OpenCyber AcademyMapa da aula
Aula 16 publicada. Mapa, exemplo, EX046.
flowchart TD
N0["16.1 Camadas"]
N1["16.2 CTI em cada camada"]
N2["16.3 Segmentação"]
N3["16.4 Escolher onde aplicar"]
N4["16.5 Revisões de arquitetura"]
N5["16.6 Os backups como consumidores de CTI"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX046"]
Desenho lógico
flowchart LR
N0["16.1 Camadas"]
N1["16.2 CTI em cada camada"]
N2["16.3 Segmentação"]
N3["16.4 Escolher onde aplicar"]
N4["16.5 Revisões de arquitetura"]
N5["16.6 Os backups como consumidores de CTI"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX046"]
[16.1 Camadas]
|
v
[16.2 CTI em cada camada]
|
v
[16.3 Segmentação]
|
v
[16.4 Escolher onde aplicar]
|
v
[16.5 Revisões de arquitetura]
|
v
[16.6 Os backups como consumidores de CTI]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX046]
Objetivos de aprendizagem
Você vai (1) descrever a defesa em profundidade na rede de um hospital; (2) posicionar as entradas de CTI em cada camada; (3) explicar a segmentação dos sistemas clínicos; (4) escolher onde um indicador deve ser aplicado.
16.1 Camadas
Filtragem de e-mail, proxy web, filtragem de DNS, proteção de endpoint, controles de identidade, segmentação e backups formam camadas. Nenhuma camada sozinha impede todo ataque; a inteligência ajuda a ajustar cada uma. Amara associa cada tipo de inteligência que o HCHT recebe à camada que pode usá-lo e à equipe responsável por essa camada. O mapa mostra camadas que nenhuma inteligência alcança, como os backups, e inteligência que nenhuma camada pode usar, como indicadores de sistemas que o HCHT não opera. As duas lacunas são discutidas com o líder de segurança.
16.2 CTI em cada camada
Domínios remetentes alimentam os filtros de e-mail; domínios maliciosos alimentam o DNS e o proxy; hashes alimentam as ferramentas de endpoint; a inteligência sobre técnicas orienta as regras de detecção e o endurecimento; a inteligência sobre ransomware (Data Encrypted for Impact, T1486) orienta o isolamento dos backups. Amara encaminha cada item ao responsável certo com uma explicação curta do que fazer. As listas de hashes vão para a equipe de endpoint com a fonte e a confiança; os resumos de técnicas vão para o engenheiro de detecção com ideias de buscas; a inteligência sobre ransomware vai para a infraestrutura com os riscos específicos aos backups. Cada responsável confirma o que foi feito, o que alimenta as medidas de resultado.
16.3 Segmentação
Os dispositivos clínicos ficam em zonas de rede separadas, com caminhos rigidamente limitados. A inteligência sobre movimento lateral por serviços remotos reforça o argumento para bloquear caminhos desnecessários entre as zonas administrativas e clínicas. Amara reúne relatórios do setor em que atacantes passaram de sistemas administrativos para sistemas clínicos e resume os caminhos que usaram. A equipe de rede os compara com as regras de firewall do HCHT e encontra dois caminhos que não são mais necessários, que são fechados depois de conferência com a engenharia clínica. O resumo é guardado como evidência da mudança.
16.4 Escolher onde aplicar
Bloqueie onde o indicador é confiável e o raio de impacto é aceitável. O hash de um arquivo malicioso conhecido é seguro de bloquear nos endpoints. Um endereço de nuvem compartilhado não é seguro de bloquear no firewall. Amara escreve, ao lado de cada recomendação de bloqueio, o motivo do ponto de aplicação escolhido. Quando a confiabilidade é incerta, ela recomenda monitorar primeiro e bloquear depois, se a evidência crescer. O mesmo domínio pode ser seguro de bloquear no gateway de e-mail, onde só as mensagens são afetadas, mas arriscado no DNS, onde sistemas clínicos poderiam perder o acesso ao serviço de um fornecedor.
16.5 Revisões de arquitetura
Quando o HCHT projeta um sistema novo, a equipe de CTI resume as técnicas relevantes vistas no setor para que os arquitetos possam projetar contra elas desde o início. O resumo é curto e lista as técnicas relevantes para o tipo de sistema, como o acesso remoto para um portal de fornecedores ou o phishing para um novo fluxo de e-mail. Os arquitetos o usam para conferir o projeto, e a equipe de CTI depois confere o projeto quanto às técnicas listadas. Amara ajudou no resumo para um novo sistema de laboratório.
16.6 Os backups como consumidores de CTI
A inteligência setorial de que grupos de ransomware procuram e apagam os backups antes de cifrar (T1490 Inhibit System Recovery é uma técnica relacionada do ATT&CK) diz à equipe de infraestrutura o que proteger: cópias offline ou imutáveis, credenciais separadas para a administração dos backups e testes periódicos de restauração que provem que a recuperação funciona. O resumo de Amara sobre os relatórios do setor vai para a equipe de infraestrutura, que confirma quais proteções existem. A equipe também faz um teste de restauração depois do resumo, que mostra que um conjunto de backup compartilha credenciais com a administração comum. As credenciais são separadas dentro do mês, e o resultado é registrado como desfecho da inteligência.
Exemplo resolvido
Um relatório do setor descreve atacantes que cifraram servidores de arquivos depois de apagar os backups. Amara o associa a T1486 e o passa ao líder de infraestrutura com uma pergunta: os backups do HCHT são offline ou imutáveis? Em um site, não são. O líder acrescenta uma cópia imutável, citando o relatório na solicitação de mudança.
Caso sintético. O relatório e a lacuna de backup são inventados.
Erros e limites
Mudanças de arquitetura levam tempo; a inteligência deve orientar as prioridades, não exigir um redesenho imediato.
Exercícios
- EX046 — Correspondência de camada. Que camada deve receber o hash SHA-256 de um anexo malicioso?
Mostrar critérios de avaliação
Rubrica: 3 = endpoint (e varredura de anexos de e-mail), com justificativa; 2 = endpoint; 1 = firewall; 0 = nenhuma. - EX047 — Endereço de nuvem. Por que não bloquear um endereço de nuvem compartilhado no firewall?
Mostrar critérios de avaliação
Rubrica: 3 = muitos serviços legítimos o compartilham; dano colateral; 2 = parcial; 1 = sempre bloquear; 0 = nenhuma. - EX048 — Pergunta sobre backups. Que pergunta a inteligência sobre ransomware provocou, e o que mudou?
Mostrar critérios de avaliação
Rubrica: 3 = os backups são offline/imutáveis? cópia imutável acrescentada em um site; 2 = um dos dois; 1 = vago; 0 = nenhuma.
Síntese
Alimente cada camada com a inteligência que ela pode usar, aplique onde for confiável e inofensivo e use a inteligência sobre técnicas para moldar a arquitetura.
Continue estudando — capítulo 16 de 40
← Capítulo 15 (rascunho) · Índice de capítulos do curso · Capítulo 17 (rascunho) →