Capítulo 10 — Perícia digital e análise de malware: orientação
Mapa da aula
Aula 10 publicada. Mapa, exemplo, EX028.
flowchart TD
N0["10.1 O processo"]
N1["10.2 Tecnólogo e examinador"]
N2["10.3 Noções de análise de malware"]
N3["10.4 O caso de Alder Falls"]
N4["10.5 Cadeia de custódia"]
N5["10.6 Documentação"]
N6["10.7 Escalonamento"]
N7["Escopo deste livro"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX028"]
Desenho lógico
flowchart LR
N0["10.1 O processo"]
N1["10.2 Tecnólogo e examinador"]
N2["10.3 Noções de análise de malware"]
N3["10.4 O caso de Alder Falls"]
N4["10.5 Cadeia de custódia"]
N5["10.6 Documentação"]
N6["10.7 Escalonamento"]
N7["Escopo deste livro"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX028"]
[10.1 O processo]
|
v
[10.2 Tecnólogo e examinador]
|
v
[10.3 Noções de análise de malware]
|
v
[10.4 O caso de Alder Falls]
|
v
[10.5 Cadeia de custódia]
|
v
[10.6 Documentação]
|
v
[10.7 Escalonamento]
|
v
[Escopo deste livro]
|
v
[Exemplo resolvido] --> [Exercício EX028]
Objetivos de aprendizagem
Você vai (1) explicar o processo pericial tal como os tecnólogos o aplicam; (2) conhecer as normas que o orientam; (3) entender o papel do tecnólogo em relação ao do examinador; (4) delimitar o caso de Alder Falls.
10.1 O processo
A NIST SP 800-86 divide o trabalho pericial em quatro fases, da coleta ao relatório, passando pelo exame e pela análise. A ISO/IEC 27037 trata da identificação, coleta, aquisição e preservação da evidência digital. A ISO/IEC 27042 trata da análise e da interpretação. No caso do CLERK-03, as fases correspondem a tarefas reais. A coleta é Jonah capturando a memória e os dados de triagem sob a instrução de Renata; o exame é extrair processos, logons e arquivos do que foi coletado; a análise é Renata e o analista externo decidindo o que esses registros significam para as quatro perguntas do caso; o relatório é o relato escrito para os gestores da prefeitura e, se necessário, para o encarregado de proteção de dados. Manter as fases separadas ajuda cada pessoa a saber se está reunindo fatos ou interpretando-os.
10.2 Tecnólogo e examinador
Os tecnólogos preservam, coletam sob instrução, constroem ferramentas e mantêm os sistemas prontos. Os examinadores interpretam a evidência e redigem as conclusões. Em organizações pequenas, uma pessoa pode fazer as duas coisas, mas deve saber em qual papel está a cada momento. Em Alder Falls, Jonah é tecnólogo: ele coleta, calcula hashes, registra e entrega, e quando nota algo interessante, como a conta de mfoster com logon durante as férias dele, relata isso a Renata em vez de tirar conclusões por conta própria. Renata assume o papel de examinadora e decide o que os registros significam. Conhecer esse limite protege os dois se o caso for revisto ou contestado depois.
10.3 Noções de análise de malware
Os analistas identificam o que os arquivos suspeitos fazem. A análise estática inspeciona sem executar; a análise dinâmica executa as amostras em sandboxes isoladas. Sikorski e Honig (2012) descrevem as duas. Os tecnólogos entregam os arquivos suspeitos aos analistas em arquivos compactados protegidos e nunca os executam em máquinas de produção. No caso do CLERK-03, nem o helper.exe nem o svc.exe é aberto ou executado em qualquer máquina da prefeitura. Jonah registra seus caminhos, tamanhos e hashes, coloca cópias num arquivo compactado protegido por senha e o passa ao analista externo, com os hashes numa mensagem separada. O que os arquivos fazem é a pergunta do analista; o trabalho de Jonah é garantir que o analista receba exatamente o que foi encontrado.
