◇ OpenCyber Academy
Graduação · Capítulo 23 · Português

Capítulo 23 — Métodos I

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 23 — Métodos I

Mapa da aula

Aula 23 publicada. Mapa, exemplo, EX067.

flowchart TD
  N0["23.1 Cartões"]
  N1["23.2 WSTG"]
  N2["23.3 Taxas"]
  N3["23.4 Proibidos"]
  N4["23.5 Silenciosos vs ruidosos"]
  N5["23.6 Congelamento"]
  N6["23.7 Separar os dias silenciosos dos ruidosos"]
  N7["23.8 Todo cartão precisa de um dono"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX067"]

Desenho lógico

flowchart LR
  N0["23.1 Cartões"]
  N1["23.2 WSTG"]
  N2["23.3 Taxas"]
  N3["23.4 Proibidos"]
  N4["23.5 Silenciosos vs ruidosos"]
  N5["23.6 Congelamento"]
  N6["23.7 Separar os dias silenciosos dos ruidosos"]
  N7["23.8 Todo cartão precisa de um dono"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX067"]

[23.1 Cartões]
    |
    v
[23.2 WSTG]
    |
    v
[23.3 Taxas]
    |
    v
[23.4 Proibidos]
    |
    v
[23.5 Silenciosos vs ruidosos]
    |
    v
[23.6 Congelamento]
    |
    v
[23.7 Separar os dias silenciosos dos ruidosos]
    |
    v
[23.8 Todo cartão precisa de um dono]
    |
    v
[Exemplo resolvido] --> [Exercício EX067]

Objetivos de aprendizagem

Você vai (1) construir cartões de método; (2) vincular os métodos às ROE; (3) definir limites de taxa.

23.1 Cartões

Finalidade, cláusula das ROE, ferramenta/configurações, paradas, evidência. Um cartão de método é a unidade de trabalho dos testes autorizados. Ele declara por que o método está sendo executado, qual cláusula das regras de engajamento o permite, qual ferramenta e quais configurações serão usadas, que condições param o método e que evidência ele precisa produzir. Os cartões impedem a improvisação. Um testador que quer tentar algo que não está num cartão precisa propor um novo cartão e incluí-lo no conjunto congelado, ou esperar uma alteração das regras. O TrackScope agenda cartões, não atividades livres.

23.2 WSTG

Selecione os temas de autenticação, sessão e controle de acesso para o staging do internet banking. O Web Security Testing Guide da OWASP cataloga muitas ideias de teste. O TRB não roda todas em cada engajamento. Para o staging do internet banking, os temas prioritários são autenticação, gerenciamento de sessão e controle de acesso, porque as falhas ali movimentam dados de clientes ou dinheiro. Outros temas aparecem quando os relatórios de ameaças ou mudanças recentes os justificam. Selecionar os temas no plano torna honesta a profundidade do engajamento. Um relatório que afirmasse ampla cobertura web depois de rodar apenas três temas enganaria.

23.3 Taxas

Os tetos protegem a disponibilidade. Mesmo testes autorizados podem derrubar um serviço se enviarem tráfego demais. Os cartões de método incluem tetos de taxa: requisições por segundo, sessões concorrentes, total de identidades tentadas. Os tetos são definidos com o dono do serviço e com o SOC, que sabem como é o normal. Exceder um teto é uma condição de parada, não uma sugestão. Sam prefere terminar um método devagar ao longo de duas noites a explicar uma indisponibilidade causada por um teste que deveria ser cuidadoso.

23.4 Proibidos

Spraying e DoS continuam proibidos. O password spraying contra muitas contas e os testes de negação de serviço são excluídos das janelas comuns do TRB porque seu impacto é difícil de conter e sua barra de autorização é mais alta. Um testador que descobre que o spraying seria interessante ainda assim não o faz. Ele escreve uma nota de que o método foi considerado e excluído, que pode virar uma recomendação de um exercício separado e cuidadosamente delimitado, se o risco o justificar. Proibido significa proibido, não proibido a menos que se tenha curiosidade.

