Capítulo 23 — Fatores humanos e política cibernética: análise de ameaças e falhas
Mapa da aula
Aula 23 publicada. Mapa, exemplo, EX067.
flowchart TD
N0["23.1 Sequências de ataque"]
N1["23.3 Defesas por tipo"]
N2["Síntese"]
N0 --> N1 --> N2
N2 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX067"]
Desenho lógico
flowchart LR
N0["23.1 Sequências de ataque"]
N1["23.3 Defesas por tipo"]
N2["Síntese"]
N0 --> N1 --> N2 --> Q["EX067"]
[23.1 Sequências de ataque]
|
v
[23.3 Defesas por tipo]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX067]
Objetivos de aprendizagem
Você vai (1) analisar como se desenrolam os ataques de engenharia social; (2) classificar erros humanos; (3) desenhar defesas para cada tipo de falha.
23.1 Sequências de ataque
Aiko analisa uma sequência realista: um atacante pesquisa os funcionários da Greyford na internet, envia a um engenheiro de campo uma mensagem se passando por um fornecedor de bombas sobre um problema urgente de firmware, faz em seguida uma ligação e pede ao engenheiro que aprove uma sessão remota. Hadnagy (2018) descreve esse tipo de pretexto em várias etapas. Cada etapa oferece uma chance de deter o ataque: limitar o que os funcionários publicam, verificar os contatos de fornecedores, retornar ligações para números conhecidos e exigir a aprovação de uma segunda pessoa para sessões remotas. Ela desenha a sequência como uma linha do tempo, com cada oportunidade de defesa marcada.
23.2 Classificar erros
Aiko usa a distinção entre deslizes, lapsos e enganos estabelecida por Reason (1990). Um deslize é uma ação errada, como clicar no botão errado; um lapso é uma falha de memória, como esquecer de bloquear a tela; um engano é um plano errado, como acreditar que um falso fornecedor é legítimo. Cada um exige uma defesa diferente: deslizes pedem interfaces tolerantes, lapsos pedem lembretes ou automação, e enganos pedem informação melhor ou verificação. Classificar os erros interrompe a resposta padrão de mais treinamento para todo problema.
23.3 Defesas por tipo
Aiko mapeia as defesas. Para os deslizes, o botão de reporte tem um desfazer e há uma confirmação para o envio de arquivos sensíveis para fora. Para os lapsos, as telas se bloqueiam automaticamente e as chaves de segurança eliminam as senhas esquecidas. Para os enganos, pedidos de fornecedores exigem verificação por retorno de ligação, e os funcionários recebem orientações curtas sobre os pretextos comuns. Ela também registra as violações, a quebra deliberada de regras, que muitas vezes sinalizam regras impraticáveis, e não má intenção, como constataram Adams e Sasse (1999). As violações a levam a revisar as regras antes de reforçá-las. Ela apresenta o mapeamento como uma tabela que a equipe de segurança pode ampliar quando ocorrerem novos incidentes, para que cada falha futura seja classificada antes da escolha da resposta.
Exemplo resolvido
Aiko analisa um pretexto em várias etapas, classifica os erros em deslizes, lapsos e enganos e associa defesas a cada tipo, tratando as violações como sinais.
Caso sintético. O ataque é sintético; Hadnagy (2018), Reason (1990) e Adams e Sasse (1999) são reais.
Erros e limites
Na prática, as categorias de erro se sobrepõem. Os atacantes se adaptam às etapas de verificação conhecidas.
Exercícios
- EX067 — Etapas do pretexto. Que etapas compõem o pretexto do fornecedor? Rubrica: 3 = pesquisa online, e-mail falsificado, ligação de acompanhamento, pedido de sessão remota;; 2 = três;; 1 = vago;; 0 = nenhuma.
- EX068 — Defesa contra lapsos. O que defende contra os lapsos? Rubrica: 3 = lembretes ou automação, como o bloqueio automático;; 2 = automação;; 1 = treinamento;; 0 = nenhuma.
- EX069 — Violações como sinais. O que as violações costumam sinalizar? Rubrica: 3 = regras impraticáveis, e não má intenção;; 2 = desenho das regras;; 1 = malícia;; 0 = nenhuma.
Síntese
Classificar as falhas orienta a defesa certa para cada uma, e as violações apontam regras que precisam ser redesenhadas.
Continue estudando — aula 23 (capítulo 23 de 50)
← Capítulo 22 · Índice das aulas · Capítulo 24 →
Continue para a próxima aula já escrita.