Análise de Dados de Conexões em Rede Corporativa sob Suspeita de Exfiltração

O perito deve: 1) correlacionar logs de firewall, DNS e proxy para identificar o padrão de tráfego: volume, periodicidade, destinos e horários. O aumento de 300% fora do horário habitual é indicativo, mas pode ser backup atrasado. Verificar se o IP 203.0.113.45 é conhecido ou recém-registrado, e se há outros servidores enviando para o mesmo destino. 2) Analisar consultas DNS: domínios recém-registrados e padrões de consultas longas e aleatórias sugerem DNS tunneling; usar ferramentas como dnscat2 ou iodine para detectar. 3) No dump de memória, buscar artefatos de injeção de processo (ex.: svchost.exe com conexão ativa é suspeito, pois svchost não costuma fazer conexões externas diretas). Verificar assinatura digital: pode ser binário legítimo sequestrado por DLL side-loading ou processo injetado. Usar Volatility para listar processos, conexões, DLLs e memória injetada. 4) Verificar se o dump foi coletado de forma forense (com ferramenta que preserve a integridade, hash). 5) Analisar o conteúdo dos pacotes, se disponível, para identificar dados exfiltrados (ex.: arquivos compactados, credenciais). 6) Comparar com a linha de base: se o backup noturno ocorre normalmente, verificar se o volume e destino correspondem ao esperado. 7) Verificar logs de autenticação e de sistema para identificar acesso não autorizado. A conclusão deve ser baseada em evidências correlacionadas, não em um único indício. O fato de o antivírus não detectar não descarta a exfiltração, pois pode ser técnica fileless.

O perito deve recomendar: 1) Isolar o servidor da rede (desconectar cabo ou bloquear portas no switch) sem desligá-lo, para preservar a memória volátil. 2) Coletar evidências voláteis antes de qualquer desligamento: memória RAM (já coletada), conexões ativas, processos, tabela de rotas, cache DNS, logs de eventos. 3) Criar imagem forense do disco do servidor com ferramenta que gere hash (ex.: dd, FTK Imager) e manter a original lacrada. 4) Preservar logs de firewall, DNS e proxy em mídia separada, com hash e cadeia de custódia. 5) Analisar o dump de memória em ambiente controlado, com ferramentas atualizadas. 6) Verificar se outros servidores foram comprometidos (movimento lateral) e se há backdoors. 7) Comunicar a incidente à alta direção e, se necessário, às autoridades (LGPD, crimes cibernéticos). 8) Revisar políticas de backup e segmentação de rede; implementar monitoramento de DNS e de tráfego de saída. 9) Não confiar apenas no antivírus; usar EDR e análise comportamental. 10) Documentar todas as ações com horário e responsável, mantendo a cadeia de custódia. A resposta deve equilibrar a necessidade de conter o incidente com a preservação de evidências, pois desligar o servidor pode perder dados voláteis essenciais. A análise do dump de 16 GB em servidor de 32 GB é viável, mas pode conter fragmentos; é importante usar ferramentas que reconstruam a memória. A assinatura digital do svchost.exe não garante legitimidade, pois pode ser processo legítimo com DLL maliciosa carregada.