OpenCyber Academy
Graduação · Capítulo 20 · Português
Código do curso: OCA-099Capítulo 20: OCA-099-C020

Capítulo 20 — Arquitetura e engenharia de segurança: casos fundamentais

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 20 publicada. Mapa, exemplo, EX058.

flowchart TD
  N0["20.1 Aprender com os casos"]
  N1["20.2 Relacionar à Fernway"]
  N2["20.3 Escrever uma análise de caso"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX058"]

Desenho lógico

flowchart LR
  N0["20.1 Aprender com os casos"]
  N1["20.2 Relacionar à Fernway"]
  N2["20.3 Escrever uma análise de caso"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX058"]

[20.1 Aprender com os casos]
    |
    v
[20.2 Relacionar à Fernway]
    |
    v
[20.3 Escrever uma análise de caso]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX058]

Objetivos de aprendizagem

Você vai (1) analisar incidentes publicados em busca de lições de arquitetura; (2) relacionar as lições à Fernway; (3) escrever uma análise de caso curta.

20.1 Aprender com os casos

O Dr. Bellini passa três padrões de incidentes públicos bem documentados, em vez de histórias de empresas específicas: comprometimento por meio de um fornecedor com acesso à rede, roubo de dados de um bucket de armazenamento em nuvem exposto e um ransomware que se espalhou porque os backups eram alcançáveis a partir da mesma rede. Lucas analisa cada um em busca de causas de arquitetura, e não de culpa individual. O caso do fornecedor mostra confiança excessiva; o do armazenamento mostra padrões fracos e falta de monitoramento; o do ransomware mostra um único domínio de falha. Cada um aponta para um princípio de projeto que poderia ter limitado o dano.

20.2 Relacionar à Fernway

Lucas confere a Fernway contra cada padrão. O terceirizado de montagem de lojas tem uma conta de VPN permanente com acesso amplo, o que corresponde ao padrão do fornecedor; ele recomenda acesso com prazo limitado, aprovado a cada trabalho. As imagens de produtos da Fernway ficam num bucket na nuvem, corretamente público, mas uma pasta de exportação no mesmo bucket guarda um arquivo de estoque; ele recomenda um bucket privado separado. Os backups já estão offline desde o capítulo 11. O mapeamento transforma casos abstratos em três ações concretas, ordenadas pelo tamanho da lacuna e pela facilidade da correção.

20.3 Escrever uma análise de caso

Lucas escreve cada análise numa estrutura fixa: o que aconteceu, as causas de arquitetura, o que teria limitado o impacto e a relevância para a Fernway. Ele deixa a culpa de fora e cita orientações publicadas onde se aplicam, como o SP 800-207 para limitar a confiança em fornecedores. Cada análise tem menos de uma página. Hannah as compartilha com os gestores da Fernway, que acham casos curtos e estruturados mais persuasivos do que avisos genéricos. Lucas aprende que o valor de um caso está na lição de projeto transferível, e não no drama do incidente.

Exemplo resolvido

Lucas analisa três padrões de incidentes em busca de causas de arquitetura, relaciona-os à Fernway e produz três ações ordenadas em análises de uma página.

Caso sintético. Os padrões de incidentes são genéricos e sintéticos; o SP 800-207 é real.

Erros e limites

Os padrões genéricos podem deixar passar detalhes locais. As lições dos casos precisam ser conferidas com as configurações atuais.

Exercícios

Síntese

Analisar casos em busca de causas arquiteturais transforma incidentes de outras organizações em melhorias locais específicas.

Respostas comentadas

EX058. A conta de VPN permanente e com acesso amplo do terceirizado de montagem de lojas.

EX059. Mover a exportação de estoque para um bucket privado separado, deixando públicas as imagens de produtos.

EX060. Na lição de projeto transferível, e não nos detalhes do incidente.