Capítulo 1 — Arquitetura de computação e de serviços | Técnico Perícia digital e análise de malware

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 Cenário"]
  N1["1.2 Serviços"]
  N2["1.3 Restrições clínicas"]
  N3["1.4 Evidência nos serviços"]
  N4["1.5 Deveres do operador"]
  N5["1.6 Documentação"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 Cenário"]
  N1["1.2 Serviços"]
  N2["1.3 Restrições clínicas"]
  N3["1.4 Evidência nos serviços"]
  N4["1.5 Deveres do operador"]
  N5["1.6 Documentação"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX001"]

[1.1 Cenário]
    |
    v
[1.2 Serviços]
    |
    v
[1.3 Restrições clínicas]
    |
    v
[1.4 Evidência nos serviços]
    |
    v
[1.5 Deveres do operador]
    |
    v
[1.6 Documentação]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) descrever como os serviços de TI de um hospital se encaixam; (2) identificar onde a evidência é produzida em cada serviço; (3) entender as restrições específicas dos sistemas clínicos; (4) conhecer os deveres de primeira resposta do operador.

1.1 Cenário

Sana Mirza faz um curso técnico de 18 meses no fictício Harbour Technical College enquanto trabalha como operadora de TI no fictício Westbrook Community Hospital. Seu mentor é o líder de segurança de TI do hospital, Owen Price. O curso alterna semanas na escola com trabalho no hospital, então o incidente da Ala 4 deste livro se torna ao mesmo tempo seu trabalho e seu projeto supervisionado. Owen decide o que ela pode coletar e quando, e assina junto os registros dela. O papel de Sana é o de operadora: ela coleta, preserva e verifica a evidência, enquanto a análise do malware em si fica com um fornecedor externo.

1.2 Serviços

PCs das alas, o sistema de administração de pacientes, os sistemas da farmácia, e-mail, compartilhamentos de arquivos, serviços de identidade, um proxy web e um agente de detecção e resposta em endpoints (EDR) em cada PC. Cada um produz logs: o EDR registra a atividade de processos e arquivos; o proxy registra o tráfego web; os serviços de identidade registram os logons. Para Sana, a pergunta útil sobre cada serviço é o que ele registra e onde esse registro fica guardado. O console do EDR e o proxy guardam seus registros de forma central, enquanto os PCs das alas mantêm parte da evidência só localmente. Em 14 de setembro, são os registros do proxy e do EDR que ligam o pop-up no WARD4-PC2 a um contato com update-cdn.example.net.

1.3 Restrições clínicas

Os PCs das alas apoiam o cuidado aos pacientes. Desligar um deles sem aviso pode atrasar os registros de medicação. As ações de resposta são combinadas com os gerentes das alas, e o isolamento usa a contenção de rede do EDR sempre que possível, o que mantém o PC utilizável localmente enquanto o desliga da rede. Na Ala 4, o WARD4-PC2 é usado para os registros de medicação e a escala da equipe, então qualquer ação nele é combinada antes com a gerente da ala. A contenção de rede foi escolhida em vez do desligamento porque interrompe o contato externo e mantém disponíveis a memória e o estado em execução do PC. Quando a Ala 4 perdeu o acesso ao visualizador de prontuários de medicação, a ala usou um PC reserva.

1.4 Evidência nos serviços

Os serviços centrais (console do EDR, proxy, identidade) mantêm a evidência mesmo que um PC seja reinstalado. A evidência local — memória, logs ainda não enviados — existe só no PC. Essa diferença define a ordem do trabalho: a evidência local é coletada antes que alguém cogite reinstalar a imagem, enquanto os registros centrais podem esperar algumas horas. No WARD4-PC2, a captura de memória e a coleta de triagem tinham de acontecer antes da reinstalação pelo helpdesk. Os registros do proxy e do DHCP só estavam seguros enquanto a retenção permitisse, e ela depois se mostrou mais curta do que a política exigia.

1.5 Deveres do operador

Diante da suspeita de um incidente: anote o horário e o que viu, informe Owen, siga o runbook de contenção e não reinicie, não faça varredura nem limpe o PC, a menos que receba instrução para isso. A RFC 3227 lembra a quem responde que a evidência volátil é a primeira a se perder. Reiniciar perderia a memória, a varredura poderia alterar os horários dos arquivos e a limpeza poderia apagar justamente os arquivos de que o analista precisa. As primeiras ações de Sana em 14 de setembro seguem essa lista à risca: ela registra o relato da enfermeira, liga para Owen e aplica a contenção às 10:09, com a concordância da gerente da ala. Ela deixa o WARD4-PC2 ligado o tempo todo, exatamente como o runbook de contenção exige.

1.6 Documentação

Toda ação vai para o chamado, com horário e nome. Um registro como '10:09 S. Mirza aplicou a contenção de rede do EDR ao WARD4-PC2, gerente da ala de acordo' diz a um leitor posterior exatamente o que mudou e quem decidiu. Os registros são escritos no momento da ação, e não reconstruídos depois, porque horários lembrados mais tarde costumam errar por minutos. O chamado se torna a espinha dorsal do dossiê do caso que Sana entrega em seu projeto. O chamado do incidente da Ala 4 começa com o relato da enfermeira às 10:04 e termina com a reinstalação às 14:30 do segundo dia.

Exemplo resolvido

Às 10:04 de 14 de setembro, uma enfermeira da Ala 4 relata um pop-up depois de abrir a escala da equipe a partir de um pendrive no WARD4-PC2. Sana registra o relato, liga para Owen e, com a concordância da gerente da ala, usa o EDR para conter o acesso do PC à rede às 10:09, deixando-o ligado.

Caso sintético. Sana, o Westbrook e o WARD4-PC2 são inventados.

Erros e limites

A contenção muda o estado do PC; registre quando ela foi aplicada.

Exercícios

EX001 — Restrição clínica. Por que um PC de ala não pode simplesmente ser desligado?
Mostrar critérios de avaliação
Rubrica: 3 = apoia o cuidado aos pacientes; combinar com a ala; 2 = parcial; 1 = sem motivo; 0 = nada.
EX002 — Contenção pelo EDR. O que faz a contenção pelo EDR?
Mostrar critérios de avaliação
Rubrica: 3 = corta a rede, mantém o PC ligado/utilizável localmente; 2 = parcial; 1 = desliga; 0 = nada.
EX003 — Deveres do operador. Liste os deveres de primeira resposta do operador.
Mostrar critérios de avaliação
Rubrica: 3 = anotar horário/observação, informar o líder, seguir o runbook, não reiniciar/varrer/limpar; 2 = três; 1 = um; 0 = nada.
EX004 — Evidência central. Que evidência sobrevive a uma reinstalação?
Mostrar critérios de avaliação
Rubrica: 3 = logs centrais do EDR, do proxy e de identidade; 2 = parcial; 1 = memória; 0 = nada.

Síntese

Conheça os serviços, suas evidências e as restrições clínicas antes de agir; contenha com cuidado e registre tudo.

Continue estudando — capítulo 01 de 18

← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →