Capítulo 1 — Sistemas computacionais
Mapa da aula
Aula 01 publicada. Mapa, exemplo, EX001.
flowchart TD
N0["1.1 O lugar do tecnólogo"]
N1["1.2 Camadas"]
N2["1.3 Volátil e persistente"]
N3["1.4 Ações rotineiras com efeitos periciais"]
N4["1.5 O hábito da pausa"]
N5["1.6 Servidores e máquinas virtuais"]
N6["1.7 Inventário"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX001"]
Desenho lógico
flowchart LR
N0["1.1 O lugar do tecnólogo"]
N1["1.2 Camadas"]
N2["1.3 Volátil e persistente"]
N3["1.4 Ações rotineiras com efeitos periciais"]
N4["1.5 O hábito da pausa"]
N5["1.6 Servidores e máquinas virtuais"]
N6["1.7 Inventário"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX001"]
[1.1 O lugar do tecnólogo]
|
v
[1.2 Camadas]
|
v
[1.3 Volátil e persistente]
|
v
[1.4 Ações rotineiras com efeitos periciais]
|
v
[1.5 O hábito da pausa]
|
v
[1.6 Servidores e máquinas virtuais]
|
v
[1.7 Inventário]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX001]
Objetivos de aprendizagem
Você vai (1) descrever as camadas de hardware e software dos sistemas que um tecnólogo apoia; (2) localizar onde a evidência fica em cada camada; (3) explicar por que ações rotineiras de administradores podem destruir evidências; (4) começar um hábito de trabalho atento à evidência.
1.1 O lugar do tecnólogo
Jonah Pereira está no primeiro ano de um curso de tecnólogo de três anos na fictícia Brookline Polytechnic. Seu estágio será no departamento de TI da fictícia Prefeitura de Alder Falls, onde a analista de segurança Renata Silva cuida dos incidentes de 600 funcionários. A primeira lição de Renata: os administradores costumam ser os primeiros a chegar à cena, por isso os hábitos deles decidem se a evidência sobrevive. Para Jonah, isso muda o modo como ele pensa os chamados comuns. Um PC lento, uma conta bloqueada ou uma janela estranha costumam ser rotina, mas às vezes são o primeiro sinal de um incidente, e o tecnólogo que atende o chamado decide o que acontece com a evidência nos dez minutos seguintes. O curso acompanha o estágio dele para que cada habilidade fique ligada a uma decisão concreta na prefeitura.
1.2 Camadas
Hardware (CPU, memória, discos, placas de rede), firmware, sistema operacional, aplicações e dados. Cada camada guarda registros: o firmware mantém configurações de inicialização e um relógio; o sistema operacional mantém logs e metadados de arquivos; as aplicações mantêm históricos e caches. Para quem responde a um incidente, a pergunta útil é qual camada guarda o registro que responde à pergunta do caso. No CLERK-03, os logs do sistema operacional mostrariam logons e serviços instalados, a camada de aplicação poderia guardar o histórico do navegador, e o relógio do firmware diria a Jonah se os horários do PC são confiáveis. Anotar a camada ao lado de cada registro mantém esse contexto junto quando a evidência for combinada depois.
1.3 Volátil e persistente
A RAM, os processos em execução e as conexões abertas desaparecem no desligamento; discos e logs persistem até serem sobrescritos. A RFC 3227 recomenda coletar primeiro a evidência mais volátil. Na prática, isso significa uma decisão diante do teclado: a memória e as conexões de rede do CLERK-03 se perdem no instante em que ele é desligado, enquanto o disco ainda estará lá amanhã. Foi por isso que Renata providenciou a captura de memória antes de qualquer outra coisa. A evidência persistente também não é permanente; logs são rotacionados e o espaço apagado é reutilizado, por isso ela também precisa ser preservada sem demora.
