Capítulo 24 — Controles
Mapa da aula
Aula 24 publicada. Mapa, exemplo, EX070.
flowchart TD
N0["24.1 Associação"]
N1["24.2 Laboratório de classificação"]
N2["24.3 Compensatórios"]
N3["24.4 Titularidade"]
N4["24.5 Verificar depois"]
N5["24.6 Afirmação exagerada"]
N6["24.7 Congelar as pontuações antes da discussão"]
N7["24.8 Aceitação de risco por escrito"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX070"]
Desenho lógico
flowchart LR
N0["24.1 Associação"]
N1["24.2 Laboratório de classificação"]
N2["24.3 Compensatórios"]
N3["24.4 Titularidade"]
N4["24.5 Verificar depois"]
N5["24.6 Afirmação exagerada"]
N6["24.7 Congelar as pontuações antes da discussão"]
N7["24.8 Aceitação de risco por escrito"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX070"]
[24.1 Associação]
|
v
[24.2 Laboratório de classificação]
|
v
[24.3 Compensatórios]
|
v
[24.4 Titularidade]
|
v
[24.5 Verificar depois]
|
v
[24.6 Afirmação exagerada]
|
v
[24.7 Congelar as pontuações antes da discussão]
|
v
[24.8 Aceitação de risco por escrito]
|
v
[Exemplo resolvido] --> [Exercício EX070]
Objetivos de aprendizagem
Você vai (1) associar controles a achados; (2) classificar achados; (3) propor controles compensatórios.
24.1 Associação
Administrador compartilhado → contas nominais + cofre; fluxo não aprovado → firewall + negação na aplicação; cadastro fraco de MFA → correção do cadastro. Uma recomendação de controle precisa corresponder à fraqueza que responde. Senhas de administrador compartilhadas se corrigem com contas nominais e um cofre, não com uma política de senhas mais longas. Um caminho de rede não aprovado se corrige removendo a regra de firewall e negando o caminho na aplicação, não apenas acrescentando monitoramento. Um cadastro fraco de MFA se corrige no fluxo de cadastro. Recomendações desencontradas desperdiçam o tempo de quem corrige e deixam o caminho original aberto. A revisão de Sam dos rascunhos de achados confere que cada controle recomendado de fato fecharia o caminho demonstrado.
24.2 Laboratório de classificação
O lab_rank ordena F1, F3 e F4, com pontuação 6, antes de F2, com 3.
"""Lab 24: rank synthetic TRB findings by likelihood x impact, ties by id."""
f = [("F1","Shared admin on loan system",2,3),("F2","Verbose error pages",3,1),
("F3","Web tier reaches ledger DB directly",2,3),("F4","Weak MFA enrolment check",3,2)]
for i,t,l,m in sorted(f, key=lambda x:(-x[2]*x[3], x[0])):
s=l*m; print(f"{i} {s} {'high' if s>=6 else 'medium' if s>=3 else 'low':6} {t}")
Execute com python3 lab_rank.py. Saída verificada:
F1 6 high Shared admin on loan system
F3 6 high Web tier reaches ledger DB directly
F4 6 high Weak MFA enrolment check
F2 3 medium Verbose error pages
O produto de probabilidade e impacto é um auxílio simples de classificação, não uma lei da natureza. Os empates são desfeitos pelo id do achado, para que a ordem seja reproduzível. F1, F3 e F4 pontuam seis e superam os três de F2, o que corresponde à intuição de que uma senha de administrador compartilhada, um caminho direto da web para o razão e uma verificação fraca no cadastro de MFA importam mais que páginas de erro verbosas. A tarefa do laboratório é tornar a classificação visível antes que as personalidades entrem na discussão. Uma vez que as pontuações estão na mesa, argumentar para rebaixar um achado vira uma decisão visível de aceitação de risco, e não uma reordenação silenciosa.
24.3 Compensatórios
Administração apenas via jump host enquanto as senhas se tornam únicas. Um controle compensatório reduz o risco enquanto a correção definitiva não está pronta. Se ainda existem senhas de administrador compartilhadas, restringir a administração ao jump host com autenticação multifator reduz quem pode usar essas senhas e torna seu uso auditável. A compensação tem data. O achado continua aberto, com uma data-limite para as senhas únicas, e o controle compensatório é listado ao lado dele, para que ninguém confunda a regra do jump host com a correção completa. Quando a correção definitiva chega, a compensação pode ser aposentada ou mantida como defesa em profundidade.
24.4 Titularidade
Todo controle tem um dono nomeado e uma data. Um controle sem dono é uma frase num relatório. O dono é a pessoa que vai implementá-lo ou operá-lo, e a data é quando ele estará implantado ou será revisado de novo. O TrackScope se recusa a marcar um achado como aceito-com-controle a menos que os dois campos estejam preenchidos. A titularidade também evita compensações órfãs. Quando a pessoa que configurou a administração apenas via jump host sai, o campo datado de dono mostra quem precisa assumir o controle, ou o achado é reaberto.
24.5 Verificar depois
O Capítulo 30 trata dos retestes. Declarar um controle implementado não é o mesmo que mostrar que ele funciona. Os retestes fecham essa lacuna. Depois que o dono diz que as contas nominais substituíram a senha de administrador compartilhada, Sam agenda um reteste que tenta a senha antiga e confere que a administração ainda exige o jump host. Retestes reprovados reabrem o achado automaticamente. A data do reteste faz parte do registro do controle, de modo que um controle que nunca foi retestado aparece no PulseMap como não verificado. Um reteste é planejado com a mesma conta, a mesma rede de origem e a mesma requisição que provaram a fraqueza, para que uma aprovação signifique que o caminho está fechado, e não que o testador tentou algo mais fácil.
24.6 Afirmação exagerada
Não chame um controle de "previne todo APT". Os controles reduzem caminhos específicos. Nomear um ator sofisticado ou prometer prevenção total transforma um achado preciso em marketing. A linguagem dos relatórios de Sam nomeia o caminho fechado, as condições do teste e o risco residual. Uma frase como "a administração a partir da VLAN de usuários para os servidores de staging está bloqueada enquanto as senhas não se tornam únicas" é utilizável. Uma frase como "isto previne ameaças persistentes avançadas" não é. O linter de garantia sinaliza o segundo tipo de frase antes que o relatório saia de rascunho.
24.7 Congelar as pontuações antes da discussão
As reuniões de classificação congelam as pontuações antes da discussão de personalidades. Sam coleta as pontuações em silêncio e depois as revela. O lobby para rebaixar um achado porque uma equipe está "ocupada" acontece depois das pontuações, onde fica visível como aceitação de risco. A pontuação silenciosa impede que a primeira voz alta ancore todas as outras. Revelar depois permite discutir honestamente a ocupação como motivo para aceitar o risco por um tempo, com assinatura e expiração, em vez de como motivo para fingir que o achado pontuou menos. A diferença é se o registro do banco mostra o trade-off.
24.8 Aceitação de risco por escrito
A aceitação de risco usa um formulário com o montante, a expiração e a assinatura do CISO. Um "a gente convive com isso" verbal não fecha o F3. A aceitação verbal evapora quando a equipe muda ou quando um incidente faz todos esquecerem quem concordou. O formulário registra o que é aceito, até quando e por quem. O PulseMap mostra os achados aceitos com expiração em âmbar, e não em verde, para que não sumam da atenção. Quando a expiração chega sem correção nem renovação, o achado é reaberto. Esse mecanismo é o motivo pelo qual o F3 não pode ser fechado com uma conversa de corredor.
24.9 Revelar as pontuações só depois que todos enviarem
As pontuações só aparecem depois que todos os avaliadores enviam as suas. O roteiro de facilitação de Sam bloqueia revelações antecipadas. Revelações antecipadas deixam os avaliadores posteriores se ajustarem ao grupo, o que anula o julgamento independente. O roteiro de facilitação é uma lista de verificação que Sam lê: confirmar que todo avaliador enviou e, então, mostrar a tabela. O TrackScope impõe a mesma regra em reuniões remotas, escondendo o agregado até que chegue a última cédula. Bloquear revelações antecipadas atrasou ocasionalmente uma reunião em cinco minutos e regularmente impediu que uma voz sênior definisse a pontuação.
24.10 Uma trilha de higiene para correções fáceis
A revelação da classificação mostra o F2 por último. A equipe web ainda quer corrigir o F2 primeiro porque é fácil. Sam registra o que é fácil, mas baixo, numa trilha separada de "higiene", para que isso não desloque o financiamento do F3. Correções fáceis valem a pena. Não valem a pena a ponto de deixar sem recursos o trabalho mais bem classificado. A trilha de higiene tem sua própria pequena capacidade e seu próprio limite de WIP, para que a equipe web possa eliminar as páginas de erro verbosas sem tirar engenheiros da correção do caminho para o razão. Manter as trilhas separadas também mantém os relatórios honestos: a vazão da higiene não é apresentada como progresso nos achados de alto risco.
