Capítulo 34 — Segurança da informação: integração

Capítulo 34 — Segurança da informação: integração

Mapa da aula

Aula 34 publicada. Mapa, exemplo, EX100.

flowchart TD
  N0["34.1 Integrações com parceiros"]
  N1["34.2 Credenciais das interfaces"]
  N2["34.3 Minimização de dados"]
  N3["34.4 Monitorando as trocas"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX100"]

Desenho lógico

flowchart LR
  N0["34.1 Integrações com parceiros"]
  N1["34.2 Credenciais das interfaces"]
  N2["34.3 Minimização de dados"]
  N3["34.4 Monitorando as trocas"]
  N0 --> N1 --> N2 --> N3 --> Q["EX100"]

[34.1 Integrações com parceiros]
    |
    v
[34.2 Credenciais das interfaces]
    |
    v
[34.3 Minimização de dados]
    |
    v
[34.4 Monitorando as trocas]
    |
    v
[Exemplo resolvido] --> [Exercício EX100]

Objetivos de aprendizagem

Você vai (1) proteger as integrações entre sistemas e parceiros; (2) gerenciar as credenciais de interfaces de programação de aplicações; (3) monitorar os dados trocados com terceiros.

34.1 Integrações com parceiros

A Saltmarsh troca dados com varejistas, transportadoras e uma empresa de processamento de folha de pagamento por meio de interfaces automatizadas. Lindiwe lista cada integração com seus dados, sua direção, seu método de autenticação e seu dono. Ela descobre que a conexão de uma transportadora usa uma senha fixa enviada em cada requisição por um canal cifrado, enquanto outra usa certificados. O Prof. Hale observa que as integrações são facilmente esquecidas depois de configuradas e muitas vezes têm acesso amplo, o que as torna atraentes para atacantes. Ela completa a lista com onze integrações e confirma um dono para cada uma com o gerente de negócio responsável.

34.2 Credenciais das interfaces

As credenciais das interfaces exigem o mesmo cuidado que as senhas da equipe. Lindiwe recomenda que cada integração tenha sua própria credencial, limitada às operações de que precisa, guardada num cofre de segredos gerenciado e trocada segundo um cronograma. Ela descobre que duas transportadoras compartilham uma única credencial, de modo que revogar o acesso de uma interromperia a outra. Separá-las exige uma semana de coordenação, mas significa que cada parceiro poderá ser gerenciado de forma independente no futuro. Ela move as duas credenciais para o cofre de segredos gerenciado e define a troca a cada noventa dias.

34.3 Minimização de dados

A empresa de folha de pagamento recebe os registros completos dos funcionários, inclusive os contatos de emergência, de que não precisa. Lindiwe revisa os campos com a equipe de recursos humanos e remove da exportação seis campos desnecessários. Ela explica que cada campo compartilhado é um campo que pode vazar dos sistemas do parceiro, e que minimizar os dados compartilhados reduz a exposição da Saltmarsh sem nenhum controle técnico. A empresa confirma que a exportação reduzida atende às suas necessidades. A equipe de recursos humanos atualiza a especificação da exportação e registra os motivos da remoção de cada campo.

34.4 Monitorando as trocas

Lindiwe configura o monitoramento das interfaces: volumes por parceiro por dia, taxas de erro e padrões incomuns de requisição. Um aumento repentino nas requisições de endereços de clientes feitas com a credencial de um varejista sugeriria uso indevido. Ela define os limiares a partir de três meses de histórico sintético. O Prof. Hale pergunta quem responde a um alerta nos fins de semana; ela acrescenta o dono da integração à escala de plantão, para que os alertas tenham um destinatário claro. O primeiro mês produz dois alertas, ambos explicados por promoções planejadas num dos varejistas, e ela ajusta os limiares de acordo.

Exemplo resolvido

Lindiwe inventaria as integrações com parceiros, separa uma credencial compartilhada entre transportadoras, remove seis campos desnecessários da folha de pagamento e monitora os volumes das interfaces com um responsável nomeado.

Caso sintético. As integrações são sintéticas.

Erros e limites

Uma credencial compartilhada entre parceiros não pode ser revogada para um sem afetar o outro.

Exercícios

• EX100 — Credencial compartilhada. Que problema duas transportadoras criaram? Rubrica: 3 = compartilhavam uma única credencial;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX101 — Campos removidos. Quantos campos desnecessários foram removidos? Rubrica: 3 = seis;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

• EX102 — Sinal de uso indevido. O que sugeriria o uso indevido da credencial de um varejista? Rubrica: 3 = um aumento repentino nas requisições de endereços;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 34 (capítulo 34 de 50)

← Capítulo 33 · Índice das aulas · Capítulo 35 →

Continue para a próxima aula já escrita.