0 = nada.
Síntese
A telemetria central rastreia mídia removível entre hosts; corrobore os números de série e respeite os limites de autoridade.
Continue estudando — capítulo 07 de 18
← Capítulo 06 (rascunho) · Índice de capítulos do curso · Capítulo 08 (rascunho) →