1.4 Ações rotineiras com efeitos periciais
Reiniciar, rodar varreduras de antivírus, reinstalar a imagem do sistema, instalar atualizações e "limpar" arquivos temporários: tudo isso altera ou destrói evidências. Nada disso é errado na operação normal; tudo exige uma pausa quando há suspeita de incidente. A varredura de antivírus iniciada pelo colega do suporte no CLERK-03 é o caso típico: uma ação bem-intencionada que teria posto arquivos em quarentena, alterado horários de acesso e possivelmente removido justamente o programa que Renata precisava examinar. Jonah aprende a fazer primeiro uma pergunta: isto pode ser um incidente? Se a resposta for sim ou talvez, a correção de rotina espera a decisão da analista.
1.5 O hábito da pausa
Renata ensina: se algo parece um incidente, pare, anote o que você vê com o horário, isole a máquina da rede se receber essa instrução e chame a analista de segurança antes de mudar qualquer coisa. O hábito é simples de propósito, para funcionar sob pressão. Jonah escreve suas notas no papel ou no chamado, com o horário de um relógio confiável, e não de memória depois. O isolamento só acontece quando há instrução, porque desconectar o cabo também altera o estado, e Renata pode preferir coletar antes as conexões de rede. A ligação para a analista é o passo que nunca pode ser pulado.
1.6 Servidores e máquinas virtuais
Máquinas virtuais podem ter snapshots, que preservam o disco e às vezes a memória sem tocar no sistema convidado — uma opção poderosa que está nas mãos dos administradores. Os snapshots precisam ser tirados com cuidado: algumas plataformas pausam o convidado por um instante, e um snapshot que inclui a memória pode conter senhas e dados pessoais, por isso precisa da mesma proteção que qualquer evidência. Em Alder Falls, Renata pede aos administradores que registrem quem tirou o snapshot, quando, de qual máquina e onde ele está guardado, e que o mantenham até ela liberá-lo.
1.7 Inventário
Saber quais sistemas existem, quem é responsável por eles e para onde vão seus logs é o primeiro passo da prontidão. Em Alder Falls, o inventário lista o nome, o responsável, a localização, a finalidade de cada sistema e para onde seus logs são enviados. Quando o CLERK-03 foi reportado, Jonah pôde verificar que ele pertencia ao setor de alvarás e que seu log de segurança era encaminhado a um servidor central, o que disse a Renata onde procurar primeiro. Um inventário desatualizado manda quem responde ao incidente ao responsável errado ou ao log errado. A tarefa de estágio de Jonah é conferir vinte entradas com o que de fato está na rede e relatar as diferenças.
Exemplo resolvido
Uma atendente relata que o PC do setor de alvarás, o CLERK-03, está "lento e abrindo janelas". Um colega do suporte inicia uma varredura de antivírus. Jonah, que o acompanha, pede que ele pause e liga para Renata. Ela fotografa a tela, anota o horário e pede que o cabo de rede seja desconectado enquanto providencia a captura de memória.
Caso sintético. Jonah, Alder Falls e o CLERK-03 são inventados.
Erros e limites
Isolar uma máquina também altera o estado dela; registre quando e como isso foi feito.
Exercícios
- EX001 — Ações rotineiras. Cite três ações rotineiras de administração que podem destruir evidências. Rubrica: 3 = reinicialização, varredura de antivírus, reinstalação de imagem/atualizações/limpeza (quaisquer três); 2 = duas; 1 = uma; 0 = nenhuma.
- EX002 — Hábito da pausa. Descreva o hábito da pausa de Renata. Rubrica: 3 = parar, anotar o quê e quando, isolar se instruído, chamar a analista; 2 = parcial; 1 = consertar; 0 = nada.
- EX003 — Resposta no CLERK-03. O que Renata fez primeiro no CLERK-03? Rubrica: 3 = fotografou a tela, anotou o horário, isolou a rede, providenciou a captura de memória; 2 = parcial; 1 = varredura; 0 = nada.
Síntese
Tecnólogos são os primeiros a responder; saber onde a evidência fica e fazer uma pausa antes das correções de rotina é o que a preserva.
Continue estudando — capítulo 01 de 30
← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →