Capítulo 30 — Avaliação do projeto final

Capítulo 30 — Avaliação do projeto final

Mapa da aula

Aula 30 publicada. Mapa, exemplo, EX088.

flowchart TD
  N0["30.1 Banca de avaliação"]
  N1["30.2 Defesa do projeto"]
  N2["30.3 Impacto"]
  N3["30.5 Perguntas"]
  N4["30.6 Próximos passos para a prefeitura"]
  N5["30.7 Próximos passos para Jonah"]
  N6["Retorno da banca"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX088"]

Desenho lógico

flowchart LR
  N0["30.1 Banca de avaliação"]
  N1["30.2 Defesa do projeto"]
  N2["30.3 Impacto"]
  N3["30.5 Perguntas"]
  N4["30.6 Próximos passos para a prefeitura"]
  N5["30.7 Próximos passos para Jonah"]
  N6["Retorno da banca"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX088"]

[30.1 Banca de avaliação]
    |
    v
[30.2 Defesa do projeto]
    |
    v
[30.3 Impacto]
    |
    v
[30.5 Perguntas]
    |
    v
[30.6 Próximos passos para a prefeitura]
    |
    v
[30.7 Próximos passos para Jonah]
    |
    v
[Retorno da banca]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX088]

Objetivos de aprendizagem

Você vai (1) apresentar o projeto final para avaliação; (2) defender as escolhas de projeto; (3) avaliar o impacto com honestidade; (4) planejar os próximos passos para a prefeitura e para você.

30.1 Banca de avaliação

O orientador do curso, Renata e o gerente de TI. Jonah apresenta por quinze minutos e demonstra o kit numa máquina sintética. A banca combina os olhares acadêmico, técnico e de gestão: o orientador avalia os objetivos de aprendizagem, Renata avalia a qualidade pericial, e o gerente de TI avalia a utilidade para a prefeitura. Uma demonstração ao vivo numa máquina sintética mostra o kit funcionando, em vez de apenas descrito. Cada membro da banca pontua segundo uma rubrica compartilhada com antecedência, para que Jonah saiba o que será julgado. A rubrica é publicada com os materiais do curso.

30.2 Defesa do projeto

"Por que só a biblioteca padrão?" Menos dependências para validar e instalar em máquinas sensíveis. "Por que não comprar uma plataforma comercial?" Orçamento, e a prefeitura precisava primeiro de processos e registros; o pacote é compatível com uma plataforma futura. Boas defesas dão motivos ligados à situação da prefeitura, e não preferências gerais. A escolha da biblioteca padrão decorre da necessidade de validar tudo o que roda em máquinas de evidência; a decisão de não comprar uma plataforma decorre do orçamento e do fato de que faltavam processos e registros, que nenhum produto forneceria. Jonah também diz o que o faria mudar de ideia.

30.3 Impacto

Antes: nenhum encaminhamento de logs dos desktops, logs da aplicação por 30 dias, 1 de 8 funcionários treinados, cerca de 2 horas até a captura de memória. Depois: 94% dos desktops encaminhando, retenção de 12 meses, 8 de 8 treinados, 31 minutos no teste de ponta a ponta. Cada número pode ser rastreado até a avaliação e o teste de ponta a ponta. Jonah observa que o tempo do antes veio de um incidente real e o do depois, de um teste, então a comparação favorece o novo processo. Ele também usa o número de encaminhamento só dos desktops, 94 por cento, e não o número combinado, seguindo o conselho do revisor do condado.

30.4 Limites honestos

Atividade de USB ainda sem registro; oito desktops aguardando substituição; exercícios mais rápidos que incidentes reais. Declarar os limites antes que a banca pergunte mostra que a avaliação é honesta. Cada limite está ligado a uma ação planejada: o registro de USB à lista de prontidão, os desktops antigos à substituição, e a ressalva sobre o tempo dos exercícios à sugestão da banca de medir incidentes reais. Limites sem ações deixariam a prefeitura sabendo dos riscos, mas sem geri-los. Jonah também nomeia os limites do seu próprio papel: ele construiu e testou o pacote, mas não o operou num incidente real.

