Fundamentos e Ética

Ao concluir esta aula, você deverá conseguir explicar os conceitos com suas próprias palavras e relacioná-los a decisões concretas de segurança.

Neste projeto, vamos estudar keyloggers e segurança digital com foco em defesa. Você vai aprender a reconhecer comportamentos suspeitos, entender os riscos e pensar em como investigar sem colocar dados de ninguém em perigo. Não precisa conhecer Python para acompanhar esta aula.

Talvez você já tenha ouvido falar de programas que registram o que uma pessoa digita. Essa capacidade pode aparecer em contextos legítimos e autorizados de diagnóstico ou pesquisa, mas também pode ser abusada para obter senhas, mensagens e outras informações privadas.

A diferença não depende apenas do nome do programa. Precisamos considerar o contexto, a autorização, os dados observados, a forma de armazenamento e o destino das informações. Um programa pode parecer pequeno, mas o impacto de seus registros pode ser grande se eles contiverem dados confidenciais.

Você precisa ser especialista em Python?

Não. Não é necessário ser especialista para acompanhar esta primeira aula. Os termos técnicos serão explicados conforme aparecerem. O importante é ler com atenção, refletir sobre os exemplos e distinguir o que sabemos do que ainda precisaríamos investigar.

O ambiente de referência das atividades é Linux Mint 22.3 em uma máquina virtual, com Python 3 e Visual Studio Code. Na Aula 1, vamos preparar essa VM. Se você estiver usando outra versão do Mint ou outra distribuição Linux, as telas, os nomes das opções e alguns comandos podem variar. A Aula 0 não exige instalação nem execução de programas; a demonstração prática começa depois da preparação do laboratório.

Essa situação apresenta três etapas: coleta (anotar a informação), armazenamento (guardar a anotação) e transmissão (enviá-la a outro lugar). Imagine um bilhete com uma senha: anotá-la já cria risco; deixá-la numa mesa pode expô-la mesmo sem internet; enviá-la a alguém aumenta ainda mais o risco.

A palavra keylogger combina key (tecla) com logger (registrador). Em termos simples, é um mecanismo que registra teclas digitadas ou eventos de entrada do teclado. O termo pode descrever tanto um dispositivo físico quanto um programa.

Encontrar um programa que observa teclas não revela, sozinho, por que ele foi criado. Para avaliar a situação, pergunte: havia autorização? Que informação foi observada? Onde foi guardada? Quem pode acessá-la? Foi enviada para alguém? Essas respostas e as evidências ajudam a entender o risco.

3.1. Keylogger de hardware

Um keylogger de hardware é um dispositivo físico relacionado ao registro de entradas. Em uma inspeção autorizada, um técnico pode encontrar um adaptador desconhecido entre o teclado e o computador. Isso é motivo para verificar o objeto, mas não prova, por si só, que seja malicioso: adaptadores e acessórios podem ter outras finalidades legítimas.

Uma análise cuidadosa registra onde o dispositivo foi encontrado, identifica fabricante e modelo quando possível e consulta a documentação pertinente. Evite desconectar equipamentos críticos ou alterar uma estação de trabalho sem autorização e sem seguir o procedimento local.

3.2. Keylogger de software

Um keylogger de software é um programa ou componente que registra entradas por meio de recursos do sistema operacional ou de bibliotecas. Em uma investigação, o nome do executável não é suficiente. É preciso verificar o caminho, a origem, o editor ou assinatura quando disponível, as permissões, os arquivos relacionados e o comportamento observado.

Um aplicativo legítimo pode responder a teclas para oferecer atalhos dentro de sua própria interface. Isso é diferente de um processo desconhecido que observa entradas fora do contexto esperado ou envia registros a terceiros. A diferença deve ser estabelecida por evidências, não por suposição.

3.3. Termos essenciais

Evento: algo que acontece e que um programa pode perceber, como clicar num botão ou pressionar uma tecla. Pense numa campainha: o toque é o evento. Callback: é a função que o programa chama em resposta ao evento. Na comparação, a pessoa que atende representa a resposta; no programa, o callback é a função que realiza essa tarefa. Vamos estudar esse conceito com mais profundidade na Aula 2.

Log: registro de acontecimentos ou operações. Logs são comuns em software legítimo para diagnosticar erros. O risco depende, entre outras coisas, de que informação é registrada, quem pode acessá-la e por quanto tempo ela é mantida.

Exfiltração de dados: retirada ou envio de informações sem autorização. Uma analogia: é como alguém tirar documentos de um armário e levá-los sem permissão. Ver uma conexão de internet, por si só, não prova que isso ocorreu; é preciso investigar o que saiu, para onde foi e se havia autorização.

O registro de teclas é uma técnica conhecida em segurança da informação. O MITRE ATT&CK é um catálogo público que ajuda profissionais a dar nomes comuns a comportamentos observados em ataques. Nele, o registro de teclas aparece como uma técnica de captura de entradas, identificada pelo código T1056.001. Você não precisa decorar esse código; ele serve para localizar a referência.

Essa referência ajuda equipes técnicas a usar uma linguagem comum para descrever comportamentos. Ela também lembra que invasores podem tentar registrar teclas para obter credenciais digitadas por vítimas. Isso não significa que todo software que interage com o teclado seja malware; significa que a capacidade merece atenção quando aparece em um contexto suspeito.

Referência: MITRE ATT&CK — Input Capture: Keylogging.

4.1. Exemplo de análise defensiva

Imagine que uma equipe de suporte receba um alerta sobre um processo desconhecido. Uma boa investigação não começa apagando arquivos nem acusando alguém. Ela começa reunindo informações com cuidado e seguindo o plano da organização para investigar problemas de segurança (resposta a incidentes).

Esta Aula 0 não apresenta código: ela introduz as ideias e os riscos do projeto. Nas aulas práticas, vamos construir passo a passo uma demonstração didática de keylogger, visível durante a execução e limitada ao laboratório. Ela usará somente entradas de teste, terá início e encerramento claros e não coletará dados às escondidas nem enviará registros a terceiros.

A tabela a seguir resume partes mencionadas no projeto de estudo. Ela não é código nem um roteiro de execução. Você não precisa decorar os nomes; eles servem para reconhecer os assuntos que aparecerão nas próximas etapas.

5.1. Como pensar no fluxo

Em alto nível, um programa que trata entradas pode receber eventos, transformar ou organizar informações, gravar registros e, em alguns casos, transmitir dados. Esse modelo ajuda a formular perguntas sobre cada etapa sem precisar executar o programa.

Esse é um modelo conceitual para organizar perguntas, não uma descrição garantida do funcionamento do projeto. As aulas práticas vão demonstrar cada comportamento dentro do escopo combinado. A atividade de e-mail será separada e usará mensagens sintéticas; eventos e registros de teclado não serão enviados.

5.2. Por que observar cada componente separadamente?

Separar as partes ajuda a entender o que cada uma faz e quais riscos traz. Pense numa equipe que recebe um recado: uma pessoa anota, outra guarda e outra pode encaminhá-lo. No programa, um arquivo de registro pode expor informações mesmo sem internet; uma parte de envio pode levá-las a outro destino. Agendamento define quando uma tarefa começa. Execução concorrente permite que tarefas avancem no mesmo período, alternando ou trabalhando ao mesmo tempo, dependendo do sistema. A analogia ajuda a visualizar os papéis, mas o funcionamento real precisa ser confirmado no código.

Nas aulas seguintes, os conceitos práticos serão demonstrados por etapas, com atividade visível, autorização e testes controlados. A demonstração de teclado permitirá entender o registro de eventos e seus riscos. Componentes de outros temas da tabela, como e-mail, serão estudados separadamente com dados sintéticos.

Antes de estudar qualquer ferramenta capaz de registrar informações, precisamos estabelecer limites. A intenção de aprender segurança não elimina a responsabilidade de proteger a privacidade. Um laboratório educacional deve ser previsível, limitado, autorizado e documentado.

6.1. O que significa trabalhar com escopo?

O escopo é o limite combinado de uma atividade: o que pode ser feito e o que fica de fora. É parecido com as linhas de uma quadra durante um jogo. Antes de um teste, combine qual computador será usado, quais dados inventados serão digitados, o que será observado, por quanto tempo e como a atividade será encerrada.

