Capítulo 17 — Fundamentos de controle e realimentação

Capítulo 17 — Fundamentos de controle e realimentação

Mapa da aula

Aula 17 publicada. Mapa, exemplo, EX049.

flowchart TD
  N0["17.1 Laços de realimentação"]
  N1["17.2 Atraso"]
  N2["17.3 Estabilidade"]
  N3["17.4 Medindo o laço"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX049"]

Desenho lógico

flowchart LR
  N0["17.1 Laços de realimentação"]
  N1["17.2 Atraso"]
  N2["17.3 Estabilidade"]
  N3["17.4 Medindo o laço"]
  N0 --> N1 --> N2 --> N3 --> Q["EX049"]

[17.1 Laços de realimentação]
    |
    v
[17.2 Atraso]
    |
    v
[17.3 Estabilidade]
    |
    v
[17.4 Medindo o laço]
    |
    v
[Exemplo resolvido] --> [Exercício EX049]

Objetivos de aprendizagem

Você vai (1) descrever os processos de segurança como laços de realimentação; (2) medir o atraso do laço; (3) evitar respostas instáveis.

17.1 Laços de realimentação

A teoria de controle estuda sistemas que medem sua saída e se ajustam. Lindiwe vê as operações de segurança como um laço: os sensores produzem logs, os analistas detectam problemas, os respondentes agem e o ambiente muda. Se qualquer etapa for lenta, o laço responde tarde. Ela mapeia o laço da Saltmarsh para logins suspeitos e descobre que a etapa mais lenta é a espera para que um analista revise os alertas durante a noite. O Prof. Hale observa que pensar em realimentação mostra onde o atraso se acumula. Ela desenha o laço com o tempo que cada etapa leva nos registros sintéticos, marcando em vermelho a etapa da revisão noturna para discussão.

17.2 Atraso

O atraso importa porque os atacantes se movem durante ele. Lindiwe estima os tempos a partir de registros sintéticos: detecção em minutos, triagem em horas durante o dia, mas em até doze horas durante a noite, e resposta logo depois da triagem. Ela recomenda a contenção automatizada para alertas de alta confiança, como bloquear uma conta depois de uma adivinhação de senhas confirmada, para que o laço se feche sem esperar por uma pessoa. Ela aprende que reduzir o atraso mais lento ajuda mais do que acelerar etapas que já são rápidas. O líder de segurança aprova um teste de bloqueio automatizado por um mês.

17.3 Estabilidade

A realimentação pode reagir em excesso. Se uma regra automatizada bloquear as contas depois de algumas falhas de login, os atacantes podem bloquear muitos funcionários de propósito, transformando um controle numa negação de serviço. Lindiwe propõe respostas graduais: primeiro desacelerar as tentativas de login, depois exigir verificação adicional e bloquear apenas diante de sinais fortes. O Prof. Hale compara isso ao amortecimento nos sistemas de controle, que evita a oscilação. Ela aprende que a força da resposta deve corresponder à confiança no sinal. A equipe de monitoramento adota a abordagem gradual e registra com que frequência cada etapa é acionada durante o teste.

17.4 Medindo o laço

Lindiwe propõe medir o laço rotineiramente: tempo para detectar, tempo para triar e tempo para conter, relatados mensalmente. Ela observa que as médias escondem as caudas longas, então relata as medianas e o décimo mais lento. O Prof. Hale pede que ela defina com precisão os eventos de início e de fim, porque analistas diferentes podem registrar os tempos de formas diferentes. Ela aprende que medir um processo de forma consistente é o primeiro passo para melhorá-lo, um tema que volta nos capítulos posteriores sobre medição. Ela redige um modelo de relatório mensal para o líder de segurança.

Exemplo resolvido

Lindiwe mapeia o laço dos alertas de login, descobre que a triagem noturna é a etapa mais lenta, propõe contenção automatizada com respostas graduais e define as métricas do laço.

Caso sintético. Os tempos são sintéticos.

Erros e limites

Bloqueios automáticos agressivos podem se tornar uma negação de serviço.

Exercícios

• EX049 — Etapa mais lenta. Qual é a etapa mais lenta do laço? Rubrica: 3 = a revisão noturna pelo analista;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.

• EX050 — Resposta gradual. O que vem antes de bloquear uma conta? Rubrica: 3 = desacelerar as tentativas, depois verificação extra;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX051 — Métricas do laço. Que estatísticas ela relata? Rubrica: 3 = medianas e o décimo mais lento;; 2 = parcialmente correto;; 1 = médias;; 0 = nenhuma.

Continue estudando — aula 17 (capítulo 17 de 50)

← Capítulo 16 · Índice das aulas · Capítulo 18 →

Continue para a próxima aula já escrita.