Capítulo 12 — Perícia digital e análise de malware: fluxos de dados
Mapa da aula
Aula 12 publicada. Mapa, exemplo, EX034.
flowchart TD
N0["12.1 Mapeando os fluxos"]
N1["12.2 Pontos de registro"]
N2["12.3 Delimitando o roubo de dados"]
N3["12.4 Achados"]
N4["12.5 Caminhos sem registro"]
N5["12.6 Relatório"]
N6["12.7 Privacidade"]
N7["Fluxos de backup"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX034"]
Desenho lógico
flowchart LR
N0["12.1 Mapeando os fluxos"]
N1["12.2 Pontos de registro"]
N2["12.3 Delimitando o roubo de dados"]
N3["12.4 Achados"]
N4["12.5 Caminhos sem registro"]
N5["12.6 Relatório"]
N6["12.7 Privacidade"]
N7["Fluxos de backup"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX034"]
[12.1 Mapeando os fluxos]
|
v
[12.2 Pontos de registro]
|
v
[12.3 Delimitando o roubo de dados]
|
v
[12.4 Achados]
|
v
[12.5 Caminhos sem registro]
|
v
[12.6 Relatório]
|
v
[12.7 Privacidade]
|
v
[Fluxos de backup]
|
v
[Exemplo resolvido] --> [Exercício EX034]
Objetivos de aprendizagem
Você vai (1) mapear os fluxos de dados entre os sistemas da prefeitura; (2) identificar onde os fluxos são registrados; (3) usar os fluxos para delimitar um possível roubo de dados; (4) perceber caminhos sem registro.
12.1 Mapeando os fluxos
Jonah desenha os fluxos: desktops dos atendentes → servidor da aplicação de alvarás → banco de dados de alvarás; banco de dados → backup noturno → armazenamento externo; desktops → proxy → internet; funcionários → VPN → sistemas internos. Desenhar o mapa forçou perguntas que ninguém tinha feito: o desktop de um atendente consegue alcançar o banco de dados diretamente, ou só pela aplicação? A cópia de backup vai para algum lugar além do armazenamento externo? Jonah marca cada seta com o protocolo e com a informação de se ela é registrada, e pede aos responsáveis pelos sistemas que confirmem o mapa, porque os fluxos supostos a partir da documentação costumam estar incompletos.
12.2 Pontos de registro
A aplicação de alvarás registra as consultas por usuário; o banco de dados registra as conexões; o proxy registra o tráfego web; o firewall registra todas as conexões com a internet; os backups são registrados pelo sistema de backup. Cada ponto de registro guarda coisas diferentes, por períodos diferentes. A aplicação registra qual usuário executou qual exportação; o banco de dados registra as conexões, mas não qual relatório; o firewall registra o volume e o destino, mas não o conteúdo. Jonah lista a retenção de cada um ao lado do fluxo, porque um ponto de registro que guarda dados por uma semana é inútil para um incidente descoberto um mês depois.
12.3 Delimitando o roubo de dados
Se dados dos moradores saíram, eles teriam percorrido um fluxo até a internet. Os logs do firewall e do proxy na borda mostrariam o volume e o destino. Em Alder Falls, a borda de internet é o ponto estreito pelo qual todo fluxo de saída precisa passar, exceto os caminhos que evitam a rede por completo. É por isso que os logs do firewall e do proxy foram solicitados cedo. Uma transferência que não aparece ali ou não aconteceu pela rede, ou usou um caminho que o mapa ainda não captou.
12.4 Achados
A partir de 10.20.4.12, o firewall mostra uma transferência de 600 MB para um serviço externo de compartilhamento de arquivos às 08:40. A aplicação de alvarás mostra que o usuário conectado nesse mesmo desktop exportou um grande relatório de moradores às 08:31 — mas, segundo o RH, esse usuário estava de férias naquele dia. Juntos, esses registros formam uma sequência que merece investigação: uma exportação às 08:31 por uma conta cujo titular estava de férias e, nove minutos depois, uma transferência de tamanho semelhante a partir do mesmo desktop. Jonah relata os horários e as fontes e deixa a interpretação para Renata, observando que o registro de férias do RH é ele próprio uma fonte que deve ser confirmada.
