Perícia forense de rede e memória

Network forensics captura e analisa o tráfego de rede para reconstruir as comunicações do Attacker, identificar movimentações laterais e Detectar a exfiltração de dados. Diferentemente da perícia em endpoints, que examina evidências que podem ter sido adulteradas em um host comprometido, as evidências de rede são mais difíceis de alterar posteriormente — os Attackers não podem excluir retroativamente pacotes já capturados por um sensor de rede ou por um sistema de monitoramento de fluxo. Network forensics complementa a perícia em endpoints para fornecer uma visão completa do ataque.

Captura de pacotes (PCAP) registra todo o tráfego de rede no nível dos pacotes, incluindo o conteúdo completo da carga útil. As ferramentas incluem o Wireshark (baseado em GUI e amplamente utilizado), o tcpdump (de linha de comando e programável por scripts) e o Zeek (anteriormente Bro, produz Logs no nível do protocolo a partir de PCAP). A captura completa de pacotes exige muito armazenamento; redes de alta velocidade podem exigir dispositivos de captura desenvolvidos especificamente para essa finalidade. A análise de PCAP pode revelar: credenciais em protocolos de texto simples, padrões de sinalização de C2, dados exfiltrados e conexões de movimentação lateral.

NetFlow (e seu equivalente de código aberto IPFIX) registra metadados sobre conversas de rede sem capturar o conteúdo da carga útil: IP de origem/destino, porta de origem/destino, protocolo, quantidade de bytes, quantidade de pacotes e marcas de tempo. NetFlow é muito mais eficiente em termos de armazenamento do que o PCAP completo e é adequado para retenção de longo prazo (90 a 365 dias). Durante a perícia, NetFlow pode identificar: quais sistemas se comunicaram durante o intervalo do incidente, exfiltração de dados (grandes quantidades de bytes enviados para fora) e sinalização de C2 (conexões pequenas e regulares com IPs externos).

Logs de consultas DNS são uma fonte forense poderosa porque a maioria das comunicações de C2 e dos downloads de malware exige resolução de DNS. Indicadores de atividade maliciosa de DNS incluem: consultas a domínios recém-registrados ou de baixa reputação, grande volume de consultas a um único domínio (malware DGA tentando vários nomes gerados), tunelamento de DNS (nomes de subdomínio excepcionalmente longos ou com alta entropia usados para exfiltrar dados) e consultas a domínios associados a famílias de malware conhecidas. O DNS costuma ser registrado mesmo quando a inspeção do tráfego HTTP é limitada.

Os canais de Comando e Controle (C2) entre servidores controlados pelo Attacker e sistemas comprometidos apresentam padrões característicos. A sinalização produz conexões periódicas regulares (por exemplo, a cada 30 segundos) que podem ser identificadas no NetFlow como muitos pacotes pequenos enviados ao mesmo IP externo em intervalos regulares. O jitter adiciona aleatoriedade aos intervalos de sinalização para evitar a detecção. Os analistas procuram regularidade estatística no momento das conexões para identificar a sinalização em meio ao ruído do tráfego normal da web.

Perícia de memória analisa despejos de RAM para extrair evidências de atividade maliciosa que podem não estar presentes no disco. O Volatility Framework (de código aberto) é a ferramenta padrão do setor para análise de memória. Principais recursos: listar processos em execução e suas relações pai-filho, identificar código injetado em processos legítimos, extrair conexões de rede abertas no momento da aquisição, recuperar o conteúdo de colmeias do registro a partir da memória e extrair chaves de criptografia mantidas na RAM.

Malware na memória apresenta padrões específicos que os plug-ins do Volatility identificam. A injeção de processos (código injetado em um processo legítimo como svchost.exe) aparece como regiões de memória com permissões de execução em um processo que normalmente não as teria. Processos ocos (estruturas de processos legítimos cujo código original foi substituído por código malicioso) apresentam inconsistências entre o nome do processo e o código efetivamente presente na memória. Rootkits de kernel podem ocultar processos da lista de processos, mas o Volatility pode Detectá-los comparando a lista de processos em execução com a lista bruta de estruturas de processos do kernel.

A perícia de memória é especialmente eficaz para recuperar credenciais. O Windows armazena credenciais na memória do processo LSASS (Serviço do Subsistema da Autoridade de Segurança Local) para fins de logon único. Ferramentas como o Mimikatz exploram esse mecanismo lendo a memória do LSASS para extrair senhas em texto simples e hashes NTLM. Do ponto de vista forense, o Volatility pode extrair as mesmas informações de um despejo de memória obtido para investigação — revelando quais credenciais estavam armazenadas em cache no sistema comprometido, o que ajuda a determinar o escopo da possível movimentação lateral.

A análise forense mais poderosa combina evidências de rede e memória. A memória mostra quais processos estavam em execução e que código continham; a perícia de rede mostra com o que esses processos se comunicaram. Quando um processo visível na análise de memória do Volatility tem uma conexão de rede visível no PCAP, conecta-se a um domínio sinalizado nos Logs de DNS e corresponde a um IP externo no NetFlow, essa convergência fornece atribuição de alta confiança da atividade maliciosa e sustenta uma narrativa completa do ataque.

Marcas de tempo precisas são essenciais para correlacionar evidências forenses de rede e de endpoints. Se o relógio de um servidor estiver adiantado ou atrasado 15 minutos em relação ao relógio do firewall, correlacionar eventos pelas marcas de tempo produzirá cronologias falsas. A confiabilidade das evidências de perícia de rede depende da sincronização de horário dos dispositivos que geram os Logs. As organizações devem configurar o NTP (Network Time Protocol) de forma consistente em todos os dispositivos relevantes para a segurança e documentar quaisquer discrepâncias de horário conhecidas descobertas durante uma investigação.

A maioria das comunicações modernas de C2 utiliza criptografia TLS, impedindo que os analistas de perícia de rede leiam diretamente o conteúdo da carga útil. No entanto, mesmo o tráfego criptografado revela metadados: padrões de tempo das conexões (sinalização), anomalias em certificados (certificados autoassinados da infraestrutura do Attacker, campos CN incompatíveis), impressões digitais JA3 (identificação da impressão digital do cliente TLS, capaz de identificar famílias específicas de malware independentemente do destino) e características incomuns do handshake TLS. Ferramentas como o Zeek extraem automaticamente impressões digitais JA3 das conexões TLS, permitindo Detectar malware conhecido sem descriptografar o tráfego.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) apresentados nesta lição.

Nesta lição, você aprendeu que: as capturas de pacotes e o NetFlow fornecem evidências de rede complementares — o PCAP mostra o conteúdo completo, enquanto o NetFlow mostra metadados em escala; a sinalização de C2 aparece como conexões periódicas regulares, Detectáveis por meio da análise estatística do momento das conexões; e o Volatility Framework analisa despejos de RAM para Detectar injeção de processos, extrair conexões de rede e identificar malware oculto em processos legítimos. Parabéns por concluir os módulos de perícia — a seguir, gerenciamento de Risk e estruturas de segurança.