Capítulo 15 — Fundamentos de segurança

Mapa da aula

Aula 15 publicada. Mapa, exemplo, EX043.

flowchart TD
  N0["15.1 Conceitos e pessoas"]
  N1["15.2 Engenharia social"]
  N2["15.3 Ameaças na Greyford"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX043"]

Desenho lógico

flowchart LR
  N0["15.1 Conceitos e pessoas"]
  N1["15.2 Engenharia social"]
  N2["15.3 Ameaças na Greyford"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX043"]

[15.1 Conceitos e pessoas]
    |
    v
[15.2 Engenharia social]
    |
    v
[15.3 Ameaças na Greyford]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX043]

Objetivos de aprendizagem

Você vai (1) relacionar os conceitos centrais de segurança ao comportamento humano; (2) reconhecer técnicas de engenharia social; (3) mapear as ameaças dirigidas a pessoas na Greyford.

15.1 Conceitos e pessoas

Aiko liga confidencialidade, integridade e disponibilidade a ações humanas. Um engenheiro de campo que compartilha uma senha prejudica a confidencialidade; um operador que age com base em uma instrução forjada prejudica a integridade; uma infecção por ransomware iniciada por um anexo malicioso prejudica a disponibilidade. As pessoas aparecem em todas as partes da segurança, como atacantes, alvos e defensores. Ver as pessoas também como defensoras muda as prioridades de projeto, que passam a apoiar o bom comportamento em vez de apenas restringir o mau. Ela escreve um exemplo de pessoa como defensora para cada objetivo, como um engenheiro que reporta uma ligação estranha de um fornecedor antes de agir.

15.2 Engenharia social

Aiko estuda como os atacantes manipulam pessoas. Os princípios de influência de Cialdini (2021), como autoridade, urgência, escassez, reciprocidade, afinidade e prova social, explicam por que as iscas funcionam. Hadnagy (2018) descreve como engenheiros sociais combinam pesquisa sobre os alvos com esses princípios. Uma mensagem falsa do diretor-presidente pedindo um pagamento urgente usa autoridade e urgência ao mesmo tempo. Reconhecer os princípios ajuda os funcionários a perceber a pressão e ajuda os projetistas a acrescentar pausas onde a pressão é provável. Ela monta uma tabela de uma página que liga cada princípio a uma isca típica e a uma pausa simples que a interrompe, e a tabela passa a fazer parte do treinamento posterior.

15.3 Ameaças na Greyford

Aiko mapeia as ameaças dirigidas a pessoas: phishing de credenciais de acesso remoto, ligações telefônicas de falsos fornecedores pedindo aos operadores que mudem configurações, fraude de faturas contra o setor financeiro e caronas na entrada dos depósitos. Para cada uma, registra o princípio de influência usado e o controle que elimina a dependência do julgamento, como a verificação por retorno de ligação para pedidos de fornecedores. O Verizon Data Breach Investigations Report (2024) é uma fonte anual que acompanha o elemento humano nas violações, e ela o cita como contexto, e não como dado da Greyford. Mantém o mapa curto o bastante para ser revisado a cada trimestre.

Exemplo resolvido

Aiko liga os objetivos de segurança a ações humanas, aplica os princípios de influência às iscas e mapeia quatro ameaças dirigidas a pessoas, com seus controles.

Caso sintético. As ameaças na Greyford são sintéticas; Cialdini (2021), Hadnagy (2018) e o Verizon DBIR (2024) são reais.

Erros e limites

Os princípios de influência explicam, mas não preveem, o comportamento individual. Relatórios do setor podem não corresponder aos riscos de uma companhia de saneamento.

Exercícios

• EX043 — Pessoas como defensoras. Por que ver as pessoas também como defensoras?
  Mostrar critérios de avaliação

  Rubrica: 3 = desloca o projeto para apoiar o bom comportamento;; 2 = apoio;; 1 = vago;; 0 = nenhuma.
• EX044 — Isca do diretor-presidente. Que princípios um falso pedido urgente de pagamento do diretor-presidente combina?
  Mostrar critérios de avaliação

  Rubrica: 3 = autoridade e urgência;; 2 = dois;; 1 = vago;; 0 = nenhuma.
• EX045 — Controle para ligações de fornecedores. Que controle trata das falsas ligações de fornecedores?
  Mostrar critérios de avaliação

  Rubrica: 3 = verificação por retorno de ligação a um número conhecido;; 2 = retorno de ligação;; 1 = vago;; 0 = nenhuma.

Síntese

As pessoas são alvos e defensoras; entender a influência ajuda a projetar controles que reduzam a dependência do julgamento sob pressão.