Capítulo 14 — Perícia digital e análise de malware: métodos I
Mapa da aula
Aula 14 publicada. Mapa, exemplo, EX040.
flowchart TD
N0["14.1 Ordem de coleta"]
N1["14.2 Pegada das ferramentas"]
N2["14.3 Verificação"]
N3["14.4 Custódia"]
N4["14.5 Isolamento de rede"]
N5["14.6 Comunicação"]
N6["14.7 Depois da coleta"]
N7["Coleta remota"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX040"]
Desenho lógico
flowchart LR
N0["14.1 Ordem de coleta"]
N1["14.2 Pegada das ferramentas"]
N2["14.3 Verificação"]
N3["14.4 Custódia"]
N4["14.5 Isolamento de rede"]
N5["14.6 Comunicação"]
N6["14.7 Depois da coleta"]
N7["Coleta remota"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX040"]
[14.1 Ordem de coleta]
|
v
[14.2 Pegada das ferramentas]
|
v
[14.3 Verificação]
|
v
[14.4 Custódia]
|
v
[14.5 Isolamento de rede]
|
v
[14.6 Comunicação]
|
v
[14.7 Depois da coleta]
|
v
[Coleta remota]
|
v
[Exemplo resolvido] --> [Exercício EX040]
Objetivos de aprendizagem
Você vai (1) coletar dados voláteis sob instrução; (2) seguir uma ordem de coleta documentada; (3) registrar a pegada das ferramentas; (4) verificar e entregar os dados coletados.
14.1 Ordem de coleta
A RFC 3227 orienta a ordem pela volatilidade. Para o CLERK-03 e o 10.20.4.12, o procedimento de Renata é: captura de memória; processos em execução e conexões de rede (a partir da captura); logs principais e hives do registro; e depois uma imagem completa do disco, se autorizada. A ordem reflete o que desaparece primeiro. A memória guarda programas em execução e conexões de rede que somem no desligamento; os logs e as hives do registro persistem, mas podem ser rotacionados ou alterados; uma imagem de disco é o registro mais completo e o mais lento de obter. No desktop de mfoster, a captura de memória mostrou depois o helper.exe em execução com uma conexão de saída, evidência que uma imagem de disco sozinha não teria fornecido.
14.2 Pegada das ferramentas
Executar qualquer ferramenta num sistema ligado o altera: a ferramenta é carregada na memória, pode gravar arquivos e cria entradas de log. A NIST SP 800-86 recomenda entender e documentar esses efeitos. Jonah executa as ferramentas de coleta a partir de um pendrive preparado e registra os comandos exatos e os horários de início e fim. Executar a partir de um pendrive preparado evita que as ferramentas sejam instaladas na máquina suspeita e permite verificar o pendrive antes e depois. A nota de Jonah lista o horário em que ele conectou o pendrive, cada comando, seu arquivo de saída e o horário em que terminou. Assim, um revisor consegue separar as mudanças causadas pela coleta das mudanças causadas pelo intruso.
14.3 Verificação
Cada arquivo de saída tem o hash calculado imediatamente no pendrive de coleta e de novo quando é copiado para o repositório de evidências. Calcular o hash no pendrive de coleta fixa o valor antes que o arquivo viaje; calculá-lo de novo no repositório de evidências mostra que a cópia é idêntica. Se o segundo valor for diferente, Jonah para e registra a divergência, em vez de copiar de novo em silêncio. Na captura de memória do desktop de mfoster, os dois valores bateram, e ambos foram registrados com os horários em que foram calculados. Uma divergência é comunicada a Renata antes de qualquer outra coisa.
14.4 Custódia
Os dados coletados recebem identificadores de item; os registros de custódia anotam quem coletou, quando e onde o item foi guardado. Jonah escreve a linha de custódia no momento da coleta, e não depois, de memória: identificador do item, descrição, hash, quem coletou, horário e local de armazenamento. Cada transferência posterior acrescenta uma linha. O registro permite a Renata mostrar quem estava com cada item em todos os momentos, o que importa se o caso levar a uma ação disciplinar ou à participação da polícia. O registro de custódia fica na pasta do caso com os hashes, e só a equipe do caso pode editá-lo. As correções são acrescentadas como linhas novas, e não pela alteração das antigas.
