Questão de Segurança da Informação — Análise de Código Malicioso — INSTITUTO AOCP 2023

Análise de código malicioso: sandboxing

Gabarito: letra B. A técnica mais adequada para observar um ataque em andamento, entendendo os objetivos do atacante sem causar danos ao ambiente de produção, é o sandboxing — um ambiente isolado e controlado onde o código malicioso é executado e monitorado com segurança. As demais alternativas (VLAN, packet sniffing, OLP e eavesdropping) não oferecem essa combinação de isolamento e observação comportamental.

O sandboxing é uma técnica de análise dinâmica de malware. Diferentemente da análise estática, que examina o código sem executá-lo (engenharia reversa), a análise dinâmica executa o malware em um ambiente controlado e isolado — o sandbox — e observa seu comportamento: quais arquivos ele cria, quais conexões de rede estabelece, quais chaves de registro modifica, quais processos inicia. O objetivo é entender a funcionalidade maliciosa e os objetivos do atacante (exfiltração de dados, persistência, comunicação com C2) sem que o sistema real seja comprometido.

A essência do sandboxing está no isolamento: o malware é executado em uma máquina virtual ou ambiente simulado, com acesso restrito a recursos e à rede. Isso permite que o analista observe o ataque "ao vivo", coletando indicadores de comprometimento (IOCs), sem que o ambiente de produção seja afetado. É exatamente o que o enunciado pede: "observá-lo para entender os objetivos do atacante para só então erradicá-lo seguramente".

A distinção crucial é entre observar passivamente e isolar para executar com segurança. Técnicas como packet sniffing e eavesdropping apenas capturam tráfego de rede — são passivas e não permitem executar o malware para ver seu comportamento completo. O sandboxing, por outro lado, é uma técnica ativa e isolada: o código malicioso é executado, mas em um ambiente que não pode causar danos reais. É essa combinação de execução + isolamento que a questão exige.

A pegadinha da banca está em confundir o candidato com técnicas de captura de tráfego (packet sniffing, eavesdropping) e de segmentação de rede (VLAN), que são úteis em outros contextos, mas não permitem a execução controlada do malware para análise comportamental. O sandboxing é a única alternativa que oferece um ambiente seguro para "deixar o ataque acontecer" e estudá-lo.

Alternativa A — ❌ Incorreta

VLAN (Virtual Local Area Network) é uma técnica de segmentação lógica de rede, que divide uma rede física em domínios de broadcast menores. Ela é usada para isolar tráfego e melhorar segurança/desempenho, mas não é uma técnica de análise de malware. Não permite observar o comportamento de um código malicioso em execução — apenas segmenta o tráfego de rede. O erro está em confundir isolamento de rede com isolamento de execução.

Alternativa B — ✅ Correta ⟵ GABARITO

Sandboxing é a técnica de executar código suspeito em um ambiente isolado e controlado (máquina virtual, container ou emulador) para observar seu comportamento sem riscos ao ambiente real. É a abordagem padrão para análise dinâmica de malware: o código malicioso é executado, e o analista monitora suas ações (arquivos criados, conexões de rede, processos, alterações no sistema) para entender os objetivos do atacante. Exatamente o que o enunciado descreve: "observá-lo para entender os objetivos do atacante para só então erradicá-lo seguramente".

Alternativa C — ❌ Incorreta

Packet sniffing é a captura e análise de pacotes de dados que trafegam em uma rede. É uma técnica passiva de monitoramento — observa o tráfego, mas não executa o malware nem permite analisar seu comportamento interno. Embora possa revelar comunicações do malware com servidores de comando e controle (C2), não oferece o isolamento necessário para "deixar o ataque acontecer" com segurança. O erro está em confundir monitoramento de rede com análise comportamental de código malicioso.

Alternativa D — ❌ Incorreta

OLP (provavelmente um distrator, possivelmente referindo-se a "One-Liner Program" ou um termo não padronizado) não é uma técnica reconhecida de análise de malware. Não há definição canônica de OLP no contexto de segurança da informação que se relacione com observação de ataques. É uma alternativa claramente incorreta, sem relação com o cenário apresentado.

Alternativa E — ❌ Incorreta

Eavesdropping (escuta clandestina) é a interceptação não autorizada de comunicações, como escutar conversas ou capturar tráfego de rede. É uma técnica passiva de obtenção de informações, similar ao packet sniffing, mas não permite executar o malware em ambiente controlado para observar seu comportamento. O erro está em confundir interceptação de comunicação com análise isolada de código malicioso.

Gabarito: letra B — sandboxing é a única técnica que combina execução controlada e isolamento para observar o comportamento do malware sem riscos ao ambiente de produção.