30.5 Perguntas

"O que você faria se o repositório de evidências falhasse?" Restauraria a partir do backup de gravação única e verificaria com os manifestos; o runbook existe e foi testado uma vez. A resposta é crível porque o runbook existe e foi testado, mas Jonah observa que ele foi testado só uma vez, por isso a prefeitura deve repetir o teste depois de qualquer mudança nos backups ou no armazenamento. Outras perguntas poderiam tratar dos desktops antigos ou do provedor de pagamentos; Jonah prepara as respostas a partir da avaliação e da lista de problemas conhecidos, em vez de improvisar.

30.6 Próximos passos para a prefeitura

Substituir os desktops antigos; revisar o contrato com o provedor de pagamentos; realizar um exercício conjunto com o condado. Cada passo fecha uma lacuna conhecida: substituir os desktops antigos traz seus logs para o encaminhamento, revisar o contrato de pagamentos trata da retenção de 30 dias, e um exercício conjunto com o condado testa a coordenação para além da prefeitura. Os responsáveis e as datas vêm da lista de problemas conhecidos, então os próximos passos já estão sendo acompanhados, e não apenas recomendados. Renata fica responsável pelo exercício conjunto e define a data com o condado antes do encerramento da banca.

30.7 Próximos passos para Jonah

Ele se candidata a uma vaga de analista e planeja continuar os estudos. O estágio e o projeto final lhe dão evidências de competência prática: um kit que ele construiu, um estudo que conduziu e um incidente real que apoiou sob supervisão. Seu log de reflexão mostra como sua prática mudou, desde pausar uma varredura de antivírus na primeira semana até desenhar os procedimentos que outros agora seguem. Ele tem em mente o acordo de confidencialidade do estágio ao descrever esse trabalho a empregadores. Renata aceita ser sua referência.

Retorno da banca

A principal sugestão da banca é medir os tempos de incidentes reais ao longo do próximo ano e compará-los com os tempos dos exercícios, para ver o quanto os exercícios são mais rápidos que a realidade. Jonah acrescenta isso aos próximos passos da prefeitura, com Renata como responsável, e registra os outros comentários da banca no arquivo do projeto final, com suas respostas.

Exemplo resolvido

O gerente de TI pede uma frase para a câmara municipal. Jonah: "Depois do incidente de maio, a prefeitura agora consegue detectar, preservar e delimitar um ataque semelhante em menos de uma hora, com registros que resistiriam a uma revisão; restam duas lacunas, e elas estão agendadas."

Caso sintético. A avaliação é inventada.

Erros e limites

A avaliação capta o momento; a capacidade se degrada sem prática e manutenção.

Exercícios

• EX088 — Biblioteca padrão. Como Jonah justificou os scripts com a biblioteca padrão? Rubrica: 3 = menos dependências para validar/instalar em máquinas sensíveis; 2 = parcial; 1 = mais barato; 0 = nada.
• EX089 — Números de impacto. Dê dois números de antes e depois. Rubrica: 3 = p. ex., 0%→94% de encaminhamento dos desktops; 30 dias→12 meses; 2 = um; 1 = vago; 0 = nada.
• EX090 — Frase para a câmara. O que torna boa a frase para a câmara municipal? Rubrica: 3 = simples, capacidade específica, menciona as lacunas restantes; 2 = parcial; 1 = jargão; 0 = nada.

Síntese

Defenda os projetos com motivos, relate o impacto com números e limites e planeje a prática contínua.

Continue estudando — capítulo 30 de 30

← Capítulo 29 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →

Resoluções

Respostas-modelo para EX001–EX090. Jonah Pereira, Renata Silva, a Brookline Polytechnic, o CLERK-03 / PLAN-07 e todos os valores são sintéticos. As respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.

EX001. Reiniciar a máquina, rodar uma varredura de antivírus e reinstalar a imagem do sistema (instalar atualizações ou limpar arquivos temporários também valem).

EX002. Parar o trabalho, anotar o que se vê e o horário, isolar a máquina da rede se houver instrução para isso e chamar a analista de segurança antes de mudar qualquer coisa.

EX003. Ela fotografou a tela, registrou o horário, mandou desconectar o cabo de rede e providenciou a captura da memória.

