Capítulo 26 — Perícia digital e análise de malware: passagem operacional
Mapa da aula
Aula 26 publicada. Mapa, exemplo, EX076.
flowchart TD
N0["26.1 Escopo da passagem"]
N1["26.2 Runbooks"]
N2["26.3 Responsabilidade"]
N3["26.4 Treinamento"]
N4["26.5 Suporte"]
N5["26.6 Aceite"]
N6["26.7 Problemas conhecidos"]
N7["Métricas depois da passagem"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX076"]
Desenho lógico
flowchart LR
N0["26.1 Escopo da passagem"]
N1["26.2 Runbooks"]
N2["26.3 Responsabilidade"]
N3["26.4 Treinamento"]
N4["26.5 Suporte"]
N5["26.6 Aceite"]
N6["26.7 Problemas conhecidos"]
N7["Métricas depois da passagem"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX076"]
[26.1 Escopo da passagem]
|
v
[26.2 Runbooks]
|
v
[26.3 Responsabilidade]
|
v
[26.4 Treinamento]
|
v
[26.5 Suporte]
|
v
[26.6 Aceite]
|
v
[26.7 Problemas conhecidos]
|
v
[Métricas depois da passagem]
|
v
[Exemplo resolvido] --> [Exercício EX076]
Objetivos de aprendizagem
Você vai (1) passar uma capacidade pericial à equipe de operações; (2) escrever runbooks e registros de responsabilidade; (3) treinar e avaliar operadores; (4) definir o suporte depois da passagem.
26.1 Escopo da passagem
O Kit de Triagem 2, a configuração de encaminhamento de logs, a tarefa noturna de integridade e os procedimentos do repositório de evidências passam da equipe de estudantes e de Renata para a equipe de operações de TI, que assume a responsabilidade do dia a dia. A equipe de estudantes e Renata construíram e operaram esses componentes durante o projeto; depois da passagem, a equipe de operações vai usá-los e mantê-los diariamente. O escopo lista exatamente o que passa e o que fica: Renata continua responsável pela análise e pelas decisões sobre os casos, enquanto as operações ficam com o kit, o pipeline, a tarefa de integridade e os procedimentos do repositório. Um limite claro impede que tarefas caiam no vão entre os dois grupos.
26.2 Runbooks
Cada runbook: finalidade, gatilho, passos, saídas esperadas, verificações, o que fazer em caso de falha, contatos. Escrito para alguém competente, mas sem familiaridade com a tarefa. Escrever para alguém competente, mas sem familiaridade, significa não usar atalhos que só o autor entende. Cada passo diz o que fazer, o que deve acontecer e como perceber se não aconteceu. A orientação para falhas é a que mais importa, porque é nesse momento que o operador está sob pressão. O ensaio mostrou que o runbook da tarefa de integridade não tinha exatamente esse detalhe no passo da divergência. Cada runbook traz uma versão e uma data de revisão.
26.3 Responsabilidade
Responsáveis nomeados para a manutenção do kit, o pipeline de logs, a tarefa de integridade e o repositório de evidências, com substitutos. Cada componente tem um responsável principal e um substituto, nomeados no documento de passagem e no inventário. Os responsáveis mantêm seu componente funcionando, revisam seus logs e aprovam as mudanças. Sem responsáveis nomeados, uma tarefa de integridade que falha ou um pendrive de kit desatualizado é preocupação de todos e, portanto, tarefa de ninguém. O substituto garante a cobertura durante férias ou doença. As trocas de responsável são registradas no inventário no mesmo dia, e quem sai informa quem entra sobre as pendências em aberto.
26.4 Treinamento
Os operadores fazem uma execução supervisionada de cada runbook em máquinas sintéticas; Renata atesta a competência. Uma execução supervisionada em máquinas sintéticas mostra se um operador consegue seguir o runbook sem ajuda, e não apenas se o leu. Renata observa, anota onde os operadores hesitam ou se desviam e só atesta a competência quando cada runbook é concluído corretamente. As hesitações muitas vezes revelam um texto pouco claro, que é corrigido no runbook em vez de explicado de viva voz. Os registros de treinamento listam cada operador, cada runbook e a data do atestado, e execuções de reciclagem são agendadas duas vezes por ano.
