Capítulo 8 — Plano de defesa e publicação | Pesquisa doutoral Segurança ofensiva autorizada e equipe vermelha

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX045.

flowchart TD
  N0["8.1 Postura na defesa"]
  N1["8.2 Respostas sobre uso dual"]
  N2["8.3 Plano de publicação"]
  N3["8.4 Pesquisa seguinte"]
  N4["8.5 Deixando o laboratório mais seguro"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX045"]

Desenho lógico

flowchart LR
  N0["8.1 Postura na defesa"]
  N1["8.2 Respostas sobre uso dual"]
  N2["8.3 Plano de publicação"]
  N3["8.4 Pesquisa seguinte"]
  N4["8.5 Deixando o laboratório mais seguro"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX045"]

[8.1 Postura na defesa]
    |
    v
[8.2 Respostas sobre uso dual]
    |
    v
[8.3 Plano de publicação]
    |
    v
[8.4 Pesquisa seguinte]
    |
    v
[8.5 Deixando o laboratório mais seguro]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX045]

Objetivos de aprendizagem

Você vai (1) defender métodos, ética e alegações sob arguição; (2) responder a questionamentos sobre uso dual e generalização; (3) planejar publicações que ajudem os defensores sem habilitar atacantes; (4) mapear a pesquisa seguinte; e (5) deixar o laboratório mais seguro do que o encontrou.

8.1 Postura na defesa

Abra com a pergunta, a medida e o resultado primário com intervalos. Espere perguntas sobre: autorização; por que laboratórios sintéticos; independência; o que falsearia a alegação; como os operadores poderiam burlar o verificador. Leve o pré-registro e uma demonstração ao vivo do verificador sobre propostas sintéticas. A abertura de Elena cabe em cerca de noventa segundos: predicados verificáveis por máquina versus ROE em prosa; sondagens fora do escopo por hora; 0,17 contra 0,03, com intervalos; faixas sintéticas do NHUSTL, operadores estudantes, vinte engajamentos por braço. A demonstração ao vivo mostra um DENY para 8.8.8.8 antes que qualquer pacote saia.

8.2 Respostas sobre uso dual

"Publicamos predicados e taxas, não cadeias de exploração. Todos os alvos eram sintéticos. Qualquer problema real encontrado em sistemas da instituição passou por divulgação coordenada." Se pressionado a demonstrar um ataque, recuse e ofereça, em vez disso, uma demonstração da negação de escopo. A resposta de Elena em quatro partes é: recusar a exploração; demonstrar a negação de escopo; reafirmar as regras de ética e de uso dual; mencionar a divulgação coordenada para qualquer problema real. Uma exigência de detalhes de ataque numa defesa costuma ser um teste de discernimento. Ofereça a demonstração de escopo imediatamente, para que a recusa não seja o fim da resposta.

8.3 Plano de publicação

Alvo: um veículo de medição/ética para o resultado principal; um resumo curto para equipes autorizadas; nenhum complemento sobre "como contornar". Cite os frameworks com precisão (NIST SP 800-115, PTES, ATT&CK, WSTG, TIBER-EU, CBEST), com versões e datas. O plano de Elena lista uma submissão a periódico sobre medição e ética, sem detalhes de exploração, e uma publicação aberta do arquivo com hashes. As citações de frameworks trazem versões e datas de acesso, porque o ATT&CK e o WSTG mudam. Não há artigo complementar sobre como contornar o verificador.

8.4 Pesquisa seguinte

Replicação externa em outro laboratório universitário; piloto corporativo sob autorização separada; estudo de fatores humanos sobre as paradas falsas; comparação com controles de cenários guiados por ameaças de exercícios no estilo TIBER.

"""ATT&CK-style coverage matrix over synthetic authorized techniques (names only)."""
# Synthetic engagement log: technique_id -> observed (True/False)
PLAN = ["T1046", "T1595", "T1082", "T1083", "T1059", "T1078", "T1021"]
OBSERVED = {"T1046", "T1595", "T1082", "T1083", "T1078"}
LABELS = {
    "T1046": "Network Service Discovery",
    "T1595": "Active Scanning",
    "T1082": "System Information Discovery",
    "T1083": "File and Directory Discovery",
    "T1059": "Command and Scripting Interpreter",
    "T1078": "Valid Accounts",
    "T1021": "Remote Services",
}
covered = 0
for tid in PLAN:
    hit = tid in OBSERVED
    covered += hit
    print(f"{tid} {LABELS[tid]:34} {'COVERED' if hit else 'PLANNED-NOT-SEEN'}")
print(f"coverage={covered}/{len(PLAN)} ({100*covered/len(PLAN):.0f}%)")

Saída esperada:

T1046 Network Service Discovery          COVERED
T1595 Active Scanning                    COVERED
T1082 System Information Discovery       COVERED
T1083 File and Directory Discovery       COVERED
T1059 Command and Scripting Interpreter  PLANNED-NOT-SEEN
T1078 Valid Accounts                     COVERED
T1021 Remote Services                    PLANNED-NOT-SEEN
coverage=5/7 (71%)

A página de pesquisa seguinte de Elena lista essas quatro, cada uma com uma nota de autorização de uma linha. A replicação externa vem primeiro: outro laboratório executando o mesmo verificador e as mesmas medidas sob sua própria aprovação. Pilotos corporativos precisam de autorização separada da do estudo de laboratório e não devem reutilizar a aprovação do NHUSTL, restrita a dados sintéticos. O estudo de fatores humanos parte das duas paradas falsas do piloto e pergunta como as mensagens do verificador poderiam ajudar os operadores a perceber um host no escopo digitado errado.

8.5 Deixando o laboratório mais seguro

Documente os padrões do verificador; treine a próxima turma nas condições de parada; remova quaisquer exceções temporárias; doe a topologia sintética ao ensino. O relato de cobertura (o laboratório) se torna um exercício didático de humildade: planejado e não visto é um ponto de partida para o próximo estudo autorizado, não um troféu. Elena fixa os padrões do verificador, treina a próxima turma nas condições de parada, remove as exceções temporárias e doa a topologia sintética ao ensino. As técnicas planejadas e não vistas do laboratório de cobertura entram no plano do próximo estudo autorizado, com permissão, em vez de serem testadas por conta própria.

8.6 Exemplo resolvido (caso sintético do NHUSTL)

Na defesa, perguntam a Elena se os resultados se generalizam para avaliações no estilo CBEST. Ela responde que o CBEST é guiado por ameaças e supervisionado pelo regulador para empresas financeiras; sua contribuição é um instrumento de medição do cumprimento do escopo que tais programas poderiam adotar, não um substituto para cenários guiados por inteligência. Ela recusa um pedido para mostrar uma "exploração divertida" e, em vez disso, demonstra um DENY para 8.8.8.8. Seu plano de publicação lista uma submissão a periódico e uma publicação aberta do arquivo com hashes.

A resposta sobre o CBEST é de complemento, não de substituição: um instrumento de cumprimento do escopo poderia apoiar tais programas, mas não substitui cenários guiados por inteligência nem a supervisão regulatória. A demonstração de exploração recusada e o DENY para 8.8.8.8 mostram a mesma disciplina de uso dual do plano de publicação.

8.7 Erros e limites

Três erros são comuns: alegar generalização excessiva para empresas ao vivo; publicar receitas de contorno; e deixar regras temporárias de escopo amplo ativadas. Cada erro desfaz o cuidado anterior. Alegar generalização excessiva para empresas ao vivo vai além de laboratórios sintéticos e operadores estudantes. Publicar receitas de contorno transforma a pesquisa de medição num recurso de ataque. Deixar regras temporárias de escopo amplo ativadas é um risco para a próxima turma. Verifique os três pontos no plano de defesa e de passagem. A lista de passagem de Elena nomeia cada um. As regras temporárias de escopo amplo são removidas da configuração do verificador, e a data da remoção fica registrada na lista.

Exercícios

EX045 — Abertura. Escreva uma abertura de defesa de 90 segundos. Rubrica: 3 = pergunta, medida, resultado, condições; 2 = três; 1 = vago; 0 = nenhum.
EX046 — Uso dual. Responda a "mostre-nos a exploração" em quatro frases. Rubrica: 3 = recusar, oferecer demonstração de escopo, ética, divulgação coordenada; 2 = três; 1 = mostra a exploração; 0 = nenhum.
EX047 — CBEST. Relacione seu trabalho ao CBEST sem alegar demais. Rubrica: 3 = complementar, não substituto; 2 = parcial; 1 = "substituímos o CBEST"; 0 = nenhum.
EX048 — Publicações. Planeje duas publicações com veículos e o que fica excluído. Rubrica: 3 = ambas com exclusões; 2 = uma; 1 = vago; 0 = nenhum.
EX049 — Laboratório de cobertura. Como você usaria eticamente uma técnica planejada e não vista? Rubrica: 3 = próximo estudo autorizado, sem testes por conta própria; 2 = parcial; 1 = simplesmente atacá-la; 0 = nenhum.
EX050 — Passagem. Liste cinco ações de passagem para deixar o laboratório mais seguro. Rubrica: 3 = cinco adequadas; 2 = três; 1 = uma; 0 = nenhuma.

Síntese

A defesa e a publicação provam que sua contribuição é medida, ética e utilizável — e que você não trocará a integridade pelo espetáculo.

Continue estudando — capítulo 08 de 08

← Capítulo 07 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →