Capítulo 22 — Configuração segura

Capítulo 22 — Configuração segura

Mapa da aula

Aula 22 publicada. Mapa, exemplo, EX064.

flowchart TD
  N0["22.1 Os riscos do padrão"]
  N1["22.2 Linhas de base"]
  N2["22.3 Conferindo"]
  N3["22.4 Controle de mudanças"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX064"]

Desenho lógico

flowchart LR
  N0["22.1 Os riscos do padrão"]
  N1["22.2 Linhas de base"]
  N2["22.3 Conferindo"]
  N3["22.4 Controle de mudanças"]
  N0 --> N1 --> N2 --> N3 --> Q["EX064"]

[22.1 Os riscos do padrão]
    |
    v
[22.2 Linhas de base]
    |
    v
[22.3 Conferindo]
    |
    v
[22.4 Controle de mudanças]
    |
    v
[Exemplo resolvido] --> [Exercício EX064]

Objetivos de aprendizagem

Você vai (1) explicar por que as configurações padrão são arriscadas; (2) aplicar linhas de base de configuração; (3) conferir as configurações regularmente.

22.1 Os riscos do padrão

Os sistemas chegam configurados para a conveniência. As senhas padrão, os serviços desnecessários e as configurações permissivas ajudam na instalação, mas também ajudam os atacantes. Aisha descobre que um roteador sintético de uma agência da Ashfield ainda usa a senha de administrador de fábrica, publicada no manual do fabricante. Qualquer pessoa na rede da agência poderia entrar e alterar suas configurações. Ela recomenda trocar todas as senhas padrão durante a instalação como um passo padrão, registrado na lista de verificação da instalação para que não possa ser pulado. O gerente de TI troca a senha do roteador na mesma tarde e confere os roteadores das outras agências.

22.2 Linhas de base

Uma linha de base de configuração lista as configurações seguras que todo sistema de um tipo deve ter. Aisha redige uma linha de base para os computadores de mesa da Ashfield: atualizações automáticas ativadas, cifração de disco habilitada, bloqueio de tela após cinco minutos, contas de usuário comuns para a equipe e software desnecessário removido. Ela a baseia em orientações publicadas e a adapta às necessidades da Ashfield. O Dr. Carrow observa que as linhas de base transformam o conhecimento de segurança em configurações repetíveis, que não dependem da memória de cada técnico. O gerente de TI revisa o rascunho e o aprova para todas as novas instalações de computadores de mesa.

22.3 Conferindo

As configurações se desviam à medida que as pessoas as alteram por conveniência ou para resolver problemas. Aisha escreve um pequeno script que lê exportações sintéticas de configuração e relata que computadores diferem da linha de base. Ela encontra alguns com o bloqueio de tela desativado, a maioria numa agência em que os funcionários o achavam irritante nos períodos de movimento. Ela conversa sobre isso com o gerente da agência, que concorda com um tempo de espera mais longo, em vez de nenhum. Ela aprende que entender por que as configurações se desviam ajuda a corrigir a causa. O script roda mensalmente e envia ao gerente de TI uma breve lista por e-mail.

22.4 Controle de mudanças

As mudanças de configuração devem ser planejadas, aprovadas e registradas. Aisha descobre que a equipe de TI da Ashfield faz mudanças no firewall sem registros, de modo que ninguém consegue explicar depois por que uma regra existe. Ela propõe um registro de mudanças simples: o que mudou, por quê, quem aprovou e como reverter. O Dr. Carrow explica que os registros de mudanças também ajudam durante os incidentes, porque os investigadores podem ver rapidamente se uma mudança recente causou um problema ou abriu uma lacuna. O gerente de TI adota o registro de mudanças na semana seguinte e registra o motivo de cada regra existente que ainda consegue explicar.

Exemplo resolvido

Aisha encontra uma senha padrão num roteador, redige uma linha de base para os computadores de mesa, confere os desvios com um script e introduz um registro de mudanças para o firewall.

Caso sintético. As configurações são sintéticas.

Erros e limites

As senhas padrão publicadas nos manuais dão aos atacantes um acesso fácil.

Exercícios

• EX064 — Problema do roteador. O que havia de errado com o roteador da agência? Rubrica: 3 = a senha padrão de fábrica;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX065 — Item da linha de base. Cite uma configuração da linha de base dos computadores de mesa. Rubrica: 3 = cifração de disco habilitada;; 2 = uma;; 1 = vago;; 0 = nenhuma.

• EX066 — Solução do bloqueio de tela. Que meio-termo é acordado para o bloqueio de tela? Rubrica: 3 = um tempo de espera mais longo;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 22 (capítulo 22 de 40)

← Capítulo 21 · Índice das aulas · Capítulo 23 →

Continue para a próxima aula já escrita.