Follow TCP Stream: Como reconstruir uma conversa suspeita
Follow TCP Stream é realizado mapeando o Flow, tempos, protocolos, DNS/TLS/HTTP e a sua relação com o ativo. Um único Packet ou conexão é uma evidência parcial, por isso é construída uma sequência e validada com fontes adicionais.
O tráfego de rede fornece uma perspetiva que não depende apenas do terminal. Permite identificar quem falou com quem, com que protocolo, em que ordem e em que volume, mas requer uma compreensão dos limites da visibilidade e da criptografia. Este artigo foca-se em Follow TCP Stream e destina-se a analistas SOC iniciantes. O objetivo é fornecer uma metodologia que possa ser aplicada em exercícios, em entrevistas profissionais e em ambientes de trabalho, sem se contentar com uma definição de dicionário.
O principal desafio é que os dados são quase sempre parciais. Os cinco componentes do Flow, tempo de início, duração e volume, nome DNS e metadados TLS podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construiremos a investigação em torno de uma questão de investigação, evidências necessárias e um critério claro para a conclusão.
O cenário prático no artigo é: reconstrução de um pedido HTTP em laboratório. Todos os exemplos são dados de laboratório ou descrições de processos. Ao lidar com Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com aprovação explícita, Scope definido e capacidade de parar a investigação.
