Capítulo 16 — Arquitetura de segurança

Mapa da aula

Aula 16 publicada. Mapa, exemplo, EX046.

flowchart TD
  N0["16.1 Defesas em camadas"]
  N1["16.2 Papéis humanos"]
  N2["16.3 Tolerar o erro"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX046"]

Desenho lógico

flowchart LR
  N0["16.1 Defesas em camadas"]
  N1["16.2 Papéis humanos"]
  N2["16.3 Tolerar o erro"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX046"]

[16.1 Defesas em camadas]
    |
    v
[16.2 Papéis humanos]
    |
    v
[16.3 Tolerar o erro]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX046]

Objetivos de aprendizagem

Você vai (1) descrever defesas em camadas; (2) situar os papéis humanos dentro de uma arquitetura; (3) projetar para que um único erro humano não seja catastrófico.

16.1 Defesas em camadas

A arquitetura de segurança organiza os controles de modo que várias camadas protejam cada ativo. No banco de dados de usuários da Ashcombe, as camadas incluem filtragem de e-mail, autenticação com segundo fator, direitos de acesso limitados, monitoramento e backups. Nenhuma camada é perfeita, mas juntas reduzem a chance de que uma única falha leve a um dano. Saltzer e Schroeder (1975) descreveram princípios como o menor privilégio e a aceitabilidade psicológica, que significa que a proteção deve ser fácil de usar corretamente. Nadia percebe que esses princípios ligam a arquitetura diretamente aos fatores humanos.

16.2 Papéis humanos

Nadia marca onde as pessoas atuam dentro da arquitetura: os funcionários decidem se abrem e-mails, os gestores aprovam acessos, o pessoal de TI revisa alertas e os usuários escolhem senhas para as contas online. Cada papel humano é ao mesmo tempo uma fraqueza potencial e uma força potencial. Funcionários que reportam e-mails suspeitos atuam como sensores que detectam ataques que os filtros deixam passar. Ela rotula cada papel com o apoio de que precisa, como ferramentas claras, treinamento ou tempo. Uma arquitetura que ignora os papéis humanos supõe que as pessoas se comportarão de forma perfeita, o que nunca acontece na prática.

16.3 Tolerar o erro

Nadia projeta a arquitetura da Ashcombe para que um único erro não leve ao desastre. Se um funcionário digitar a senha num site falso, o segundo fator bloqueia o atacante. Se alguém abrir um malware, os direitos limitados impedem que ele se espalhe e os backups permitem a recuperação. Se alguém enviar dados de usuários ao endereço errado, os alertas sobre exportações em massa ajudam a detectar o problema. Ela chama isso de tolerar o erro, o que reflete a visão de que as pessoas às vezes vão errar, de modo que os sistemas devem absorver os erros, em vez de depender da perfeição.

Exemplo resolvido

Nadia organiza defesas em camadas, mapeia os papéis humanos e projeta a arquitetura para tolerar erros individuais.

Caso sintético. A arquitetura é sintética; Saltzer e Schroeder (1975) é real.

Erros e limites

As camadas acrescentam custo e complexidade. Os alertas precisam de pessoas para responder a eles.

Exercícios

• EX046 — Princípio da aceitabilidade. O que significa aceitabilidade psicológica?
  Mostrar critérios de avaliação

  Rubrica: 3 = a proteção deve ser fácil de usar corretamente;; 2 = usabilidade;; 1 = vago;; 0 = nenhuma.
• EX047 — Funcionários como sensores. Como os funcionários podem fortalecer a arquitetura?
  Mostrar critérios de avaliação

  Rubrica: 3 = reportando ataques que os filtros deixam passar;; 2 = sensores;; 1 = vago;; 0 = nenhuma.
• EX048 — Defesa contra site falso. O que bloqueia um atacante depois que uma senha é digitada num site falso?
  Mostrar critérios de avaliação

  Rubrica: 3 = o segundo fator;; 2 = fator;; 1 = backups;; 0 = nenhuma.

Síntese

A arquitetura em camadas posiciona as pessoas de forma deliberada e absorve os seus erros inevitáveis.