Capítulo 20 — Casos fundamentais

Mapa da aula

Aula 20 publicada. Mapa, exemplo, EX058.

flowchart TD
  N0["20.1 Pacote do caso"]
  N1["20.2 Rótulos"]
  N2["20.3 Escalonamento"]
  N3["20.4 Fora do escopo"]
  N4["20.5 ATT&CK"]
  N5["20.6 Sem culpa"]
  N6["20.7 Proibir o drama sem horário"]
  N7["20.8 Declarar o fuso horário dos logs na primeira pá"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX058"]

Desenho lógico

flowchart LR
  N0["20.1 Pacote do caso"]
  N1["20.2 Rótulos"]
  N2["20.3 Escalonamento"]
  N3["20.4 Fora do escopo"]
  N4["20.5 ATT&CK"]
  N5["20.6 Sem culpa"]
  N6["20.7 Proibir o drama sem horário"]
  N7["20.8 Declarar o fuso horário dos logs na primeira pá"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX058"]

[20.1 Pacote do caso]
    |
    v
[20.2 Rótulos]
    |
    v
[20.3 Escalonamento]
    |
    v
[20.4 Fora do escopo]
    |
    v
[20.5 ATT&CK]
    |
    v
[20.6 Sem culpa]
    |
    v
[20.7 Proibir o drama sem horário]
    |
    v
[20.8 Declarar o fuso horário dos logs na primeira pá]
    |
    v
[Exemplo resolvido] --> [Exercício EX058]

Objetivos de aprendizagem

Você vai (1) analisar casos sintéticos do TRB; (2) separar fato de palpite; (3) escalar riscos aos pagamentos.

20.1 Pacote do caso

Trecho das ROE, logs, rascunho de achados, relato de um funcionário sobre reutilização de senha. Um caso fundamental dá aos alunos um mundo fechado sobre o qual podem raciocinar sem inventar fatos. O pacote contém apenas o que a equipe realmente teria: uma página das regras de engajamento, um recorte de logs da VPN e da aplicação, um rascunho de achado e um relato curto de um funcionário de que uma senha foi reutilizada. Nada além disso vale. Os alunos precisam rotular o que sabem, o que supõem e o que fariam em seguida, o que treina o hábito de não preencher lacunas com ficção confiante. O mesmo pacote é reutilizado entre turmas, para que os facilitadores possam comparar como grupos diferentes lidam com a mesma evidência.

20.2 Rótulos

Linhas de Fato / Palpite / Ação. Toda afirmação numa discussão de caso é rotulada como um Fato tirado do pacote, um Palpite que vai além dele ou uma Ação que a equipe tomaria em seguida. Os Fatos podem ser conferidos contra o pacote. Os Palpites são permitidos, mas limitados, porque uma lista ilimitada de palpites vira uma história de atribuição. As Ações precisam ser permitidas pelas regras de engajamento. Os rótulos desaceleram a conversa o suficiente para impedir que uma sala deslize para uma narrativa não verificada. Quando duas pessoas discordam, elas primeiro conferem se estão discutindo um Fato ou um Palpite.

20.3 Escalonamento

Possível impacto na integridade dos pagamentos → CISO no mesmo dia. Os critérios de escalonamento são escritos antes de o caso começar, para que a urgência não seja negociada no calor da discussão. No TRB, qualquer coisa que possa afetar a integridade dos pagamentos, a movimentação de fundos de clientes ou a disponibilidade do internet banking é escalada ao CISO no mesmo dia, mesmo que a evidência ainda esteja incompleta. O pacote do caso inclui o relato de um funcionário sobre reutilização de senha num jump host vizinho dos pagamentos, o que atinge essa barra. Os alunos praticam a escrita da nota de escalonamento: o que foi observado, o que ainda é desconhecido, o que foi interrompido e que decisão é necessária. Praticar a nota num caso sintético torna a real mais rápida.

20.4 Fora do escopo

O conteúdo do e-mail pessoal permanece intocado. O relato do funcionário menciona que a senha reutilizada também era usada numa caixa de e-mail pessoal. Esse detalhe é uma tentação. Ler a caixa pessoal poderia revelar mais sobre a pessoa, e isso está fora de toda fronteira profissional e jurídica do engajamento. O caso ensina a recusa explicitamente. Os alunos podem recomendar que o funcionário troque suas senhas pessoais e podem oferecer orientação, mas não podem pedir nem aceitar acesso a contas pessoais. Escrever essa recusa nas linhas de Ação faz parte de um relato de caso aprovado.