12.5 Caminhos sem registro
A cópia para USB a partir dos desktops não é registrada de forma central. Jonah a lista como um caminho que não pode ser descartado. Listar o caminho importa porque, do contrário, a ausência de um registro no firewall poderia ser lida como prova de que os dados não saíram. Jonah escreve que a cópia para USB a partir do desktop de origem é possível e não registrada, por isso não pode ser nem confirmada nem excluída com base nos registros centrais. O exame do próprio desktop pode mostrar depois registros de conexão de dispositivos. Jonah acrescenta o registro de USB à lista de prontidão.
12.6 Relatório
Os mapas de fluxo com os pontos de registro vão para o arquivo do caso. O mapa deste caso mostra cada fluxo, seus pontos de registro, a retenção e o que foi encontrado em cada ponto. Um revisor vê de imediato que os logs da borda sustentam a transferência, que os logs da aplicação sustentam a exportação e que o caminho por USB não tem evidência central. O mapa torna as lacunas tão visíveis quanto os achados. Jonah data o mapa e lista quem confirmou cada fluxo, para que os leitores posteriores saibam até que ponto confiar nele. Os mapas de casos anteriores também são guardados; compará-los mostra como os fluxos da prefeitura mudaram.
12.7 Privacidade
O conteúdo do relatório exportado é examinado apenas na medida necessária para determinar quais dados pessoais estavam envolvidos. Para a exportação de mfoster, isso significa confirmar quais campos o relatório continha, como nomes, endereços e dados de pagamento, e quantos moradores estavam incluídos, sem ler registros individuais além do necessário. O encarregado de proteção de dados precisa desses fatos para decidir sobre a notificação; os investigadores não precisam percorrer os dados dos moradores para fornecê-los. O acesso à cópia do relatório exportado fica restrito às pessoas que precisam dela, e cada acesso é registrado.
Fluxos de backup
Os backups copiam o banco de dados de alvarás toda noite para o armazenamento externo. Jonah verifica nos logs de backup se houve restaurações ou exportações incomuns, já que os atacantes às vezes levam dados dos backups em vez dos sistemas em produção. Não aparece nenhuma, e ele registra que a verificação foi feita e como.
Exemplo resolvido
A linha da tabela de fluxos de Jonah: "Desktop 10.20.4.12 → aplicação de alvarás (exportação às 08:31, conta mfoster) → disco local → firewall → serviço de compartilhamento de arquivos (600 MB, 08:40)." Renata observa que mfoster estava de férias e que a conta pode ter sido usada por outra pessoa, uma pergunta para os logs do controlador de domínio.
Caso sintético. Os fluxos são inventados.
Erros e limites
A coincidência de volumes sugere, mas não prova, que o relatório exportado é o que saiu; o conteúdo pode ser outro.
Exercícios
- EX034 — Evidência na borda. Quais logs mostram dados saindo para a internet? Rubrica: 3 = firewall e proxy na borda; 2 = um; 1 = vago; 0 = nada.
- EX035 — A questão de mfoster. Por que a exportação de mfoster é suspeita? Rubrica: 3 = conta usada enquanto o titular estava de férias; possível uso indevido; 2 = parcial; 1 = arquivo grande; 0 = nada.
- EX036 — Caminho sem registro. Qual caminho não pode ser descartado, e por quê? Rubrica: 3 = cópia para USB, sem registro central; 2 = parcial; 1 = vago; 0 = nada.
Síntese
Os mapas de fluxo mostram para onde os dados podem ir e onde existe — ou não — evidência desse movimento.
Continue estudando — capítulo 12 de 30
← Capítulo 11 (rascunho) · Índice de capítulos do curso · Capítulo 13 (rascunho) →