26.5 Suporte
Por três meses, a equipe de estudantes responde às dúvidas; depois disso, Renata é o ponto de escalonamento. O período de três meses cobre os primeiros usos reais, quando as dúvidas são mais prováveis. As perguntas e as respostas são registradas e, quando úteis, acrescentadas aos runbooks, para que o conhecimento dure mais que a participação dos estudantes. Depois do período, Renata é o único ponto de escalonamento, o que mantém o suporte previsível e evita que os operadores dependam de estudantes que já seguiram adiante. As dúvidas que revelam uma lacuna num runbook são corrigidas no próprio runbook em até uma semana.
26.6 Aceite
As operações aceitam a passagem quando os runbooks passam por um ensaio e todos os operadores estão treinados. O aceite é um teste, não uma data. Se um runbook falha no ensaio ou um operador não foi treinado, a passagem espera. Registrar o aceite no documento de passagem, assinado pelos dois lados, deixa claro a partir de que momento as operações respondem pelos componentes e a quem perguntar quando algo der errado. Qualquer condição não cumprida é listada com uma data, e o aceite é revisto quando ela é cumprida, em vez de ser assinado com promessas anexadas.
26.7 Problemas conhecidos
Os problemas em aberto (oito desktops antigos, registro de USB) são passados adiante numa lista, com responsáveis. Passar adiante os problemas conhecidos de forma aberta evita que os novos responsáveis os descubram no meio de um incidente. Cada problema da lista tem um responsável, uma ação planejada e uma data, e a lista é revisada na reunião mensal de serviços. Os problemas encerrados depois da passagem são marcados com a evidência do encerramento, como um desktop substituído que agora encaminha seus logs. Nada do que se sabe fica fora da lista, mesmo que pareça pequeno.
Métricas depois da passagem
As operações relatam todo mês: verificações do kit feitas, resultados da tarefa de integridade, fontes de log que estão enviando, exercícios realizados. Renata revisa os números e faz uma visita trimestral para observar um exercício. Um número em queda provoca uma conversa, e não uma culpa, e os motivos são registrados ao lado dos números, para que qualquer pessoa que revise a capacidade entenda as tendências depois.
Documento de passagem
Um único documento de passagem lista os componentes, os responsáveis, os runbooks, os registros de treinamento, os problemas em aberto e os arranjos de suporte, assinado pelos dois lados.
Exemplo resolvido
Durante o ensaio, um operador segue o runbook da tarefa de integridade e chega a "investigar a divergência" sem saber o que fazer. A equipe detalha esse passo: verificar o estado do backup, comparar com o manifesto, restaurar a partir do backup de gravação única, avisar Renata, registrar as ações.
Caso sintético. A passagem é inventada.
Erros e limites
As passagens falham quando o conhecimento fica na cabeça das pessoas; teste os runbooks com pessoas que não os escreveram.
Exercícios
- EX076 — Partes de um runbook. Liste as partes de um runbook. Rubrica: 3 = finalidade, gatilho, passos, saídas, verificações, ação em caso de falha, contatos; 2 = quatro; 1 = duas; 0 = nada.
- EX077 — Lacuna no ensaio. Que lacuna o ensaio revelou, e como foi corrigida? Rubrica: 3 = passo vago da divergência; detalhado com ações específicas; 2 = parcial; 1 = vago; 0 = nada.
- EX078 — Critérios de aceite. Quando as operações aceitam a passagem? Rubrica: 3 = os runbooks passam no ensaio; operadores treinados; 2 = um; 1 = uma data; 0 = nada.
Síntese
Uma passagem limpa transfere runbooks, responsáveis, treinamento e problemas conhecidos — testados por pessoas que não os escreveram.
Continue estudando — capítulo 26 de 30
← Capítulo 25 (rascunho) · Índice de capítulos do curso · Capítulo 27 (rascunho) →