Capítulo 50 — Defesa final
Mapa da aula
Aula 50 publicada. Mapa, exemplo, EX148.
flowchart TD
N0["50.1 Preparação"]
N1["50.2 Questionamentos"]
N2["50.3 Resultado"]
N3["50.4 Continuidade do aprendizado"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX148"]
Desenho lógico
flowchart LR
N0["50.1 Preparação"]
N1["50.2 Questionamentos"]
N2["50.3 Resultado"]
N3["50.4 Continuidade do aprendizado"]
N0 --> N1 --> N2 --> N3 --> Q["EX148"]
[50.1 Preparação]
|
v
[50.2 Questionamentos]
|
v
[50.3 Resultado]
|
v
[50.4 Continuidade do aprendizado]
|
v
[Exemplo resolvido] --> [Exercício EX148]
Objetivos de aprendizagem
Você vai (1) defender o trabalho de engenharia diante de examinadores; (2) responder a questionamentos sobre as evidências e a generalização; (3) planejar a continuidade do aprendizado.
50.1 Preparação
Lindiwe prepara uma apresentação de trinta minutos: o problema, o projeto, os achados da revisão, os ensaios e as evidências. Ela ensaia com colegas de turma que fazem perguntas hostis. Ela prepara slides de reserva com as linhas do tempo e os registros das somas de verificação. O Prof. Hale a aconselha a responder apenas o que consegue sustentar e a dizer com clareza quando uma pergunta vai além das suas evidências, porque os examinadores respeitam limites precisos mais do que palpites confiantes. Ela também prepara uma breve demonstração do script de verificação da restauração rodando sobre arquivos sintéticos, para o caso de os examinadores pedirem para vê-lo funcionando.
50.2 Questionamentos
Um examinador pergunta se a recuperação funcionaria caso os atacantes estivessem dentro da rede havia meses. Lindiwe responde que os backups imutáveis cobrem um período fixo e que os testes de restauração com backups de uma semana passaram, mas que um comprometimento não detectado por mais tempo poderia contaminar os backups; detectar as intrusões mais cedo é o controle complementar. Outro pergunta por que ela confiou nas somas de verificação registradas no sistema de backup; ela explica que o manifesto é, ele próprio, guardado de forma imutável junto com os backups. Um terceiro examinador pergunta sobre o custo, e ela mostra o hardware reaproveitado para o ambiente.
50.3 Resultado
Os examinadores aprovam Lindiwe com louvor, elogiando os ensaios medidos, a revisão independente e o dossiê. Eles sugerem que ela publique o método de recuperação como um guia para profissionais. A Saltmarsh lhe oferece um cargo na sua equipe de segurança. Ela reflete que o curso ligou a matemática, os sistemas e a gestão numa única prática de engenharia voltada para proteger as informações de uma organização real. Ela aceita o cargo e concorda em conduzir o próximo ensaio anual de recuperação. O parecer dos examinadores recomenda seu dossiê como exemplo para os futuros estudantes, e o Prof. Hale pede que ela fale à turma do ano seguinte sobre o projeto final.
50.4 Continuidade do aprendizado
Lindiwe planeja a continuidade do aprendizado: uma certificação profissional, um estudo mais aprofundado da resposta a incidentes e a manutenção das suas habilidades de recuperação por meio dos ensaios anuais da Saltmarsh. O Prof. Hale lembra que as normas e as ameaças mudam; a própria ISO/IEC 27000 foi revisada em 2026. O próximo curso desta área, governança de dados, examina como são tomadas as decisões sobre a qualidade, a propriedade e o uso dos dados, o que complementa os controles de segurança que ela construiu. Ela também planeja orientar um estagiário na Saltmarsh, transmitindo os hábitos que aprendeu: medir com cuidado, testar nos limites e declarar os limites.
Exemplo resolvido
Lindiwe defende seu trabalho de recuperação, responde a questionamentos sobre comprometimentos de longo prazo e a confiança nas somas de verificação, é aprovada com louvor e planeja a continuidade do aprendizado.