23.5 Silenciosos vs ruidosos

Prefira métodos silenciosos quando a detecção também está em teste. Alguns métodos produzem pouco ruído nos logs; outros inundam o SOC de alertas. Quando o engajamento também está medindo a detecção, métodos ruidosos afogam o sinal que o SOC precisa mostrar. Métodos silenciosos primeiro deixam o SOC demonstrar o que pega em condições realistas. Raspagens ruidosas de inventário ficam em dias separados, com um orçamento de ruído assinado pelo SOC. Misturá-los uma vez produziu uma nevasca de alertas que não ensinou nada nem sobre a detecção nem sobre o inventário.

23.6 Congelamento

O conjunto de métodos congela depois da abertura, a menos que as ROE sejam alteradas. Depois da abertura, os cartões agendados ficam fixos. Acrescentar um método no meio da janela contornaria a revisão que conferiu o escopo, os limites de taxa e as condições de parada. Se um método novo se tornar necessário, as regras de engajamento são alteradas por escrito e o congelamento é suspenso apenas para essa alteração. O congelamento frustra os improvisadores e protege todos os demais. Os clientes não podem alegar que foram surpreendidos por um método que não estava na lista da abertura, e os testadores não podem alegar que achavam que um método improvisado era permitido.

23.7 Separar os dias silenciosos dos ruidosos

Os métodos silenciosos são preferidos nas janelas de purple team, para que o sinal do SOC seja interpretável. Sam agenda raspagens ruidosas de inventário em dias separados. Misturá-los produziu uma vez uma nevasca de alertas inútil; o calendário agora impede isso. O bloco do calendário é compartilhado com o SOC. Um dia de purple team mostra apenas cartões silenciosos. Um dia de inventário mostra cartões ruidosos e um orçamento de ruído maior. Verificações automáticas se recusam a agendar um cartão ruidoso num dia de purple team. A nevasca ensinou à equipe que o desenho do calendário faz parte do desenho dos métodos.

23.8 Todo cartão precisa de um dono

Cada cartão de método tem um engenheiro dono. Cartões sem dono não podem ser agendados. Sam assume a titularidade antes de propor um cartão na abertura. Titularidade significa que alguém mantém atualizados a cláusula das ROE, as versões das ferramentas e as condições de parada do cartão. Cartões sem dono apodrecem: citam cláusulas aposentadas ou configurações que já não correspondem à plataforma. Recusar-se a agendá-los faz da titularidade um requisito prático, e não um campo de cortesia. Assumir a titularidade antes da abertura também significa que quem propõe está se oferecendo para manter o cartão, o que reduz as sugestões de passagem.

23.9 Orçamentos de ruído do SOC

O SOC assina um orçamento de ruído por janela. Excedê-lo é uma condição de parada que Sam respeita imediatamente. O orçamento é um número de alertas por hora, geralmente, mais uma lista dos tipos de alerta que contam. O SOC o assina porque conhece sua escala e seu outro trabalho naquela noite. Quando o TrackScope ou o SOC dizem que o orçamento se esgotou, Sam para os cartões ruidosos mesmo que a janela ainda tenha horas pela frente. O respeito imediato à parada constrói confiança. Um testador que negocia para passar de uma parada do SOC uma vez vai achar a próxima conversa sobre orçamento muito mais difícil.

23.10 Dividir um cartão para caber no orçamento

O orçamento de ruído do SOC é de 30 alertas por hora. O cartão de método de Sam geraria cerca de 80. Ele divide o cartão em dois dias. O líder do SOC lhe paga um café; a janela fica verde. A divisão preservou o objetivo do teste e a capacidade de resposta do SOC. Os requisitos de evidência do cartão foram cumpridos ao longo dos dois dias, com rótulos claros para que ninguém pensasse que o método tinha sido abandonado. O café é opcional. Uma janela verde, isto é, sem nenhuma emergência causada pelos testes, é a verdadeira recompensa e o motivo pelo qual os orçamentos existem.