Se o comportamento observado ultrapassar o escopo, não continue apenas para “ver o que acontece”. Interrompa a atividade, registre o ocorrido e procure orientação. Essa regra evita que um exercício pequeno se transforme em coleta não planejada.

6.2. Como serão conduzidas as práticas do projeto?

• As atividades ocorrerão em laboratório controlado, depois da preparação prevista na Aula 1.
• Serão usados dados sintéticos e entradas de teste sob controle explícito do aluno.
• A demonstração didática do projeto terá aviso visível, escopo claro, entradas de teste e início e fim controlados.
• Os exercícios não incluirão captura escondida, coleta indiscriminada nem envio automático de registros para terceiros.
• Para estudar e-mail, serão usadas mensagens sintéticas, um destino controlado ou simulação, sem dados de teclado.
• Para estudar concorrência e agendamento, serão usadas tarefas inofensivas e observáveis.

Esta seção é uma introdução educativa, não aconselhamento jurídico. A aplicação de uma lei depende dos fatos, das circunstâncias e da interpretação competente. O objetivo aqui é reconhecer por que privacidade, tratamento de dados e acesso autorizado importam.

7.1. LGPD — Lei Geral de Proteção de Dados Pessoais

A Lei nº 13.709/2018, conhecida como LGPD, estabelece regras para o uso de dados pessoais, inclusive na internet. Em termos simples, dado pessoal é uma informação que identifica alguém ou pode ajudar a identificá-lo. A lei também busca proteger direitos como liberdade e privacidade.

Dados digitados podem incluir dados pessoais ou informações confidenciais. Coletar, armazenar ou compartilhar esses registros exige atenção ao contexto, à finalidade e às regras aplicáveis. A LGPD não é uma resposta automática e isolada para todo cenário; é necessário analisar a situação concreta.

Fonte oficial: Lei nº 13.709/2018 — Presidência da República.

7.2. Legislação sobre delitos informáticos

A Lei nº 12.737/2012 alterou o Código Penal e tratou de delitos informáticos, incluindo disposições relacionadas à invasão de dispositivo informático. A aplicação dos dispositivos legais depende dos elementos específicos de cada caso. Não é correto concluir que qualquer programa de registro de teclas, por si só, configura automaticamente um crime.

O ponto de aprendizagem é que autorização, finalidade e modo de utilização importam. Se surgir uma dúvida jurídica real, procure orientação profissional qualificada; não use este resumo como base única para tomar decisões legais.

Fonte oficial: Lei nº 12.737/2012 — Presidência da República.

Responda com suas próprias palavras. Não é necessário escrever respostas longas: o objetivo é demonstrar que você compreendeu os conceitos e consegue aplicá-los ao cenário apresentado.

Responda às 10 questões, uma por vez. Selecione uma alternativa e confirme para receber feedback. O quiz mostra seu progresso e resultado final; você poderá refazê-lo para consolidar os conceitos.

Checklist pessoal

• Consigo explicar o que é um keylogger com minhas próprias palavras.
• Consigo diferenciar hardware e software sem presumir que todo caso é malicioso.
• Entendo por que coleta, armazenamento e transmissão são dimensões diferentes do risco.
• Consigo citar perguntas úteis para uma investigação defensiva.
• Entendo a importância de autorização, consentimento, minimização e transparência.
• Sei que a Aula 0 é conceitual e que a demonstração prática vem depois da preparação do laboratório.

Nesta aula, você construiu a base conceitual para estudar keyloggers com uma perspectiva defensiva. O ponto central não é apenas identificar uma técnica, mas perguntar quais dados podem ser expostos, quais evidências sustentam uma suspeita e quais limites devem orientar uma investigação.

Na próxima aula, Aula 1 — Preparando o Ambiente, vamos verificar as ferramentas, documentar o laboratório e estabelecer uma base organizada para as atividades seguintes. A preparação vem antes das demonstrações práticas.

Referências para consulta

1. MITRE ATT&CK — Input Capture: Keylogging (T1056.001)
   https://attack.mitre.org/techniques/T1056/001/
2. Presidência da República — Lei nº 13.709/2018 (LGPD)
   Consultar texto oficial
3. Presidência da República — Lei nº 12.737/2012
   Consultar texto oficial