20.5 ATT&CK

Etiquete as técnicas para a caça do SOC. Quando o caso produz um achado, os alunos o etiquetam com as técnicas do ATT&CK que ele demonstra, como Valid Accounts para a senha reutilizada no jump host. As etiquetas dão ao SOC um ponto de partida para caçadas: procurar outros logins com aquela conta, ou movimento lateral a partir daquele host depois do login. As etiquetas não são decoração. Um achado sem etiqueta de técnica é mais difícil de transformar em trabalho de detecção. Os facilitadores conferem que as etiquetas correspondem à evidência, e não a uma técnica favorita que o aluno queria mencionar.

20.6 Sem culpa

Foco nos sistemas e nos processos. O funcionário que reutilizou uma senha cometeu um erro, e as perguntas úteis são sobre o sistema que permitiu que esse erro importasse: uma senha de administrador compartilhada ainda estava em uso, o jump host aceitava autenticação por senha, os processos de desligamento e de rotação a deixaram passar? Um relato sem culpa nomeia a pessoa apenas na medida em que o pacote exige e gasta sua energia nos controles. Relatos centrados na culpa produzem colegas na defensiva e sistemas inalterados. Os facilitadores redirecionam qualquer linha de Ação que comece punindo alguém para uma Ação que mude um controle.

20.7 Proibir o drama sem horário

Os facilitadores proíbem adjetivos de linha do tempo como "de repente", a menos que exista um carimbo de tempo. As notas de caso de Sam agora começam com os horários UTC dos logs e só depois trazem a narrativa. As linhas de Palpite não podem trazer carimbos de tempo fingindo ser fatos. Palavras como de repente, imediatamente e por fim contrabandeiam uma linha do tempo para a história sem evidência. Uma linha de log às 21:14 e outra às 21:47 sustentam um intervalo de trinta e três minutos. "De repente" sustenta o que quer que o falante sinta. Começar pelos carimbos de tempo obriga a narrativa a se ajustar à evidência. Um Palpite sobre o que aconteceu no intervalo continua sendo um Palpite, sem um relógio falso preso a ele.

20.8 Declarar o fuso horário dos logs na primeira página

Todo pacote de caso declara o fuso horário das linhas de log na primeira página. Sam certa vez perdeu uma hora por causa de um UTC silencioso; a linha de capa evita isso. Linhas de log que parecem locais e na verdade são UTC, ou o contrário, criam lacunas fantasmas e eventos sobrepostos que mandam a equipe pelo caminho errado. A linha de capa é chata e inegociável: todos os carimbos de tempo deste pacote estão em UTC, ou todos estão em America/New_York. Quando duas fontes de log usam fusos diferentes, os dois são declarados e um deles é convertido numa nota de trabalho, nunca em silêncio na cabeça de alguém.

20.9 Um orçamento de três palpites

Cada caso pode trazer no máximo três linhas de Palpite. Os palpites excedentes viram dever de casa para reunir fatos. Palpites ilimitados transformam um caso em escrita criativa. Três palpites bastam para capturar as incertezas mais importantes sem deixar a discussão morar nelas. Quando aparece um quarto palpite, o facilitador pergunta que Fato o resolveria e o atribui como dever de casa: qual log, qual dono, qual consulta. O orçamento treina as pessoas a perceber quando estão inventando e a preferir uma pequena investigação a uma grande história.

20.10 Remover uma atribuição não merecida

Noite de caso: uma linha de Palpite sobre "APT29" é removida por falta de evidência. A sala resmunga e depois escreve linhas de Fato melhores sobre os logs da VPN. O teatro da atribuição vicia; o sino ajuda. Nomear um ator conhecido parece expertise. Sem ferramentas, infraestrutura ou relatórios de inteligência correspondentes no pacote, é um Palpite que rouba a atenção do que os logs de fato mostram. Removê-lo é impopular por um minuto e produtivo depois. Os Fatos da VPN que o substituem geralmente importam mais para a próxima ação do banco do que qualquer nome de ator importaria.

