O Papel do First Responder

Um first responder é a primeira pessoa a responder a um incidente. Entendamos que responder significa uma ação qualificada, e não simplesmente ligar para um determinado número dizendo que as luzes estão apagadas ou todas acesas. Essa pessoa é apenas a primeira a identificar o incidente, e não a primeira a responder

Em um incidente de segurança, o first responder vive dois dilemas:

1) Recuperar o ambiente o quanto antes ou preservar as evidências

2) Manter o dispositivo ligado e preservar as evidências da memória mais volátil ou desligar e garantir que nenhuma alteração será feita nas memórias mais persistentes (Ex: HD)

Se por um lado o first responder deve estar próxima e disponível para responder rapidamente a um incidente (e por esse motivo normalmente não é a pessoa mais qualificada da corporação), por outro lado ele deve estar preparado para lidar conter o incidente identificando-o e preservando a cena do crime, assim como as evidências, mesmo as encontradas na memória volátil.

O first responder prepara o caminho para o investigador, que estabelece a cadeia de custodia, investiga a cena do crime e preserva a integridade da evidência. Este por sua vez é sucedido pelo técnico, que preserva a evidência volátil, duplica disco, desliga, rotula, embala e registra os equipamentos para transporte, além de posteriormente processar a evidência. Essas são funções (roles) que podem se acumular em uma mesma pessoa ou ser desempenhadas por pessoas diferentes, de acordo com o tamanho e disponibilidade da equipe.

Os first responders nunca devem ultrapassar suas qualificações, ou seja, as pessoas que entrarem em contato com as evidências nunca devem tentar explorar o conteúdo ou recuperar informações de um computador se não forem preparadas para tal, sob pena de destruir ou inutilizar juridicamente as evidências. Se esse for o caso, é importante que não se pressione nenhum botão, tecla ou movimente o mouse. Apenas uma pessoa com o conhecimento adequado poderá operar o dispositivo eletrônico com um risco menor de comprometer as informações existentes no mesmo.

Historicamente, a bibliografia forense nos aponta uma grande quantidade de utilitários que podem ser utilizados no momento em que o equipamento se encontra ainda ligado (live response). Encontramos utilitários para detectar conexões, processos de memória, módulos de kernel, etc. Mas temos que admitir que além de lento e complexo, esse processo é vulnerável à ação de rootkits, que podem prejudicar a saída dos comandos. Para piorar, os procedimentos de ˜Live response” não são reproduzíveis em corte.

Na maioria dos casos, o melhor caminho seria treinar o pessoal de TI (normalmente os primeiros a atender um incidente) para que realizem um despejo de memória, e documentem o hash do arquivo gerado. Esse procedimento é mais simples rápido e salva todas informações na memória volátil, liberando o equipamento para ser desligado, e consequentemente recuperado mais rapidamente (assim que a memória persistente for salva).

Uma vez que temos uma imagem persistente, podemos utilizar ferramentas de “Memory analysis”, que trazem as mesmas informações possíveis de ser coletadas em um Live response, mas com a vantagem de não termos a interferencia do sistema operacional comprometido e de ser um procedimento facilmente reproduzível em corte.

As vantagens da “Memory analysis” sobre o “Live response” serão alvo de um novo artigo em breve.