OpenCyber AcademyMapa da aula
Aula 09 publicada. Mapa, exemplo, EX025.
flowchart TD
N0["9.1 Registrando evidências"]
N1["9.2 Observação e conclusão"]
N2["9.3 Denominadores"]
N3["9.4 Incerteza"]
N4["9.5 Cadeia de custódia num local pequeno"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX025"]
Desenho lógico
flowchart LR
N0["9.1 Registrando evidências"]
N1["9.2 Observação e conclusão"]
N2["9.3 Denominadores"]
N3["9.4 Incerteza"]
N4["9.5 Cadeia de custódia num local pequeno"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX025"]
[9.1 Registrando evidências]
|
v
[9.2 Observação e conclusão]
|
v
[9.3 Denominadores]
|
v
[9.4 Incerteza]
|
v
[9.5 Cadeia de custódia num local pequeno]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX025]
Objetivos de aprendizagem
Você vai (1) coletar evidências com carimbos de tempo, fontes e hashes; (2) separar o que você viu do que você concluiu; (3) contar com denominadores; e (4) apresentar uma medição com a sua incerteza.
9.1 Registrando evidências
Para cada observação, registre: o que foi observado, onde, quando (com a fonte do relógio), por quem e como. Para arquivos exportados, acrescente um hash SHA-256, calculado com hashlib.sha256(open(path, "rb").read()).hexdigest(), para que qualquer pessoa possa confirmar que o arquivo não mudou. A entrada E-014 de Priya é o modelo: carimbo de tempo 2026-03-03 10:22, com o relógio do laptop sincronizado por NTP, o nome dela, a configuração do firewall exportada pela interface web do FW-1 como fw1-0303.txt e um hash SHA-256 registrado junto com o arquivo. O hash, que começa com 9c1e…, permite que qualquer pessoa confirme depois que o arquivo não mudou desde aquela entrada.
9.2 Observação e conclusão
"A regra 9 permite qualquer origem para TCP 502 em 10.20.0.0/24 (exportação do firewall de 3 de março, hash registrado)" é uma observação. "Um ransomware do escritório poderia alcançar os CLPs" é uma conclusão. As duas pertencem a um relatório, identificadas. Os leitores confiam em relatórios que deixam essa linha visível. A entrada E-014 de Priya mantém as duas em linhas separadas: a observação de que a regra 9 permite qualquer origem para TCP 502 em 10.20.0.0/24 e, numa linha própria, a conclusão de que hosts do escritório conseguem alcançar as portas Modbus dos CLPs. Um leitor que discorde da conclusão ainda pode confiar na observação, e pode conferi-la com a exportação que tem hash.
9.3 Denominadores
"Cinco registradores têm certificados expirados" significa pouco sem "de 40". "Duas de 11 contas pertencem a ex-funcionários" é mais claro que "existem algumas contas de quem saiu". Porcentagens sem contagens escondem amostras pequenas. Na NCS, os denominadores vêm das próprias tabelas de Priya: 2 contas de ex-funcionários de 11 contas da HMI, 1 certificado de registrador expirado dos 4 que o laboratório do Capítulo 22 verifica, 2 fluxos não aprovados das 5 conversas vistas. Cada contagem diz ao leitor tanto o tamanho do problema quanto o tamanho do que foi verificado. Um relatório que dissesse "algumas contas pertencem a quem saiu" convidaria o leitor a adivinhar se isso significava 2 ou 20.
9.4 Incerteza
Se você verificou 10 de 40 registradores e encontrou 2 com senhas padrão, a taxa da frota é incerta. Diga: "2 de 10 amostrados; os 30 restantes ainda não verificados." Evite extrapolar "20 % da frota", a menos que a amostra tenha sido aleatória e você declare a incerteza. Na NCS, a resposta do fornecedor de que cada registrador tem uma senha única impressa na etiqueta é uma afirmação sobre todos os 40; uma amostra de 10 verificados na bancada a testa. Se os 10 corresponderem à afirmação, escreva "10 de 10 amostrados a atenderam; 30 não verificados", e não "a frota atende à 5.1".
Exemplo resolvido (NCS sintética)
A entrada do registro de evidências de Priya: "E-014, 2026-03-03 10:22 (relógio do laptop sincronizado por NTP), Priya Nair, configuração do firewall exportada pela interface web do FW-1, arquivo fw1-0303.txt, SHA-256 começando com 9c1e…, observação: a regra 9 permite any → 10.20.0.0/24 TCP 502; conclusão (linha separada): hosts do escritório conseguem alcançar as portas Modbus dos CLPs."
Caso sintético — Northgate Cold Storage. Os IDs de evidência e os hashes são inventados.
9.5 Cadeia de custódia num local pequeno
Locais pequenos raramente têm armários de evidências. Um mínimo prático na NCS é uma pasta criptografada por investigação, uma cópia somente leitura de cada exportação original e um registro de custódia que lista cada transferência: quem entregou o quê a quem, quando e por quê. Se o caso depois for para uma seguradora ou para a polícia, é esse registro que mostra que a evidência não foi alterada entre o firewall e o relatório. Guarde o registro junto com a evidência, e não no e-mail de alguém. A exportação E-014 de Priya é a primeira entrada de um registro desse tipo.
Erros e limites
Os relógios dos dispositivos derivam; anote de qual relógio veio um carimbo de tempo. Um hash prova que um arquivo não mudou desde o cálculo do hash, e não que o seu conteúdo era verdadeiro.
Exercícios
- EX025 — Observação ou conclusão? Classifique: (a) "a HMI-C tinha um serviço de compartilhamento de área de trabalho rodando às 14:05"; (b) "a empresa contratada o estava usando".
Mostrar critérios de avaliação
Rubrica: 3 = observação, conclusão; 2 = com raciocínio fraco; 1 = invertido; 0 = nada. - EX026 — Reescrevendo com um denominador. Reescreva "vários registradores precisam de certificados novos".
Mostrar critérios de avaliação
Rubrica: 3 = contagem sobre o total, com data; 2 = só a contagem; 1 = só porcentagem; 0 = nada. - EX027 — Reportando uma amostra parcial. Escreva a frase que reporta 2 registradores com senha padrão entre 10 verificados.
Mostrar critérios de avaliação
Rubrica: 3 = 2 de 10 amostrados, 30 não verificados, sem extrapolação; 2 = parcial; 1 = "20 % da frota"; 0 = nada.
Síntese
A evidência se torna confiável quando tem carimbo de tempo e hash, é contada contra um denominador e é mantida separada da interpretação.