Caso sintético. A defesa é sintética.
Erros e limites
Responder além das próprias evidências mina uma defesa.
Exercícios
-
EX148 — Comprometimento longo. O que complementa os backups imutáveis contra um comprometimento longo? Rubrica: 3 = detectar as intrusões mais cedo;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
-
EX149 — Armazenamento do manifesto. Onde o manifesto das somas de verificação é guardado? Rubrica: 3 = de forma imutável, junto com os backups;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
-
EX150 — Resultado da defesa. Qual é o resultado da defesa? Rubrica: 3 = aprovação com louvor;; 2 = parcialmente correto;; 1 = reprovação;; 0 = nenhuma.
Continue estudando — aula 50 (capítulo 50 de 50)
← Capítulo 49 · Índice das aulas · Próximo curso pelo índice →
O índice aponta para o próximo curso do percurso de estudos.
Resoluções
Respostas-modelo para EX001–EX150. Lindiwe Dube, o Prof. Marcus Hale, a Brightwater Polytechnic, a Saltmarsh Logistics e todos os números são sintéticos; as respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. Cerca de quarenta milhões de eventos por dia.
EX002. Um encaminhador de logs parado ou desativado.
EX003. Perder detalhes de que um investigador pode precisar depois.
EX004. As contas com acesso à folha de pagamento menos os funcionários de finanças.
EX005. As ações não podem ser rastreadas até um indivíduo.
EX006. Removendo algumas arestas de confiança desnecessárias.
EX007. Os sinais sem fio chegam a atacantes fora do prédio.
EX008. O nivelamento de desgaste pode manter cópias antigas em blocos não endereçáveis.
EX009. Menos de dez minutos.
EX010. Contas sem login há noventa dias.
EX011. Contra uma lista de permissões com os doze códigos válidos.
EX012. Passar os argumentos como uma lista, sem shell.
EX013. O que foi encontrado, onde, por que importa, a probabilidade e a ação.
EX014. As fronteiras de confiança, onde os dados passam de uma zona de controle para outra.
EX015. As carteiras precisam ser retidas para verificações do seguro.
EX016. Pouco mais de quatro semanas.
EX017. A entrada dividida pela taxa de fechamento.
EX018. Removendo software sem uso.
EX019. Cerca de dez mil alarmes falsos.
EX020. Um processo de Poisson com média de doze por semana.
EX021. Depósitos maiores com equipe de TI dedicada.
EX022. Uma aplicação comprometida ler a memória de outro programa.
EX023. Por causa de um driver antigo.
EX024. Para um token de hardware ou um serviço gerenciado de chaves.
EX025. O módulo padrão unittest.
EX026. Uma variável de ambiente definida pelo agendador.
EX027. O formato é simples e a biblioteca não tem manutenção.
EX028. Ela o relata sem explorar mais.
EX029. Que a navegação na web é registrada.
EX030. Registros adulterados poderiam permitir que medicamentos estragados chegassem aos pacientes.
EX031. Senhas são enviadas em texto claro pela rede.
EX032. Malware que contata domínios incomuns.
EX033. Até onde um atacante pode se mover depois de entrar.
EX034. Uma conta dedicada apenas com os direitos de que os backups precisam.
EX035. Para que um atacante no servidor não possa apagar as evidências.
EX036. Primeiro um grupo de teste, com promoção para os demais depois de uma semana.
EX037. Contas separadas de leitura e gravação, limitadas às tabelas necessárias.
EX038. Usando consultas parametrizadas.
EX039. Uma cópia imutável que não pode ser alterada por um período definido.
EX040. O servidor aceita pedidos de exclusão de qualquer usuário logado.
EX041. Toda semana, contra bases de vulnerabilidades.
EX042. Assinar os pacotes com uma chave protegida.
EX043. A proteção contra modificação ou destruição indevidas da informação.
EX044. A categoria geral toma o mais alto dos três impactos.