10.4 O caso de Alder Falls
O CLERK-03 mostrou adivinhação de senha, um logon de admin a partir de outro desktop (10.20.4.12), um serviço novo, um svc.exe alterado e um helper.exe novo. As perguntas: como o acesso começou; o que os arquivos fazem; quais outras máquinas foram afetadas; houve saída de dados? Cada pergunta aponta para evidências diferentes. Como o acesso começou exige os registros de logon no CLERK-03 e no desktop de origem; o que os arquivos fazem exige o relatório do analista; as outras máquinas afetadas exigem uma busca nos logs e nas linhas de base de toda a prefeitura; se houve saída de dados exige registros de firewall, proxy e aplicações. Escrever as perguntas logo no início mantém a coleta focada e deixa evidente quando uma pergunta ainda não tem evidência.
10.5 Cadeia de custódia
Cada item coletado — captura de memória, imagem de disco, exportação de log — recebe um identificador, um hash e um registro de custódia. Neste caso, isso inclui as capturas de memória do CLERK-03 e do desktop de origem, as coletas de triagem, as exportações do firewall e da VPN e o arquivo compactado enviado ao analista externo. Cada transferência acrescenta uma linha: quem entregou, para quem, quando e por quê. Uma lacuna nesse registro abre a pergunta sobre se o item pode ter sido alterado. Jonah usa um formulário de custódia por item e nunca reaproveita um identificador.
10.6 Documentação
Notas contemporâneas desde o primeiro minuto. As notas de Renata desde a primeira ligação registram a descrição da atendente, o horário em que Jonah pausou a varredura, quando o cabo foi desconectado e quando a captura de memória foi providenciada. Notas escritas na hora, com horários de um relógio confiável, são muito mais críveis do que um resumo escrito dias depois. Jonah mantém suas próprias notas no mesmo formato, assinadas e datadas, para que os dois relatos possam ser comparados se algo for contestado. As notas também registram o que não foi feito, como a varredura que foi interrompida.
10.7 Escalonamento
A política da prefeitura diz que os incidentes que envolvem possível violação de dados vão para o encarregado de proteção de dados e, se necessário, para a polícia. O caso do CLERK-03 pode envolver dados pessoais do sistema de alvarás, por isso Renata informa cedo o encarregado de proteção de dados, antes de saber se dados saíram. Escalonar não é admitir que houve uma violação; dá ao encarregado tempo para avaliar os deveres legais enquanto os fatos são reunidos. O papel de Jonah é garantir que Renata tenha os registros de que precisa para informar o encarregado com exatidão e sem especulação.
Escopo deste livro
Os próximos capítulos acompanham o caso pela modelagem, coleta, ferramental, controles e por um kit de triagem como projeto final, com laboratórios sobre dados sintéticos em cada etapa.
Exemplo resolvido
As notas iniciais de Renata listam as quatro perguntas e distribuem as tarefas: Jonah coleta memória e triagem do CLERK-03 e do 10.20.4.12 sob a instrução dela; ela solicita os logs do firewall e da VPN; um analista externo de malware recebe o helper.exe e o svc.exe num arquivo compactado protegido por senha, com os hashes.
Caso sintético. O caso é inventado.
Erros e limites
Os papéis se confundem em equipes pequenas; documentar quem fez o quê mantém a responsabilidade clara.
Exercícios
- EX028 — Divisão de papéis. Diferencie os papéis de tecnólogo e examinador. Rubrica: 3 = preservar/coletar/ferramentas vs. interpretar/conclusões; 2 = parcial; 1 = são o mesmo; 0 = nada.
- EX029 — Perguntas do caso. Liste as quatro perguntas de Alder Falls. Rubrica: 3 = início do acesso, função dos arquivos, outras máquinas, saída de dados; 2 = três; 1 = uma; 0 = nada.
- EX030 — Entrega dos arquivos. Como os arquivos suspeitos foram entregues? Rubrica: 3 = arquivo compactado protegido por senha, com hashes, para o analista; 2 = parcial; 1 = por e-mail; 0 = nada.
Síntese
Os tecnólogos apoiam um processo pericial baseado em normas preservando, coletando e entregando com segurança.
Continue estudando — capítulo 10 de 30
← Capítulo 09 (rascunho) · Índice de capítulos do curso · Capítulo 11 (rascunho) →