◇ OpenCyber Academy
Graduação · Capítulo 5 · Português

Capítulo 5 — Letramento em segurança

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 5 — Letramento em segurança

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX013.

flowchart TD
  N0["5.1 Conceitos centrais"]
  N1["5.2 Ataques a varejistas"]
  N2["5.3 Controles para os ataques"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX013"]

Desenho lógico

flowchart LR
  N0["5.1 Conceitos centrais"]
  N1["5.2 Ataques a varejistas"]
  N2["5.3 Controles para os ataques"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX013"]

[5.1 Conceitos centrais]
    |
    v
[5.2 Ataques a varejistas]
    |
    v
[5.3 Controles para os ataques]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX013]

Objetivos de aprendizagem

Você vai (1) explicar conceitos centrais de segurança em linguagem simples; (2) reconhecer padrões comuns de ataque contra varejistas; (3) relacionar os controles aos ataques que eles tratam.

5.1 Conceitos centrais

Lucas aprende a linguagem da segurança: confidencialidade, integridade e disponibilidade; ativos, ameaças, vulnerabilidades e risco; autenticação e autorização. Ele pratica explicar cada um a uma gerente de loja da Fernway, sem jargão. Confidencialidade significa que só as pessoas certas veem os dados dos clientes; integridade significa que preços e pedidos não podem ser alterados sem permissão; disponibilidade significa que a loja continua aberta online. Saber explicar os conceitos com simplicidade faz parte do letramento em segurança, porque os arquitetos precisam convencer não especialistas a financiar e seguir os controles. Se a gerente não consegue repetir a ideia com as próprias palavras, a explicação ainda não funcionou.

5.2 Ataques a varejistas

Hannah descreve os ataques que a Fernway enfrenta. E-mails de phishing que se passam por fornecedores pedem à equipe que altere dados bancários. O credential stuffing usa senhas vazadas de outros sites para entrar nas contas dos associados. Scripts de skimming injetados nas páginas de checkout roubam os dados dos cartões enquanto os clientes digitam. A fraude com vale-presente explora verificações fracas nas consultas de saldo. Lucas observa que a maioria não quebra criptografia nem explora falhas exóticas; elas abusam de processos comuns e de autenticação fraca. A arquitetura, portanto, precisa cobrir processos de negócio e pessoas, e não só servidores e redes.

5.3 Controles para os ataques

Lucas associa controles aos ataques. As alterações de dados bancários de fornecedores exigem uma ligação para um número conhecido e duas aprovações. O credential stuffing é reduzido com rate limiting, verificação das senhas contra listas de senhas vazadas e oferta de autenticação multifator. O skimming no checkout é reduzido limitando scripts de terceiros, usando content security policy e monitorando mudanças na página. A fraude com vale-presente é reduzida com rate limits e exigindo o número do cartão mais um PIN. Cada controle trata um caminho de ataque específico, e ele consegue explicar por que cada um existe, o que ajuda a equipe a aceitá-lo.

Exemplo resolvido

Lucas explica cinco conceitos centrais a uma gerente de loja, lista quatro ataques ao varejo e associa cada um a controles.

Caso sintético. Os ataques e os controles na Fernway são sintéticos.

Erros e limites

Os padrões de ataque mudam; as listas precisam de atualização regular. Os controles podem deslocar os ataques para outro lugar, em vez de detê-los.

Exercícios

Síntese

Letramento em segurança significa explicar conceitos com simplicidade e conectar ataques reais a controles específicos.

Continue estudando — aula 05 (capítulo 05 de 40)

← Capítulo 04 · Índice das aulas · Capítulo 06 →

Continue para a próxima aula já escrita.