Capítulo 2 — Arquitetura e engenharia de segurança: fronteira da pesquisa

Capítulo 2 — Arquitetura e engenharia de segurança: fronteira da pesquisa

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Corpos de conhecimento"]
  N1["2.2 Princípios, frameworks, evidência"]
  N2["2.3 Zero trust como caso"]
  N3["2.4 A lacuna e a contribuição"]
  N4["2.5 Julgar a evidência de praticantes"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Corpos de conhecimento"]
  N1["2.2 Princípios, frameworks, evidência"]
  N2["2.3 Zero trust como caso"]
  N3["2.4 A lacuna e a contribuição"]
  N4["2.5 Julgar a evidência de praticantes"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX008"]

[2.1 Corpos de conhecimento]
    |
    v
[2.2 Princípios, frameworks, evidência]
    |
    v
[2.3 Zero trust como caso]
    |
    v
[2.4 A lacuna e a contribuição]
    |
    v
[2.5 Julgar a evidência de praticantes]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem

Você vai (1) mapear os principais corpos de conhecimento em arquitetura de segurança; (2) separar princípios, frameworks e evidência empírica; (3) localizar a lacuna que o estudo de Amara trata; (4) julgar a qualidade da evidência na literatura de praticantes.

2.1 Corpos de conhecimento

O mapa da literatura de Amara tem quatro regiões. Os princípios começam com Saltzer e Schroeder (1975), cujos princípios de design, como menor privilégio, padrões à prova de falha e mediação completa, ainda enquadram as revisões de arquitetura. Os padrões de engenharia incluem o NIST SP 800-160 Vol. 1 Rev. 1, que trata a segurança como uma propriedade construída ao longo do ciclo de vida do sistema. Os frameworks corporativos incluem o SABSA, descrito por Sherwood, Clark e Lynas (2005), e o guia do The Open Group sobre a integração de risco e segurança ao TOGAF. Os livros de prática incluem Shostack (2014), sobre threat modeling, e Anderson (2020), sobre engenharia de segurança, que combina princípios com muitos estudos de caso de falhas.

2.2 Princípios, frameworks, evidência

Essas fontes são tipos diferentes de conhecimento. Os princípios são argumentos raciocinados sobre o que tende a tornar os sistemas mais seguros. Frameworks como o SABSA e o TOGAF organizam o trabalho e o vocabulário, o que ajuda as equipes a se comunicar, mas não mostra por si só que os resultados melhoram. Catálogos de controles como o NIST SP 800-53 Rev. 5 e a ISO/IEC 27002:2022 listam salvaguardas. A evidência empírica é uma quarta categoria: observações de que uma prática mudou os resultados em organizações reais. Amara acha essa quarta categoria escassa. Muitos artigos descrevem um método e um único caso, mas poucos comparam os resultados com um contrafactual crível.

2.3 Zero trust como caso

A arquitetura zero trust, descrita no NIST SP 800-207, mostra a velocidade com que uma fronteira avança. A publicação define princípios como autenticar e autorizar cada requisição e não conceder confiança com base na localização na rede. Fornecedores e governos adotaram o termo rapidamente, mas Amara encontra pouca evidência revisada por pares que meça como as implantações de zero trust mudam as taxas de incidentes. Isso não é uma crítica à orientação, que é uma referência de design, mas mostra uma lacuna recorrente: as ideias de arquitetura se espalham por padrões e pela prática mais rápido do que a pesquisa consegue testar seus efeitos. O próprio estudo dela fica nessa lacuna, no caso do threat modeling.

2.4 A lacuna e a contribuição

Depois da triagem, Amara encontra estudos sobre a usabilidade do threat modeling, estudos que contam as ameaças identificadas em oficinas e relatos de praticantes sobre a adoção. Ela não encontra, na sua busca, nenhum estudo que ligue uma etapa de threat modeling aos defeitos de arquitetura pós-lançamento com equipes de comparação. Essa é a lacuna dela. Ela declara a contribuição de forma estreita: uma estimativa, com incerteza, do efeito numa organização, um manual de codificação reutilizável e um pacote de replicação. Ela evita afirmar que o threat modeling funciona em geral, porque uma organização não sustenta essa afirmação, e lista as condições em que sua estimativa poderia se transferir.

