◇ OpenCyber Academy
Graduação · Capítulo 40 · Português

Capítulo 40 — Tese e apresentação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 40 — Tese e apresentação

Mapa da aula

Aula 40 publicada. Mapa, exemplo, EX118.

flowchart TD
  N0["40.1 Afirmação"]
  N1["40.2 Posicionamento"]
  N2["40.3 Apresentação"]
  N3["40.4 Perguntas prováveis"]
  N4["40.5 Próximos passos"]
  N5["40.6 Reprodutibilidade"]
  N6["40.7 Recusa de demonstração hostil"]
  N7["40.8 Banco de perguntas depois da defesa"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX118"]

Desenho lógico

flowchart LR
  N0["40.1 Afirmação"]
  N1["40.2 Posicionamento"]
  N2["40.3 Apresentação"]
  N3["40.4 Perguntas prováveis"]
  N4["40.5 Próximos passos"]
  N5["40.6 Reprodutibilidade"]
  N6["40.7 Recusa de demonstração hostil"]
  N7["40.8 Banco de perguntas depois da defesa"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX118"]

[40.1 Afirmação]
    |
    v
[40.2 Posicionamento]
    |
    v
[40.3 Apresentação]
    |
    v
[40.4 Perguntas prováveis]
    |
    v
[40.5 Próximos passos]
    |
    v
[40.6 Reprodutibilidade]
    |
    v
[40.7 Recusa de demonstração hostil]
    |
    v
[40.8 Banco de perguntas depois da defesa]
    |
    v
[Exemplo resolvido] --> [Exercício EX118]

Objetivos de aprendizagem

Você vai (1) afirmar só o que a avaliação mostrou; (2) ensaiar perguntas difíceis; (3) posicionar o trabalho com ética.

40.1 Afirmação

A ferramenta offline de diff de escopo atinge precision/recall definidos em inventários sintéticos e falha fechada em entradas corrompidas. A afirmação da tese nomeia a ferramenta, as métricas, os dados e a propriedade de falhar fechado sem enfeites. Sam recusa adjetivos que a avaliação não mediu. Afirmações que prometem proteção à produção excedem a evidência. O orientador aplica o teste do resumo: um leitor deve saber exatamente o que foi mostrado. Modéstia aqui é precisão científica. Uma afirmação estreita e verdadeira vence uma ampla que a banca precisa desmontar.

40.2 Posicionamento

Não é um framework de red-team exploit. O posicionamento declara o que o trabalho não é, tão alto quanto o que ele é. Leituras do trabalho como framework de exploit são tratadas como falhas de comunicação a corrigir, e não como hype lisonjeiro. Os slides repetem a frase de posicionamento perto da afirmação. Posicionamento claro protege os limites legais e éticos do programa. A frase de posicionamento também governa o vocabulário: a tese diz deriva de inventário, conflito e negar, e evita palavras de ataque que convidariam à leitura errada.

40.3 Apresentação

12 minutos + perguntas; disciplina de tempo. A apresentação tem doze minutos mais perguntas, com disciplina rígida de tempo. Sam ensaia com um timer visível e para no meio da frase no ensaio, se precisar. Estourar o tempo rouba a faixa de perguntas, onde acontece o exame de verdade. As bancas notam quem respeita o relógio. Brevidade sob observação faz parte da habilidade profissional avaliada. Os doze minutos de Sam se dividem em dois na afirmação e no posicionamento, quatro no método, três nos resultados com intervalos, dois nos limites e na ética, e um na decisão que ele pede à banca que aceite. O tempo de demonstração ao vivo sai do bloco do método, e não das perguntas.

40.4 Perguntas prováveis

Demonstrações de falhar fechado; ética; por que não varredura ao vivo; ameaças à validade. Ele mantém cada resposta ensaiada com menos de três frases e a liga a uma página da tese, para que os membros da banca possam conferir em vez de confiar. Sam publica seu banco de perguntas depois da defesa, para que a próxima turma ensaie melhor. A recusa da demonstração em site público está no banco de propósito. Respostas de ensaio são curtas, citadas e calmas. Perguntas surpresa ainda acontecem; bancos reduzem o pânico evitável. Para "por que não varredura ao vivo", a resposta de Sam é que a afirmação diz respeito à comparação de inventários, dados sintéticos bastaram para testá-la, e uma varredura ao vivo teria precisado de autorização que o curso não pode conceder.

40.5 Próximos passos

Integrar tickets do FindingsDesk; estudar métricas de detecção guiadas por ameaças. Os próximos passos mencionam a integração de tickets do FindingsDesk e estudos de métricas de detecção guiadas por ameaças. Permanecem claramente rotulados como trabalho futuro, e não como alegações avaliadas incompletas. Sam resiste a enfiar nos próximos passos recursos banidos pelos não objetivos. Ambição só pertence aqui quando não reescreve a afirmação da tese. Os examinadores não deveriam precisar adivinhar o que foi entregue versus sonhado. A integração de tickets é listada com o próprio risco, que é que conflitos poderiam inundar o FindingsDesk com itens de baixo valor, então um estudo futuro precisaria primeiro de um limiar de triagem. Métricas guiadas por ameaças são enquadradas como uma pergunta de pesquisa separada, não como um recurso da ferramenta.

40.6 Reprodutibilidade

Apêndice com dados sintéticos e scripts. O apêndice de reprodutibilidade inclui dados sintéticos e scripts suficientes para regenerar as pontuações. Sam fixa os hashes dos scripts e as versões dos geradores ao lado das tabelas de resultados. Alegações sem apêndices executáveis são avaliadas como ciência incompleta. Dados sintéticos mantêm a reprodução dentro da política do curso. Estudantes futuros deveriam conseguir reexecutar sem pedir arquivos privados a Sam. Uma execução de reprodução numa máquina nova do laboratório faz parte da verificação de submissão: um assistente do orientador segue as instruções do apêndice e confirma que as figuras de precision e recall batem com o relatório até a casa decimal declarada. Qualquer divergência bloqueia a submissão até o apêndice ser corrigido.

40.7 Recusa de demonstração hostil

O ensaio com examinador hostil inclui um pedido de demonstração ao vivo contra o site público de um banco. A recusa de Sam cita a lei e os limites do currículo. Os colegas avaliam a clareza da recusa sob estresse. O ensaio é desconfortável de propósito. Clareza sob estresse é a habilidade, não agressão. Sam cita a lei e o currículo em vez de preferência pessoal. Os colegas pontuam a redação para que o feedback seja específico. Recusas que divagam ensinam às bancas a lição errada sobre limites. A frase ensaiada de Sam é curta: "Não estou autorizado a testar esse site, e o currículo proíbe; aqui está o mesmo comportamento na fixture sintética." Depois ele segue em frente.

40.8 Banco de perguntas depois da defesa

Sam publica sua lista de perguntas prováveis depois da defesa, para que a turma do ano seguinte ensaie melhor. O banco inclui a recusa da demonstração em site público. Publicar depois da defesa evita vazar respostas para o evento avaliado. Incluir a recusa normaliza o limite para os novatos. Sam atualiza o banco quando novos padrões hostis aparecem. Turmas que ensaiam a partir de bancos reais ficam mais calmas sob o calor da banca. Generosidade com perguntas faz parte da administração do programa. Cada entrada emparelha a pergunta com a resposta que Sam deu e uma nota sobre o que ele diria melhor agora. A nota costuma ser a parte mais útil para os estudantes do ano seguinte.

40.9 Autorrevisão em áudio da recusa

As recusas de ensaio são gravadas em áudio para autorrevisão e depois apagadas em até 24 horas. Sam confere a voz em busca de hesitação. A retenção curta equilibra a melhoria com o armazenamento desnecessário de áudio de estresse. Sam ouve em busca de hesitação, empilhamento de desculpas e citações perdidas. A exclusão é registrada, para que a prática não vire vigilância. A autorrevisão pega hábitos que os colegas são educados demais para nomear. A voz sob pressão é um instrumento treinável. A primeira gravação de Sam tinha três desculpas antes da recusa de fato. No terceiro ensaio, não tinha nenhuma, e os colegas avaliaram a versão posterior como mais calma e mais firme. Ele guarda uma nota escrita dessa mudança depois que o áudio é apagado.

40.10 Fechando o laptop hostil

No ensaio, o examinador hostil abre um laptop numa página de login pública de banco. Sam fecha a tampa com gentileza, cita o limite e continua com a demonstração de falhar fechado. Os colegas pontuam a gentileza e a firmeza separadamente. Gentileza sem firmeza é rendição; firmeza sem gentileza é teatro. Fechar a tampa com gentileza mantém a sala aprendendo o limite, e não o susto. Sam continua na demonstração de falhar fechado, para que a fala não trave na recusa. Pontuações separadas impedem que o carisma esconda nãos trêmulos. A cena é o momento de ensaio mais recontado do curso.

40.11 Calma e firmeza ambas obrigatórias

A pontuação de gentileza importa: bater o laptop assustaria a sala na lição errada. Firme e calmo é a habilidade sob exame. Bater ensina medo; o medo ensina a imitação errada. Firme e calmo é mais difícil e mais profissional. Sam pratica o movimento da tampa até ele ficar entediante. Colegas que recompensam a energia de bater são corrigidos no debrief. A habilidade sob exame é estabelecer limites, não exibir domínio. Firme significa que o limite não se move quando o examinador empurra uma segunda vez. Calmo significa que voz, ritmo e mãos permanecem firmes enquanto ele se mantém. Examinadores de ensaio empurram de propósito duas vezes, porque o segundo empurrão é onde a maioria dos estudantes ou cede ou fica cortante.

40.12 Pontuações da rubrica calma/firme

Os colegas pontuam calma e firmeza numa rubrica de 0–3; Sam mira 3/3 nas duas. Rubricas numéricas tornam comparável o feedback barulhento do ensaio. Metas de três e três mantêm o padrão visível. Sam aceita dois como sinais de orientação, e não como ataques pessoais. As âncoras da rubrica incluem descrições breves de cada pontuação. Pontuações comparáveis ajudam os facilitadores a acompanhar a melhoria ao longo das noites. Na escala de firmeza, zero significa que o estudante concordou com a demonstração, um significa que hesitou, dois significa que recusou mas convidou mais negociação, e três significa um não claro com o limite citado. A escala de calma usa voz, ritmo, desculpas e postura como âncoras.

40.13 Clipes âncora da rubrica

As âncoras da rubrica calma/firme incluem clipes de vídeo de exemplo de boas recusas (somente internos). Clipes internos mantêm os exemplos concretos sem publicar performances de estresse. Sam revisa os clipes quanto a consentimento e ocultação antes de entrarem no pacote. Adjetivos abstratos derivam; clipes seguram o padrão. O acesso aos clipes segue os mesmos modos da pasta de ética dos artefatos de pressão. Âncoras são ferramentas de ensino, não entretenimento. Cada clipe tem menos de um minuto e vem emparelhado com sua pontuação e um motivo de uma linha, para que um facilitador novo possa se calibrar em poucos minutos antes da noite de ensaio. Clipes de recusas fracas são reencenados pela equipe em vez de tirados de estudantes reais, para poupar alguém do constrangimento.

40.14 Lista do que eu ainda recuso

Depois da defesa, Sam publica uma lista de uma página "o que eu ainda recusaria" ao lado do PDF da tese. A lista inclui demonstrações ao vivo em bancos públicos, kits de exploit e dumps não verificados de scanners como evidência. Estudantes futuros veem que o limite sobrevive à formatura. Os orientadores citam a lista quando novos estudantes pedem atalhos. Fantasias de formatura não aposentam limites. Listar recusas ao lado do PDF as torna difíceis de perder. Os orientadores ganham um artefato durável para conversas sobre atalhos. Dumps não verificados de scanners como evidência permanecem na lista de recusa por motivos de integridade. Limites que sobrevivem são a sequência quieta de uma defesa bem-sucedida.

40.15 Lista de recusa no caminho de estudo

A lista do que eu ainda recuso é linkada a partir do STUDY_PATH perto do curso 111. A descobribilidade importa quando novos estudantes caçam atalhos em chats privados. Sam confere o link a cada período, para que a podridão não esconda a lista. A colocação no caminho de estudo trata as recusas como currículo, e não como folclore. Leitores do curso 111 encontram o limite antes de a pressão do projeto final bater o pico. Recusas linkadas duram mais do que avisos de corredor. Colocar o link perto do curso 111 é deliberado: esse curso apresenta a proposta do projeto final, que é quando os estudantes sentem pela primeira vez a tentação de prometer uma demonstração ao vivo. Ver a lista de recusa de um formado nesse momento faz o limite parecer uma norma profissional, e não uma regra da equipe.

Exemplo resolvido (TRB sintético)

O resumo de Sam declara exatamente o que foi mostrado: acurácia offline do diff de escopo em inventários sintéticos e comportamento de falhar fechado — nada mais.

Caso sintético — Riverstone Transit Bank (TRB). O banco, Sam Ito, TrackScope/FindingsDesk/PulseMap e todos os números são inventados para fins didáticos.

Erros e limites

Este livro não concede nenhuma autoridade para testar bancos ou sistemas de pagamento reais. Os laboratórios usam apenas endereços de faixas de documentação e dados sintéticos; código de exploit nunca é fornecido.

Exercícios

Síntese

A tese alega apenas o que a avaliação mostrou e ensaia as perguntas difíceis.

Continue estudando — capítulo 40 de 40

← Capítulo 39 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →

Resoluções

Respostas-modelo para EX001–EX120. O Riverstone Transit Bank, Sam Ito e todos os números são sintéticos. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.

EX001. O conjunto dentro do escopo é o conjunto de endereços da VLAN menos o conjunto unitário que contém o gateway SWIFT.

EX002. O escopo cobre hosts; métodos precisam de permissão separada. Password spraying costuma ser proibido mesmo em hosts dentro do escopo.

EX003. A cobertura é 28/40 (70% dos hosts tocados). Mau uso: tratar 70% como "70% seguro".

EX004. Os hosts do razão contábil e os gateways vizinhos do SWIFT.

EX005. Falhar fechado: negar testes até que um arquivo de escopo válido seja carregado.

EX006. Ele confere o registro de ativos e o dono, não apenas o padrão do nome do host.

EX007. Ele precisa continuar sendo uma verificação offline, para não varrer acidentalmente redes reais.

EX008. Segredos fixos no código e desativação da verificação TLS (também chamadas de shell não sanitizadas ou novas tentativas sem limite).

EX009. Erros que ampliam o escopo ou vazam segredos.

EX010. "Vários sistemas aceitam a mesma senha privilegiada, então o comprometimento de um concede acesso amplo; a responsabilização individual fica indisponível."

EX011. Rotulá-la como especulativa ou omiti-la até que exista evidência; mantê-la fora da lista de fatos.

EX012. Ele nunca pode inventar DOIs nem referências fabricadas.

EX013. Confidencialidade; integridade; disponibilidade.

EX014. Não há autorização escrita; tentativas de acesso podem ser ilegais e danosas.

EX015. Código de exploit e procedimentos de ataque passo a passo para produtos reais.

EX016. O par (origem, destino) observado não pertence à relação de fluxos aprovados.

EX017. Ele mostra uma alcançabilidade que atravessa fronteiras de confiança além da arquitetura pretendida.

EX018. Ele ordena por pontuação decrescente e depois pelo id do achado.

EX019. Ele não corrige uma autorização ou uma lógica de negócio quebradas na aplicação.

EX020. São endereços de documentação reservados, seguros para exemplos.

EX021. Apenas quando as ROE permitem, com minimização dos dados de clientes.

EX022. Dono e hash de evidência (severidade também é razoável).

EX023. Para pegar erros de esquema e de escopo antes que qualquer ticket seja escrito.

EX024. Dois analistas sobrescrevendo silenciosamente as atualizações de ticket um do outro.

EX025. Privacidade e minimização prevista nas ROE — os achados precisam de prova, não de dados pessoais em massa.

EX026. O cronograma de retenção do contrato do engajamento.

EX027. Evidências de outros engajamentos e bancos de dados de clientes de produção.

EX028. 198.51.100.20 EXCLUDED

EX029. Recusar; o SWIFT continua excluído, salvo uma mudança escrita nas ROE — que testes comuns não vão conceder.

EX030. Escopo, exclusões, métodos, janela, contatos de emergência (também tratamento de dados e público).

EX031. Ele contorna o caminho controlado e registrado do jump host.

EX032. Elas reimplantam agentes desatualizados ou configurações fracas em hosts novos.

EX033. Não; o acesso ao hipervisor precisa de escopo explícito.

EX034. 95% CI=(0.40, 0.89)

EX035. Um n menor significa mais incerteza e, portanto, um intervalo de confiança mais largo.

EX036. "Detectamos sete de dez eventos de teste; a taxa verdadeira poderia razoavelmente estar em qualquer ponto entre cerca de 40% e 90%, então devemos fazer mais tentativas."

EX037. T1078 Valid Accounts.

EX038. Revisar a configuração e a política sob as ROE.

EX039. Nominal, com o menor privilégio para o método, com prazo definido e guardada no cofre.

EX040. Isso excede a finalidade e a minimização prevista nas ROE; a prova precisa de amostras, não de dados em massa.

EX041. Números de conta (deixando os quatro últimos dígitos, se necessário) e outros identificadores pessoais.

EX042. Eles concentram dados sensíveis de prova, atraentes para atacantes e para pessoas de dentro.

EX043. Ela recompensa o ruído e pune a validação cuidadosa.

EX044. O arquivo não mudou desde que o digest foi registrado.

EX045. Quem coletou, descrição, carimbo de tempo e local de armazenamento (também o hash).

EX046. web -> ledger-db UNAPPROVED

EX047. Negar os testes até que a política seja carregada.

EX048. Não; o processador precisa autorizar os seus próprios sistemas.

EX049. Não. O TLS não corrige bugs de autorização.

EX050. A chave vaza junto com o repositório e contorna a custódia adequada de chaves.

EX051. Verificações de integridade nos arquivos de evidência.

EX052. Ela não é específica nem mensurável.

EX053. A métrica, o limiar e o desenho do ensaio.

EX054. Aprovação do CISO e do RH sob ROE escritas.

EX055. Como uma etapa tardia/final, depois das etapas técnicas.

EX056. TIBER-EU e CBEST.

EX057. Ele é limitado no tempo, limitado na cobertura e invalidado por mudanças posteriores.

EX058. O relato é um fato; a posse por um Estado-nação é um palpite sem evidência.

EX059. Isso está fora do escopo e é uma violação de privacidade; o TRB pode redefinir as próprias credenciais sem lê-lo.

EX060. Uma senha de VPN do banco exposta fora do TRB cria risco de acesso não autorizado aos sistemas bancários.

EX061. Comparar as configurações e rodar os testes acordados com os donos — não presumir.

EX062. Ele está fora do escopo do engajamento; por isso, modelá-lo convida a testes acidentais.

EX063. Web, API móvel e VPN dos funcionários (também os pares de lote).

EX064. web -> ledger-db UNAPPROVED (ênfase do capítulo 22).

EX065. Corrigir um fluxo não aprovado pode exigir mudanças tanto no firewall/roteamento quanto na aplicação.

EX066. Parar as verificações relacionadas e evitar tempestades de novas tentativas.

EX067. Finalidade, cláusula das ROE, ferramenta/configurações, condições de parada, evidência esperada.

EX068. Password spraying e testes de negação de serviço.

EX069. Para evitar a expansão silenciosa das técnicas além do que foi autorizado.

EX070. F2 (páginas de erro verbosas), com pontuação 3.

EX071. Restringir a administração aos jump hosts e exigir MFA enquanto as senhas se tornam únicas.

EX072. Pontuação 6, faixa high.

EX073. lab_scope, lab_wilson e lab_flows.

EX074. Tentar varrer sistemas reais do TRB.

EX075. O SWIFT está EXCLUDED e precisa ser removido do plano.

EX076. Demonstrar o impacto com a menor ação e, então, parar.

EX077. Aprovações extras explícitas e confirmação das ROE.

EX078. Passos ordenados com horários e links de evidência.

EX079. T1190 detected 0/2 GAP

EX080. ok — detected 2/3.

EX081. Quando a evidência do reteste mostra que o problema está fechado.

EX082. Correções sistêmicas em vez de culpa individual.

EX083. Responsável e data de vencimento.

EX084. Um host de produção pode ser marcado erroneamente como em escopo se o inventário estiver desatualizado.

EX085. Id do engajamento, lembrete de escopo, janela e contato do testador.

EX086. Parar e reagendar para uma nova janela autorizada.

EX087. O log de atividades e o índice de evidência no cofre.

EX088. F1 e F4 FIXED; F3 STILL OPEN (corrigidos 2 de 3).

EX089. Dois minutos.

EX090. Não. O F3 permanece aberto.

EX091. Recusar removê-lo, oferecer uma resposta da gestão ao lado e escalar o pedido.

EX092. Achados adjacentes a pagamentos e de fluxo não aprovado do razão.

EX093. Cria uma trilha de auditoria se a pressão voltar e protege a integridade do processo de asseguração.

EX094. Fatos, evidência e linha do tempo — não conclusões jurídicas.

EX095. O acesso web→razão não aprovado pode precisar tanto de imposição na rede quanto de negação na camada da aplicação.

EX096. Quando as simulações afetam a equipe (por exemplo, exercícios de phishing).

EX097. Enviesa as alegações (p-hacking) e viola o pré-registro.

EX098. Como uma lacuna de amostra pequena que precisa de mais ensaios, não como prova de detecção zero permanente.

EX099. Adversários e sistemas mudam, então testes antigos perdem comportamentos novos.

EX100. Testes web trimestrais no estilo WSTG.

EX101. Exercícios de cenário guiados por ameaças.

EX102. Manter os testes web trimestrais e financiar exercícios guiados por ameaças a cada dois anos.

EX103. Sem módulos de exploit (ou sem varredura ao vivo do TRB; ou sem integração com todo sistema de tickets).

EX104. Precision e recall em derivas de inventário plantadas, ou comportamento de falhar fechado em arquivos de escopo corrompidos.

EX105. Somente inventários sintéticos.

EX106. Identificadores de clientes e outras especificidades sensíveis.

EX107. Um aprendizado, uma premissa quebrada e uma pergunta para o supervisor.

EX108. Uma melhoria de runbook ou um checklist que a equipe possa usar sem Sam.

EX109. Clareza de escopo, hashes de evidência, racional da severidade e privacidade (overclaim também).

EX110. Aponta linhas específicas e sugere uma correção concreta.

EX111. Porcentagens sem denominadores enganam quem decide.

EX112. only-in-docs, only-on-network e type-conflict (e match).

EX113. Falhar fechado com um motivo claro e um código de saída diferente de zero.

EX114. Não. Precisa rodar offline em arquivos locais.

EX115. Outro estudante ou testador independente.

EX116. A ferramenta não substitui a disciplina das ROE nem as verificações de autorização.

EX117. Não. As métricas permanecem como pré-registradas.

EX118. Não é um framework de exploit de red team.

EX119. Um leitor deve saber exatamente o que foi mostrado e o que não foi.

EX120. Integrar tickets do FindingsDesk ou estudar métricas de detecção guiadas por ameaças.