14.5 Isolamento de rede
As máquinas continuam isoladas durante a coleta, exceto quando se usa coleta remota por um canal controlado. O isolamento impede que um intruso envie novos comandos ou apague evidências enquanto a coleta acontece, mas também corta qualquer conexão que o malware estivesse fazendo, o que por si só é evidência. Esse é um dos motivos para capturar a memória primeiro. Se for usada coleta remota, o canal fica restrito ao servidor de coleta, e o método é registrado nas notas. Jonah anota o horário exato em que cada máquina foi isolada, por quem e como.
14.6 Comunicação
Jonah liga para Renata a cada etapa; ela registra o progresso. Ligar a cada etapa permite a Renata mudar os planos depressa, por exemplo acrescentando uma segunda captura se algo inesperado aparecer, e lhe dá um registro contemporâneo do progresso. Jonah relata os fatos como os vê, como a sessão de mfoster estar conectada, e deixa a interpretação para ela. Os dois mantêm suas notas, para que os dois registros possam ser comparados. No desktop de mfoster, as ligações marcaram o início da captura, o hash no pendrive e o hash correspondente no repositório. Ligações curtas e regulares também significam que, se Jonah for interrompido, Renata sabe exatamente onde a coleta parou.
14.7 Depois da coleta
As máquinas continuam isoladas até Renata liberá-las. Liberar uma máquina é uma decisão com consequências: depois de reconstruída, nada mais pode ser coletado dela. Renata só libera uma máquina depois que os dados coletados são verificados, o analista confirma que não precisa de mais nada e o responsável sabe o que vai acontecer. A liberação, com horário e motivo, é registrada nas notas do caso. Até lá, as máquinas ficam etiquetadas, para que ninguém as reconecte ou reutilize por engano. O CLERK-03 e o desktop de mfoster levaram uma etiqueta com o número do caso e o nome de Renata até que ela assinasse a liberação.
Coleta remota
Para locais distantes, o agente de endpoint da prefeitura pode coletar memória e arquivos pela rede. A coleta remota evita atrasos de deslocamento, mas acrescenta tráfego de rede e depende de o agente ser confiável. Jonah registra qual método foi usado em cada host e por quê, para que os revisores possam pesar essa troca.
Exemplo resolvido
No 10.20.4.12, a captura de memória de Jonah roda das 10:14 às 10:22. Ele anota o número de série do pendrive, a versão da ferramenta e o comando. O SHA-256 da captura é registrado no log de coleta e verificado de novo às 10:40, depois da cópia para o repositório de evidências: confere. O usuário do desktop, mfoster, está de férias; a máquina estava com logon sob mfoster no momento da coleta.
Caso sintético. A coleta é inventada.
Erros e limites
A coleta ao vivo captura um momento; a atividade anterior à captura pode ter sumido, e as ferramentas podem ser detectadas pelo malware.
Exercícios
- EX040 — Ordem de coleta. Apresente a ordem de coleta de Renata. Rubrica: 3 = memória, processos/conexões, logs/hives, disco; 2 = parcial; 1 = disco primeiro; 0 = nada.
- EX041 — Registro da pegada. O que Jonah registra sobre a pegada das ferramentas? Rubrica: 3 = comandos, horários, versão da ferramenta, número de série do pendrive; 2 = dois; 1 = um; 0 = nada.
- EX042 — mfoster conectado. Que fato notável apareceu na coleta? Rubrica: 3 = sessão com logon de mfoster enquanto ele estava de férias; 2 = parcial; 1 = vago; 0 = nada.
Síntese
Siga uma ordem baseada na volatilidade, registre sua pegada, calcule os hashes de imediato e mantenha a custódia.
Continue estudando — capítulo 14 de 30
← Capítulo 13 (rascunho) · Índice de capítulos do curso · Capítulo 15 (rascunho) →