2.5 Julgar a evidência de praticantes

Muito do conhecimento de arquitetura aparece em palestras de conferência, relatórios de fornecedores e blogs. Amara classifica cada fonte numa escala simples: relata como os dados foram coletados, inclui uma comparação, relata as falhas além dos sucessos e declara conflitos de interesse. Uma pesquisa de fornecedor que afirma grandes reduções depois da adoção da sua plataforma pontua baixo em comparação e em conflitos. A revisão pós-incidente honesta de uma equipe pontua mais alto em transparência, mesmo com um único caso. Ela usa as fontes de nota baixa apenas para gerar hipóteses, nunca como evidência de efeito, e declara essa regra no capítulo de métodos.

Exemplo resolvido

Amara monta um mapa da literatura com quatro regiões, classifica vinte fontes como princípio, framework, catálogo ou empírica, dá notas aos relatos de praticantes e escreve uma declaração estreita da contribuição.

Caso sintético. As contagens da triagem e os relatos classificados são sintéticos; as obras citadas são reais.

Erros e limites

As buscas na literatura deixam passar a literatura cinzenta e os trabalhos fora do inglês. Uma lacuna pode existir porque uma pergunta é difícil de medir, e não porque ninguém pensou nela.

Exercícios

• EX008 — Princípios de Saltzer. Cite três princípios de Saltzer e Schroeder. Rubrica: 3 = três entre menor privilégio, padrões à prova de falha, mediação completa, economia de mecanismo, design aberto, separação de privilégios, menor mecanismo comum, aceitabilidade psicológica;; 2 = dois;; 1 = vago;; 0 = nenhuma.

• EX009 — Evidência dos frameworks. Adotar o SABSA ou o TOGAF mostra, por si só, resultados melhores? Rubrica: 3 = não; os frameworks organizam o trabalho e o vocabulário, e os resultados exigem evidência empírica;; 2 = não;; 1 = sim;; 0 = nenhuma.

• EX010 — Princípio do SP 800-207. Enuncie um princípio de zero trust do SP 800-207. Rubrica: 3 = nenhuma confiança implícita pela localização na rede ou cada requisição autenticada e autorizada;; 2 = um;; 1 = confiar na rede interna;; 0 = nenhuma.

• EX011 — Categoria escassa. Que categoria de conhecimento Amara achou mais escassa? Rubrica: 3 = evidência empírica que compara resultados com um contrafactual;; 2 = empírica;; 1 = princípios;; 0 = nenhuma.

• EX012 — Contribuição estreita. Por que Amara evita afirmar que o threat modeling funciona em geral? Rubrica: 3 = uma organização não sustenta uma afirmação geral; ela lista as condições de transferência;; 2 = um local;; 1 = funciona;; 0 = nenhuma.

• EX013 — Nota da pesquisa do fornecedor. Por que a pesquisa de um fornecedor sobre a própria plataforma pontua baixo? Rubrica: 3 = não tem comparação e há conflito de interesse;; 2 = um motivo;; 1 = alta;; 0 = nenhuma.

• EX014 — Uso das fontes de nota baixa. Como as fontes de nota baixa podem ser usadas? Rubrica: 3 = só para gerar hipóteses, nunca como evidência de efeito;; 2 = hipóteses;; 1 = como evidência;; 0 = nenhuma.

Síntese

A fronteira em arquitetura de segurança é rica em princípios e frameworks, mas pobre em evidências de resultado, o que define onde o trabalho de doutorado pode contribuir.

Continue estudando — aula 02 (capítulo 02 de 08)

← Capítulo 01 · Índice das aulas · Capítulo 03 →

Continue para a próxima aula já escrita.