EX004. Os endereços são reatribuídos ao longo do tempo, por isso é o log do DHCP que liga um endereço IP a um dispositivo específico num momento específico.

EX005. Ele consultou o log de concessões do DHCP, que mostrou que o CLERK-03 teve o 10.20.4.37 das 07:55 às 15:55.

EX006. Quando um dispositivo usa endereço estático, quando os endereços são falsificados ou quando faltam os logs do DHCP.

EX007. Modo de leitura binária ("rb"), para que nada seja gravado e nenhuma tradução de quebra de linha ou de codificação altere os bytes lidos.

EX008. Os erros passam despercebidos, e resultados incompletos são tratados como completos.

EX009. Ele registrou "permission denied" com o caminho, continuou com os demais arquivos e imprimiu os totais: 211 listados e 1 erro.

EX010. Três falhas de logon, dois logons bem-sucedidos e uma instalação de serviço; o primeiro sucesso depois das falhas ocorreu às 08:02:40 UTC.

EX011. Falhas seguidas de sucesso e de uma mudança no sistema são compatíveis com adivinhação de senha seguida de uso indevido, mas um usuário digitando errado também poderia produzir falhas, por isso é preciso mais evidência.

EX012. Para que eventos de ferramentas diferentes possam ser combinados e comparados num único modelo consistente.

EX013. Logons malsucedidos repetidos seguidos de um sucesso no alvo, com o endereço de origem visível nos logs de rede.

EX014. Os serviços podem ser configurados para iniciar automaticamente, então o programa voltaria a rodar a cada reinicialização.

EX015. Comunicá-lo à central de serviços na categoria de segurança, sem encaminhar o arquivo nem tentar abri-lo ou testá-lo.

EX016. O C:/ProgramData/upd/helper.exe foi acrescentado, e o C:/Windows/System32/svc.exe foi alterado.

EX017. Atualizações legítimas também alteram arquivos de sistema, então descartar uma atualização torna a mudança mais suspeita.

EX018. Eles capturam o estado do disco e da memória sem executar nada dentro do sistema convidado.

EX019. Quem a descobre numa máquina consegue fazer logon como administrador em todas as máquinas que a compartilham.

EX020. Os logons de contas locais são registrados apenas no log da própria máquina, a menos que os logs sejam encaminhados a um ponto central.

EX021. Ele veio pela rede a partir de outro desktop, o 10.20.4.12, então essa máquina também precisa ser investigada.

EX022. Todo desktop alcança a porta de área de trabalho remota de todos os outros, então uma máquina comprometida pode ser usada para fazer logon nas demais.

EX023. Os eventos de segurança dos desktops existiam apenas em cada desktop, onde um intruso poderia apagá-los ou a rotação poderia sobrescrevê-los.

EX024. Bloquear a área de trabalho remota entre desktops, encaminhar os logs de segurança dos desktops a um ponto central e trocar as senhas de administrador local por valores únicos.

EX025. z = 0,8 para 5 falhas (sem alerta), 3,8 para 9 e 28,4 para 41; as horas com 9 e 41 geram alerta.

EX026. Um funcionário tentando uma senha expirada, o que mostra que um alerta identifica atividade incomum, e não sua causa.

EX027. As contagens de logon não seguem uma distribuição normal e são distorcidas por eventos como os dias de expiração de senha, então o limiar é uma regra conveniente, e não uma probabilidade precisa.

EX028. Os tecnólogos preservam a evidência, coletam sob instrução, constroem ferramentas e mantêm a prontidão; os examinadores interpretam a evidência e redigem as conclusões.

EX029. Como o acesso começou, o que fazem os arquivos novos e alterados, quais outras máquinas foram afetadas e se dados foram levados.

EX030. Foram colocados num arquivo compactado protegido por senha, com seus hashes registrados, e entregues ao analista externo de malware.

EX031. Ele registra a evidência de autenticação de todo o domínio, então informa todas as partes da investigação.

EX032. O CLERK-03 tem acesso ao banco de dados de alvarás, que guarda dados pessoais e de pagamento dos moradores que podem ter sido acessados.

EX033. Um servidor do planejamento sem correções e fora do inventário; ele o acrescentou, e o servidor foi verificado como parte da investigação.

EX034. Os logs do firewall e do proxy na borda de internet.

EX035. A exportação rodou sob a conta de mfoster num dia em que os registros do RH mostram que mfoster estava de férias, o que sugere que outra pessoa usou a conta.

EX036. A cópia para dispositivos USB, porque a atividade de USB nos desktops não é registrada de forma central.

EX037. Logs de segurança dos desktops que mostrem os tipos e as origens de logon, logs internos do firewall entre os segmentos e a memória das máquinas de origem e de destino.

EX038. A aplicação de alvarás guardava os logs de exportação por apenas 30 dias; a retenção foi ampliada para 12 meses, com encaminhamento a um ponto central.

EX039. Nenhuma lista prevê todos os ataques, então um cenário genérico justifica um registro amplo de logs, que ajuda diante das surpresas.

EX040. Primeiro a captura de memória, depois os processos e as conexões extraídos dela, depois os logs principais e as hives do registro e, por fim, uma imagem completa do disco, se autorizada.

EX041. Os comandos exatos, os horários de início e fim, a versão da ferramenta e o número de série do pendrive de coleta.

EX042. O desktop tinha uma sessão ativa sob mfoster, embora mfoster estivesse de férias.

EX043. Ele produz um único valor que representa a coleta inteira, então qualquer mudança em qualquer arquivo ou entrada pode ser detectada.

EX044. O antivírus da estação de trabalho do analista pôs em quarentena e modificou a cópia dele; o original no repositório de evidências continuava conferindo com o manifesto.

EX045. Fazer cada cópia para análise de novo a partir do repositório de evidências, em máquinas nas quais as pastas de evidência estejam excluídas da varredura do antivírus.

EX046. Alguém usou fisicamente a conta de mfoster no PLAN-07; um malware deu controle remoto do PLAN-07; ou o próprio mfoster agiu, apesar do registro de férias.

EX047. A memória mostrou o helper.exe em execução com uma conexão de saída, os logs de acesso ao prédio não mostraram nenhuma entrada no escritório, e o RH confirmou que mfoster estava no exterior.

EX048. Ele primeiro supôs um login pela VPN, conferiu e viu que era um login no console, e depois sinalizou que podia ser uma sessão já existente retomada remotamente.

EX049. Pode ser validada, é documentada, funciona offline e produz saída verificável, como hashes e logs (suporte e licença também valem).

EX050. O pendrive é protegido contra escrita, traz uma lista de checksums de suas ferramentas, e uma segunda cópia é guardada fora do local.

EX051. O script de manifesto teria deixado de fora uma pasta no novo layout de saída; o teste encontrou isso, e o script foi corrigido antes da implantação.

EX052. Senhas de administrador local únicas e gerenciadas, uma regra de firewall de host que bloqueia o RDP entre desktops e alertas sobre exportações grandes de alvarás (lista de aplicações permitidas e retenção mais longa também valem).

EX053. As imagens e as capturas de memória precisam estar preservadas e verificadas, e a analista de segurança precisa dar sua aprovação.

EX054. Foi acrescentada uma exceção apenas para o servidor de salto do suporte, e a regra foi testada de novo.

EX055. Quatro: três alertas de força bruta no CLERK-03 agrupados a partir das 08:01, um alerta de serviço novo no CLERK-03, uma força bruta separada no CLERK-03 às 08:30 e uma força bruta no GIS-01 às 08:31.

EX056. Os alertas e os eventos brutos são a evidência e precisam ficar inalterados; o agrupamento é só uma visão para a triagem.

EX057. Um alerta de força bruta no GIS-01 que tinha se perdido na enxurrada; sua origem era o PLAN-07, o que estende o escopo afetado ao servidor de GIS.

EX058. A regex original casou 2 de 3 linhas; a corrigida casou as 3.

EX059. Uma atualização de software no meio do dia fez o log passar a usar carimbos de tempo com milissegundos.

EX060. O analisador agora conta e imprime as linhas não casadas, e foi acrescentado um teste com formatos de carimbo de tempo mistos.

EX061. "Isto pode ser um incidente de segurança?" — se sim, a analista de segurança precisa ser chamada antes de qualquer remediação.

EX062. O provedor do portal de pagamentos hospedado guarda os logs de acesso por apenas 30 dias.