20.11 Dois fatos em vez de um palpite de APT

O orçamento de palpites obrigou uma equipe a substituir um palpite de APT por dois fatos dos logs da VPN. O caso ficou menos cinematográfico e mais verdadeiro. Os dois Fatos eram que a conta fez login a partir de uma nova impressão digital de dispositivo e que a mesma conta alcançou o jump host em quatro minutos. Esses Fatos sustentam Ações: desativar a conta, revisar outros logins a partir daquele dispositivo, verificar se o MFA foi satisfeito. O Palpite de APT sustentava apenas uma sensação de importância. Menos cinematográfico é o padrão de que o banco precisa quando há dinheiro real e clientes reais envolvidos.

20.12 ISO 8601 na capa

As linhas de capa dos carimbos de tempo usam ISO 8601 com deslocamento; "manhã" é proibido. Manhã significa horas diferentes para leitores diferentes e desaparece sob os fusos horários. Um carimbo de tempo ISO 8601 com deslocamento, como 2026-03-04T21:14:00Z, significa um único momento. A proibição de palavras de tempo vagas vale tanto para as linhas de Palpite e de Ação quanto para os Fatos. Se um aluno não sabe o horário, ele escreve que não sabe, o que é em si uma informação útil.

Se um aluno sabe apenas que algo aconteceu de manhã, a linha de Fato diz que o horário é desconhecido, e a linha de Palpite, se houver, fica claramente separada. Fingir precisão é pior do que admitir uma lacuna.

20.13 Conferir as linhas de capa na CI

As linhas de capa em ISO 8601 são validadas por uma regex na CI dos pacotes de caso. Os pacotes ficam num pequeno repositório. Uma verificação de integração contínua faz o build falhar quando a primeira página não tem uma linha correspondente ao padrão de carimbo de tempo, ou quando palavras proibidas como manhã aparecem nas linhas de Fato. A verificação é mesquinha de propósito. Os facilitadores devem gastar sua atenção na qualidade do raciocínio, não em pegar desvios de formatação. A automação cuida da correção chata.

Quando a verificação falha, a mensagem de erro mostra o padrão esperado da linha de capa e a lista de palavras proibidas, para que os autores possam corrigir o pacote sem perguntar a um facilitador.

20.14 Oficinas de linhas de Fato

As oficinas de linhas de Fato proíbem adjetivos por vinte minutos. Só substantivos, verbos, números e carimbos de tempo. A restrição parece artificial e produz os pacotes de caso mais limpos do período. Sam guarda um pacote-troféu do ano passado como padrão. A restrição tem jeito de jogo e reinicia hábitos formados por livros de suspense e filmes de incidentes. Depois de vinte minutos, o grupo geralmente produz um pacote com base no qual um analista do turno da noite poderia agir sem perguntar o que os adjetivos significavam. O pacote-troféu é reutilizado como a barra para as turmas seguintes.

Exemplo resolvido (TRB sintético)

Sam escala a senha da VPN reutilizada no e-mail pessoal; redefine as credenciais do TRB; não lê o e-mail pessoal.

Caso sintético — Riverstone Transit Bank (TRB). O banco, Sam Ito, TrackScope/FindingsDesk/PulseMap e todos os números são inventados para fins didáticos.

Erros e limites

Este livro não concede nenhuma autoridade para testar bancos ou sistemas de pagamento reais. Os laboratórios usam apenas endereços de faixas de documentação e dados sintéticos; código de exploit nunca é fornecido.

Exercícios

• EX058 — Fato vs palpite. Rotule: "um funcionário relatou reutilização" vs "um Estado-nação tem o hash".
  Mostrar critérios de avaliação

  Rubrica: 3 = fato vs palpite; 2 = parcial; 1 = ambos fatos; 0 = nada.
• EX059 — E-mail pessoal. Por que não ler o e-mail pessoal do funcionário?
  Mostrar critérios de avaliação

  Rubrica: 3 = fora do escopo/privacidade; 2 = parcial; 1 = deveria ler; 0 = nada.
• EX060 — Gatilho de escalonamento. O que dispara aqui o escalonamento ao CISO no mesmo dia?
  Mostrar critérios de avaliação

  Rubrica: 3 = reutilização de credencial que arrisca acesso ao banco/pagamentos; 2 = parcial; 1 = vago; 0 = nada.

Síntese

Os casos recompensam o raciocínio rotulado e o escalonamento rápido dos riscos vizinhos dos pagamentos.

Continue estudando — capítulo 20 de 40

← Capítulo 19 (rascunho) · Índice de capítulos do curso · Capítulo 21 (rascunho) →