24.11 Trilhas paralelas protegem o trabalho difícil
A trilha de higiene corrigiu o F2 em três dias sem roubar a reunião de orçamento do F3. Trilhas paralelas impedem que o trabalho fácil deixe o difícil sem recursos. Antes da divisão, todo achado fácil competia pelo mesmo espaço na reunião que o F3, e o fácil geralmente vencia porque prometia uma vitória rápida. Depois da divisão, o F3 manteve sua conversa de financiamento e o F2 ainda foi corrigido. O padrão se generaliza. Sempre que o trabalho de baixa severidade desloca de forma consistente o de alta severidade, a correção é uma alocação de capacidade separada, não um sermão sobre prioridades.
24.12 Limites de WIP na higiene
Os limites de WIP da trilha de higiene a impedem de virar um depósito de riscos ignorados. Sem um limite, todo achado desconfortável é rerrotulado como higiene e a trilha vira um segundo backlog de riscos ignorados. O limite força uma escolha: terminar algo antes de começar mais. Os achados que não cabem precisam esperar, conquistar um lugar na lista classificada principal ou ser aceitos com expiração. O limite de WIP é um controle sobre o processo que alega ajudar. Um achado movido para a higiene ainda precisa levar sua pontuação original, para que qualquer pessoa que revise a trilha possa ver se um item de alto risco foi disfarçado de arrumação.
24.13 Um WIP rígido de três
O limite de WIP da higiene é três. A quarta correção fácil espera. Foco é um controle. Três é pouco o bastante para que a equipe sinta a restrição e muito o bastante para que o trabalho real de higiene continue. Quando aparece uma quarta correção fácil, ela espera visivelmente no quadro. Esperar é desconfortável e útil. Isso impede o acúmulo silencioso de arrumações pela metade e evita que a promessa de rapidez da trilha de higiene vire mais uma fila infinita. O limite é revisado a cada trimestre. Se os itens esperam mais de um mês, a equipe ou aumenta a capacidade, ou admite que parte do trabalho de higiene não será feita e registra essa decisão.
24.14 Capas de noventa segundos para os conselhos de financiamento
Os conselhos de financiamento recebem listas classificadas com uma capa de uma página em linguagem simples. Sam pratica a capa em voz alta até conseguir apresentá-la em noventa segundos. Os conselhos se lembram da capa por mais tempo que do apêndice. Praticar em voz alta pega o jargão que o apêndice pode manter e a capa não. Conselhos que se lembram da capa fazem perguntas melhores sobre a lista classificada. Conselhos que recebem apenas o apêndice muitas vezes não se lembram de nada além da contagem total de achados, que é o número menos útil do material. O apêndice ainda importa para os engenheiros que vão fazer o trabalho; por isso, a capa sempre termina com uma indicação da tabela classificada e de sua rubrica de pontuação.
Exemplo resolvido (TRB sintético)
Sam apresenta a lista classificada; o conselho financia F1/F3/F4 primeiro.
Caso sintético — Riverstone Transit Bank (TRB). O banco, Sam Ito, TrackScope/FindingsDesk/PulseMap e todos os números são inventados para fins didáticos.
Erros e limites
Este livro não concede nenhuma autoridade para testar bancos ou sistemas de pagamento reais. Os laboratórios usam apenas endereços de faixas de documentação e dados sintéticos; código de exploit nunca é fornecido.
Exercícios
- EX070 — Ordem da classificação. Qual achado fica em último no laboratório? Rubrica: 3 = F2; 2 = F1; 1 = F4; 0 = nada.
- EX071 — Compensatório. Dê um controle compensatório para o administrador compartilhado. Rubrica: 3 = apenas via jump host/MFA/monitoramento enquanto as senhas se tornam únicas; 2 = parcial; 1 = ignorar; 0 = nada.
- EX072 — Pontuação. Qual é a pontuação e a faixa do F4? Rubrica: 3 = 6, high; 2 = 6; 1 = 3; 0 = nada.
Síntese
Os controles correspondem aos achados; a classificação dirige o financiamento; os controles compensatórios ganham tempo.
Continue estudando — capítulo 24 de 40
← Capítulo 23 (rascunho) · Índice de capítulos do curso · Capítulo 25 (rascunho) →