EX063. Para que os auditores e os futuros funcionários vejam qual incidente ou problema cada mudança de controle pretendia tratar.

EX064. Automatizar a criação de manifestos, que é repetitiva e sujeita a erro; deixar as decisões de reconstrução com as pessoas, porque exigem autoridade e julgamento.

EX065. Executá-lo de novo sobre os mesmos arquivos dá exatamente o mesmo hash de manifesto e nunca duplica nem modifica a evidência.

EX066. O programa de planilhas de uma colega regravou o arquivo com outras quebras de linha; o original foi restaurado a partir do backup, e a pasta passou a ser somente leitura, exceto para a custodiante.

EX067. O encaminhamento dos logs dos desktops subiu de 0% para 94% (132 de 140 desktops); o primeiro relatório dava 95%, número que juntava servidores e desktops.

EX068. Combiná-los escondia a cobertura mais fraca dos desktops; os servidores estavam em 100% e os desktops em 94%.

EX069. Num exercício, as pessoas estão preparadas e as condições são calmas, então os incidentes reais costumam levar mais tempo.

EX070. O tempo para identificar todos os desktops de teste afetados, quantos foram identificados corretamente e a confiança dos analistas.

EX071. Sem encaminhamento: 2 horas e 10 minutos e 4 de 5 desktops encontrados. Com encaminhamento: 25 minutos e os 5 encontrados.

EX072. A equipe aprendeu o cenário na primeira rodada, o que poderia acelerar a segunda; sortear a ordem entre duas equipes controlaria esse efeito.

EX073. Scripts de manifesto e verificação; procedimentos e treinamento; validação das ferramentas; repositório de evidências e registros de custódia.

EX074. A equipe validou a versão da ferramenta citada no procedimento, registrou os resultados e atualizou os dois documentos juntos.

EX075. Para que funcionários que não são de segurança, respondendo à noite, pudessem seguir os passos essenciais sem o manual completo.

EX076. Finalidade, gatilho, passos, saídas esperadas, verificações, ações em caso de falha e contatos.

EX077. O passo "investigar a divergência" era vago demais; foi detalhado em verificar o estado do backup, comparar com o manifesto, restaurar a partir do backup, avisar Renata e registrar as ações.

EX078. Quando todos os runbooks passam num ensaio e todos os operadores foram treinados e tiveram a competência atestada.

EX079. Ela usa contas de teste e arquivos sintéticos plantados para os testes, nunca dados de funcionários ou de moradores.

EX080. A triagem deixou de fora um caminho de log porque o modelo antigo rodava outra versão do sistema operacional; o procedimento ganhou uma nota, e a substituição do modelo foi agendada.

EX081. Um pendrive do almoxarifado tinha sido reformatado e recarregado com uma versão mais antiga; ele foi substituído a partir da matriz e guardado num envelope lacrado, com seu hash escrito no lacre.

EX082. Um fornecedor instalou uma atualização do software de mapas durante a noite, e o registro de mudança foi aberto com atraso.

EX083. As mudanças dos fornecedores precisam ser registradas antes do trabalho, para que os analistas possam conferir rapidamente os alertas com elas.

EX084. Renata percebeu na revisão; o número de série foi acrescentado a partir do registro do kit, com uma nota de que era uma entrada tardia, e agora Jonah lê a lista de verificação em voz alta.

EX085. Refinamentos do Kit de Triagem 2, um registro de fontes de log, a tarefa noturna de integridade e os runbooks de coleta em incidentes (a biblioteca de cenários também vale).

EX086. Seis minutos do alerta à ligação para a analista e 31 minutos para capturar a memória dos dois desktops de teste.

EX087. A nova regra do proxy o bloqueou, produzindo um log de conexão bloqueada — evidência tanto da tentativa quanto de que o controle funciona.

EX088. Menos dependências significam menos coisas a validar e nada a mais para instalar em máquinas sensíveis.

EX089. O encaminhamento dos logs dos desktops foi de 0% para 94%, e a retenção dos logs da aplicação, de 30 dias para 12 meses.

EX090. Ela é simples, afirma uma capacidade concreta com um prazo e menciona com honestidade que restam duas lacunas, já agendadas.