23.11 Tratar as assinaturas do SOC como as do CISO

A folha do orçamento de ruído é assinada como uma mini-ROE. Sam trata as assinaturas do SOC com o mesmo respeito que as do CISO. O SOC não é dono da autorização geral, mas é dono do ambiente de detecção que o teste vai perturbar. Sua assinatura no orçamento de ruído é a autorização para essa perturbação. Ignorá-la seria ignorar uma fronteira tão real quanto um host excluído. O hábito de Sam de respeito igual também incentiva o SOC a assinar prontamente, porque sabe que a assinatura será honrada, e não barganhada.

23.12 Pausa automática quando o orçamento estoura

Estouros do orçamento de ruído disparam uma flag automática de pausa do cartão de método no TrackScope. A automação elimina a conversa constrangedora em que um testador argumenta que só mais algumas requisições terminariam o cartão. A plataforma conta os alertas atribuídos ao engajamento e, quando o orçamento é atingido, pausa os cartões ruidosos e avisa Sam e o SOC. Terminar então exige uma contra-assinatura do SOC para uma prorrogação, não uma decisão unilateral. A flag já deteve vários estouros educados que teriam virado indisponibilidades nada educadas.

23.13 Os testadores não podem liberar a própria pausa

As flags de pausa só são liberadas com a contra-assinatura do SOC. Sam não pode liberar o próprio estouro de ruído. A autoliberação faria da pausa automática um teatro. A contra-assinatura do SOC é uma segunda pessoa afirmando que o ambiente aguenta mais carga. Às vezes, ela recusa e pede uma continuação mais silenciosa no dia seguinte. Essa recusa é um controle bem-sucedido. Registrar quem liberou uma pausa, e quando, também ajuda as revisões posteriores a entender por que um cartão ruidoso continuou depois de um estouro.

Quando o analista do SOC libera uma flag, o TrackScope registra no próprio cartão o nome dele, a contagem de alertas no momento da liberação e o novo orçamento. A auditoria seguinte do cartão pode então comparar essa extensão com os alertas que o PulseMap atribuiu ao engajamento depois disso.

23.14 Auditorias rotativas dos cartões

A curadoria dos cartões de método é uma função rotativa. A cada mês, um engenheiro diferente audita cinco cartões em busca de deriva nas cláusulas das ROE. A auditoria de Sam encontrou um cartão que citava uma seção aposentada das ROE; ele foi suspenso em uma hora. Uma cláusula aposentada das ROE num cartão ativo é um bug silencioso de autorização. A auditoria mensal pega alguns por ano, geralmente depois de uma reescrita das regras. Suspender o cartão imediatamente impede que alguém agende trabalho sob uma cláusula que já não existe. A função rotativa espalha pela equipe a familiaridade com a biblioteca. Publicar quais cinco cartões foram auditados a cada mês torna a rotação visível e mais difícil de pular.

Exemplo resolvido (TRB sintético)

O cartão de IDOR de Sam: 1 req/s, dois usuários de teste, parada em rajada de 5xx.

Caso sintético — Riverstone Transit Bank (TRB). O banco, Sam Ito, TrackScope/FindingsDesk/PulseMap e todos os números são inventados para fins didáticos.

Erros e limites

Este livro não concede nenhuma autoridade para testar bancos ou sistemas de pagamento reais. Os laboratórios usam apenas endereços de faixas de documentação e dados sintéticos; código de exploit nunca é fornecido.

Exercícios

Síntese

Os métodos são cartões vinculados às ROE, com taxas e congelamentos.

Continue estudando — capítulo 23 de 40

← Capítulo 22 (rascunho) · Índice de capítulos do curso · Capítulo 24 (rascunho) →