Capítulo 2 — Sistemas computacionais | Graduação Inteligência de ameaças e OSINT

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX004.

flowchart TD
  N0["2.1 O parque computacional"]
  N1["2.2 Logs como sensores"]
  N2["2.3 Pontos de aplicação"]
  N3["2.4 Dispositivos médicos"]
  N4["2.5 Inventário de ativos"]
  N5["Sistemas na nuvem e de fornecedores"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX004"]

Desenho lógico

flowchart LR
  N0["2.1 O parque computacional"]
  N1["2.2 Logs como sensores"]
  N2["2.3 Pontos de aplicação"]
  N3["2.4 Dispositivos médicos"]
  N4["2.5 Inventário de ativos"]
  N5["Sistemas na nuvem e de fornecedores"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX004"]

[2.1 O parque computacional]
    |
    v
[2.2 Logs como sensores]
    |
    v
[2.3 Pontos de aplicação]
    |
    v
[2.4 Dispositivos médicos]
    |
    v
[2.5 Inventário de ativos]
    |
    v
[Sistemas na nuvem e de fornecedores]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX004]

Objetivos de aprendizagem

Você vai (1) descrever os componentes do parque computacional de um hospital relevantes para a CTI; (2) explicar que logs cada componente produz; (3) identificar onde os indicadores podem ser conferidos; (4) reconhecer os dispositivos médicos como casos especiais.

2.1 O parque computacional

O HCHT opera estações de trabalho dos funcionários, aplicações clínicas, um portal do paciente, e-mail, um serviço de diretório, caixas de correio na nuvem, sistemas de laboratório e dispositivos médicos em rede. Cada um tem responsáveis, rotas de atualização e logs. A CTI só é útil se chega ao lugar onde pode ser conferida ou aplicada. A primeira tarefa de Amara é listar, para cada parte do parque, quem é o responsável, como é atualizada e o que registra. A lista mostra onde a inteligência pode ser usada depressa, como na filtragem de e-mail, e onde não pode, como nos sistemas de laboratório operados por um fornecedor sob contrato.

2.2 Logs como sensores

Gateways de e-mail registram remetentes e anexos; proxies web registram URLs; resolvedores DNS registram consultas; endpoints registram processos; o diretório registra logons. Quando o HSSC compartilha um domínio malicioso, Amara pode buscar contatos passados nos logs de DNS e de proxy — uma caçada retrospectiva. Uma caçada retrospectiva responde a uma pergunta simples: algo no HCHT contatou este domínio antes de sabermos que era malicioso? Amara confere se a retenção dos logs cobre o período descrito no relatório do HSSC, já que uma caçada não encontra contatos mais antigos que o log mais antigo. Onde a retenção é curta, ela registra a lacuna em vez de relatar um resultado limpo.

2.3 Pontos de aplicação

Filtros de e-mail, bloqueio por DNS, categorias de proxy e regras de endpoint podem agir sobre indicadores. Cada um tem um raio de impacto diferente. Bloquear um domínio no DNS afeta todo dispositivo que usa o resolvedor, inclusive os sistemas clínicos. Um bloqueio errado no DNS poderia impedir uma aplicação clínica de alcançar o serviço de um fornecedor e atrasar o atendimento aos pacientes. Por isso Amara registra, para cada ponto de aplicação, quem pode alterá-lo, com que rapidez um bloqueio pode ser revertido e quais sistemas ele afeta. Indicadores de baixa confiança vão primeiro para monitoramento, onde geram alertas sem interromper o tráfego, até que a evidência sustente um bloqueio.

2.4 Dispositivos médicos

Bombas de infusão e sistemas de imagem costumam rodar sistemas operacionais antigos e não podem ser corrigidos depressa. Podem não tolerar varreduras nem software de agente. A CTI sobre ameaças a esses dispositivos vai para a equipe de engenharia clínica, que decide pelo isolamento de rede em vez de mudanças no host. Amara aprende que a segurança do paciente vem primeiro: uma mudança de segurança que faz uma bomba parar de funcionar é pior do que a ameaça que ela pretendia tratar. A inteligência sobre esses dispositivos é redigida para engenheiros clínicos, nomeando o modelo do dispositivo e a exposição, e eles decidem que mudança é segura para os pacientes.

2.5 Inventário de ativos

Um inventário preciso permite que os analistas respondam "usamos o produto afetado?" em minutos quando chega um alerta. Sem ele, cada alerta dispara um exercício de adivinhação. O inventário do HCHT lista produtos de software e versões para estações de trabalho e servidores, mas os dispositivos médicos são registrados só pelo modelo, então Amara anota que alertas sobre software de dispositivos exigem conferência extra com a engenharia clínica. Manter o inventário atualizado é tarefa de operações; o papel de Amara é relatar onde as lacunas atrasaram uma resposta, para que os responsáveis possam corrigi-las.

Sistemas na nuvem e de fornecedores

Alguns serviços do HCHT rodam em plataformas de fornecedores: o e-mail na nuvem, o portal de agendamento e o software de patologia. Os logs ficam com o fornecedor. Os contratos devem dizer que logs o HCHT pode obter e com que rapidez, porque uma caçada a indicadores é impossível sem acesso aos registros relevantes.

Exemplo resolvido

O HSSC compartilha um alerta sobre um produto de servidor de imagem vulnerável. Amara consulta o inventário: dois servidores em um hospital correspondem. Ela envia o alerta à engenharia clínica com os identificadores dos ativos, e não à fila geral de TI, porque os servidores são sistemas médicos certificados.

Caso sintético. O alerta e os servidores são inventados.

Erros e limites

Inventários envelhecem; confirme com os responsáveis. Não faça varreduras em dispositivos médicos sem aprovação da engenharia clínica.

Exercícios

EX004 — Fonte de log. Que log mostraria se algum dispositivo do HCHT consultou um domínio malicioso na semana passada?
Mostrar critérios de avaliação
Rubrica: 3 = logs do resolvedor DNS (proxy como fonte secundária); 2 = só o proxy; 1 = antivírus do endpoint; 0 = nenhuma.
EX005 — Rota do dispositivo. Por que Amara encaminhou o alerta de imagem à engenharia clínica?
Mostrar critérios de avaliação
Rubrica: 3 = sistemas médicos certificados; processo especial de mudança/segurança; responsáveis; 2 = só os responsáveis; 1 = conveniência; 0 = nenhuma.
EX006 — Raio de impacto. Dê um risco de bloquear um domínio no resolvedor DNS de um hospital.
Mostrar critérios de avaliação
Rubrica: 3 = pode quebrar sistemas clínicos que dependem dele/dano colateral; 2 = vago; 1 = nenhum risco; 0 = nenhuma.

Síntese

Conheça o parque, seus logs e pontos de aplicação, trate os dispositivos médicos à parte e mantenha o inventário atualizado.

Continue estudando — capítulo 02 de 40

← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →