Capítulo 47 — Ensaio de falha e recuperação

Capítulo 47 — Ensaio de falha e recuperação

Mapa da aula

Aula 47 publicada. Mapa, exemplo, EX139.

flowchart TD
  N0["47.1 Planejar o ensaio"]
  N1["47.2 Executar a recuperação"]
  N2["47.3 Aprender com o ensaio"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX139"]

Desenho lógico

flowchart LR
  N0["47.1 Planejar o ensaio"]
  N1["47.2 Executar a recuperação"]
  N2["47.3 Aprender com o ensaio"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX139"]

[47.1 Planejar o ensaio]
    |
    v
[47.2 Executar a recuperação]
    |
    v
[47.3 Aprender com o ensaio]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX139]

Objetivos de aprendizagem

Você vai (1) planejar um exercício de recuperação em grande escala; (2) recuperar a raiz do firmware a partir das partes dos custodiantes; (3) aprender com os achados do exercício.

47.1 Planejar o ensaio

A Ridgeway faz um ensaio anual de falha e recuperação, e Aiyana ajuda a planejar o cenário deste ano: o HSM primário de assinatura é destruído num incêndio simulado, e uma correção de segurança precisa ser assinada e publicada em até quarenta e oito horas. O ensaio usa os procedimentos reais de backup, mas uma raiz de teste e medidores de teste, de modo que nenhuma chave de produção é exposta. Os objetivos, os critérios de sucesso, os observadores e uma regra de interrupção são combinados antecipadamente. O planejamento garante que o exercício teste os procedimentos, e não a improvisação. Um responsável pela segurança pode interromper o ensaio a qualquer momento se um passo puser em risco sistemas reais.

47.2 Executar a recuperação

Três dos cinco custodiantes são chamados; um está no exterior e outro está inalcançável, mas o quórum de três de cinco do Capítulo 32 permite a recuperação. Eles se reúnem no site de backup, restauram a raiz de teste num HSM sobressalente a partir das partes cifradas, emitem uma nova intermediária numa cerimônia e assinam a correção. Os medidores de teste a aceitam. O tempo total é de trinta e uma horas. Os observadores registram cada passo. Um atraso surge porque o firmware do HSM sobressalente era mais antigo do que o exigido e precisou de uma atualização durante o ensaio.

47.3 Aprender com o ensaio

A revisão posterior ao ensaio lista os achados sem buscar culpados: o HSM sobressalente não era mantido com o mesmo firmware da produção; a lista de contatos dos custodiantes tinha um número de telefone desatualizado; e o roteiro da cerimônia não tinha um passo para registrar a nova intermediária no inventário. Cada achado recebe um dono e um prazo. Aiyana atualiza o roteiro da cerimônia e acrescenta verificações do firmware do HSM sobressalente ao checklist mensal das operações. O valor do ensaio está nesses achados, descobertos na prática, e não durante uma emergência real.

Exemplo resolvido

O ensaio recupera uma raiz de teste a partir das partes de três custodiantes, assina uma correção em trinta e uma horas e produz três achados sem culpados, com donos.

Caso sintético. O cenário e os tempos são inventados.

Erros e limites

Exercícios com condições irreais dão uma falsa confiança. Usar chaves de produção em ensaios arrisca uma exposição real.

Exercícios

• EX139 — Raiz de teste. Por que o ensaio usa uma raiz de teste e medidores de teste? Rubrica: 3 = para exercitar os procedimentos reais sem expor chaves de produção;; 2 = segurança;; 1 = realismo;; 0 = nenhuma.

• EX140 — Quórum na prática. Como o projeto de quórum ajudou durante o ensaio? Rubrica: 3 = só três de cinco custodiantes estavam disponíveis, o suficiente para a recuperação;; 2 = quórum;; 1 = não ajudou;; 0 = nenhuma.

• EX141 — Achados do ensaio. Cite dois achados da revisão posterior ao ensaio. Rubrica: 3 = dois entre firmware desatualizado do HSM sobressalente, telefone errado, passo de inventário ausente;; 2 = um;; 1 = vago;; 0 = nenhuma.

Síntese

Testes de recuperação realistas, com revisão sem culpa, revelam as pequenas lacunas operacionais que paralisariam uma emergência real.

Continue estudando — aula 47 (capítulo 47 de 50)

← Capítulo 46 · Índice das aulas · Capítulo 48 →

Continue para a próxima aula já escrita.