Às 14:32:18Z de 12/10/2026, o servidor Ubuntu ir-lab-ubuntu24 aceitou um login inesperado para a conta ops. O invasor não precisou alterar um programa nem quebrar a criptografia, visto que a conta ops já tinha acesso a arquivos que deveriam pertencer apenas a socalyst ou root. A questão que nos cabe, como defensores, é concreta: quais caminhos no sistema de arquivos permitem que uma conta leia, altere ou acesse algo que não deveria?
Todas as observações subsequentes baseiam-se nos mesmos fatos do caso. A conta do analista é socalyst, a conta suspeita é ops e o intervalo de tempo do incidente vai das 14:10:00Z às 15:10:00Z de 12/10/2026. O Linux armazena o nome do servidor em /etc/hostname, os registros de contas locais em /etc/passwd, os hashes de senha protegidos em /etc/shadow e os arquivos de cada conta em caminhos como /home/socalyst e /home/ops. Um caminho não é apenas uma localização; sua propriedade e suas permissões determinam quem pode utilizar o objeto ali localizado. O host do caso e os caminhos de suas evidências estabelecem os limites que iremos inspecionar:
Este diagrama mostra que registros de identidade, configuração do host, diretórios pessoais (home directories) e evidências de autenticação residem em caminhos distintos. Uma constatação sobre /home/ops não prova automaticamente que /etc/shadow foi alterado; portanto, mantemos cada afirmação vinculada ao artefato que a sustenta.
O login inesperado como ops torna as permissões o próximo ponto a ser verificado, pois o Linux avalia o acesso antes que um processo possa ler um arquivo, alterá-lo ou entrar em um diretório. Um usuário é uma conta, como socalyst ou ops. Um grupo é uma coleção nomeada de contas que podem compartilhar acesso, como o grupo shadow, usado para limitar o acesso a registros de hashes de senha.
Cada objeto do sistema de arquivos possui um proprietário, um grupo e três conjuntos de permissões. As permissões do proprietário aplicam-se à conta proprietária, as permissões do grupo aplicam-se aos membros do grupo designado e as permissões para “outros” aplicam-se a todos os demais. Os bits são r para leitura de conteúdo, w para alteração de conteúdo e x para execução de um programa ou entrada em um diretório. Para /home/ops, a permissão de diretório x controla se outra conta pode percorrer o caminho de acesso a esse diretório.
O contraste entre /etc/hostname e /etc/shadow torna visível a decisão de segurança. Processos precisam ler o nome do host (hostname), portanto, /etc/hostname é normalmente legível por todas as contas, enquanto apenas componentes privilegiados do sistema devem ler os hashes de senha em /etc/shadow. O acesso com permissão de escrita para todos (world-writable), o que significa que o conjunto de permissões para “outros” inclui w, permitiria que qualquer conta local alterasse um objeto protegido. Um arquivo /etc/shadow com permissão de leitura para todos (world-readable) exporia os hashes de senha a tentativas de descoberta offline. Os padrões esperados para os caminhos analisados facilitam a identificação de desvios suspeitos:
Esta tabela mostra que as configurações de permissão dependem da finalidade do caminho. Informações de identidade e nome de host (hostname) com leitura pública podem dar suporte à operação normal do sistema, mas o acesso de escrita permanece restrito, pois registros de identidade ou configurações de host alterados podem induzir ao erro em investigações posteriores.
Regra de permissão Considere um modo de permissão como evidência de acesso permitido, e não como evidência de que o acesso realmente ocorreu. Logs e carimbos de data/hora (timestamps) são necessários para fundamentar uma afirmação sobre uma ação.
Como as permissões descrevem o acesso atual em vez da intenção, primeiro preservamos fatos observáveis sobre o ir-lab-ubuntu24. Os comandos hostnamectl, id, ls -l, stat e readlink -f respondem a perguntas diferentes sem modificar os arquivos examinados. O hostnamectl informa a identidade do host configurada. id ops e id socalyst resolvem a identidade numérica e o pertencimento a grupos de cada conta. Essas identidades numéricas são importantes porque o Linux armazena a propriedade como IDs de usuário e grupo, mesmo quando a saída do comando exibe nomes familiares.
Para os caminhos /etc/hostname, /etc/passwd e /etc/shadow, o ls -l fornece uma visão compacta dos bits de permissão, proprietário, grupo, tamanho e um carimbo de data/hora exibido. O stat relata metadados mais precisos, incluindo o modo numérico e a hora de modificação. O readlink -f resolve um caminho até seu destino final, o que impede que um link simbólico — um objeto do sistema de arquivos que aponta para outro local — oculte a localização que realmente inspecionamos. A sessão a seguir registra os fatos do caso sem afirmar o motivo da existência de qualquer carimbo de data/hora ou permissão: