Roteiro de atividades

Sessão de aprendizagem 7

Linha de tempo e

reconstrução do ataque

Atividade 1 – Determinando a linha do

tempoMuitas ferramentas foram instaladas no sistema durante a ação

dos invasores. Vimos na sessão 5 que existia um arquivo TAR

que não havia sido apagado, mas movido de diretório. O

arquivo chama-se /data/ compromised/s.tgz.

Com um colega, tente identificar na linha de tempo

informações que confirmem se os arquivo e ferramentas foram

utilizados efetivamente pelos invasores.

Lembre-se de que quando um arquivo é executado, o seu

tempo de acesso é modificado. Quando ele é criado, o

comando fls mostra mudanças nos tempos de acesso e

modificação de status do arquivo ao mesmo tempo.

Faça um relatório com suas conclusões.

Atividade 2 – Identificando os eventos

No material do aluno existe uma tabela Excel chamada

timeline.xls, com todos os eventos encontrados na

sessão 4 e sessões anteriores a ela, cadastrados de

acordo com sua data de ocorrência. Complete esta

tabela com as informações coletadas por você e seu

colega nos exercícios das três sessões anteriores e

nos resultados do exercício anterior.

Após montar a tabela, apresente o resultado aos

colegas de turma. Lembre-se de fornecer evidências

que comprovem as atividades identificadas e

catalogadas.