EX045. Combinar vários controles independentes.
EX046. Os endereços de entrega completos.
EX047. Dois requisitos.
EX048. A exclusão dos dados, a remoção das contas e a desconexão da rede.
EX049. Esperar durante a noite que um analista revise os alertas.
EX050. Desacelerar as tentativas e depois exigir verificação adicional.
EX051. As medianas e o décimo mais lento.
EX052. Os novos funcionários não recebem acesso até a aprovação.
EX053. O serviço intermediário que expõe apenas as funções necessárias.
EX054. Uma porta não documentada.
EX055. Do sistema de roteamento dos depósitos.
EX056. Chaves de segurança de hardware.
EX057. A renovação dependia de alguém se lembrar.
EX058. A declaração de aplicabilidade.
EX059. Organizacionais, de pessoas, físicos e tecnológicos.
EX060. Governar, Identificar, Proteger, Detectar, Responder e Recuperar.
EX061. Autenticação multifator para o acesso remoto e relatos de incidentes em até 24 horas.
EX062. Em até catorze dias.
EX063. Guardar os logs por um ano, com acesso restrito e campos pessoais minimizados.
EX064. Sessenta e três hosts.
EX065. Noventa endereços registrados.
EX066. O gerente do depósito, com o apoio da TI.
EX067. A integridade dos endereços de entrega.
EX068. Uma fila de mensagens cheia que atrasa as confirmações.
EX069. Pessoas internas que exportam listas de clientes.
EX070. O gerente do depósito e o líder de segurança.
EX071. Guardando as evidências com somas de verificação numa pasta restrita.
EX072. Uma porta que ela pensava estar destrancada tem uma fechadura com código.
EX073. Um orçamento pequeno.
EX074. Dá acesso amplo à rede depois de conectada.
EX075. Uma segunda chave registrada e uma ligação verificada para a central de atendimento.
EX076. Uma vez dentro, um atacante herda a confiança.
EX077. A mediação completa.
EX078. As contas de usuário, a configuração e os dados.
EX079. A aprovação por uma segunda pessoa das mudanças de endereço de alto valor.
EX080. Cerca de cinco por cento dos pedidos.
EX081. Encenando mudanças suspeitas sintéticas e conferindo os alertas.
EX082. 278 servidores, 92,7 por cento.
EX083. 253 servidores, 84,3 por cento.
EX084. 216 servidores, 72,0 por cento.
EX085. u17, u402 e u977.
EX086. Suas 61 falhas estão espalhadas ao longo do dia, e não em rajadas.
EX087. A adivinhação de senhas lenta e paciente.
EX088. Dez falhas em até quatro minutos.
EX089. Uma rajada de dez falhas abrangendo exatamente cinco minutos.
EX090. Para que as mudanças futuras possam ser conferidas rapidamente.
EX091. Os administradores, com chaves físicas.
EX092. A aproximação do crachá combinada com um código pessoal.
EX093. As contas cadastradas, os logins que usam um segundo fator e as exceções abertas.
EX094. 492 arquivos, 98,4 por cento.
EX095. Estavam numa pasta acrescentada depois que a seleção do backup foi definida.
EX096. Perder no máximo uma hora de dados e voltar em até quatro horas.
EX097. As entregas de medicamentos refrigerados.
EX098. Um local desconhecido das listas impressas e pessoas que já saíram na lista de contatos.
EX099. Registradores independentes, lidos na entrega e guardados separadamente.
EX100. Elas compartilhavam uma única credencial.
EX101. Seis campos.
EX102. Um aumento repentino nas requisições de endereços de clientes.
EX103. Pelo menos cinco analistas.
EX104. Um serviço externo à noite e a equipe da Saltmarsh de dia.
EX105. Um gerente de plantão da Saltmarsh, em minutos.
EX106. Praticamente dobra a carga do processador do firewall.
EX107. Em até dezoito meses.
EX108. Os eventos de autenticação e de administração.
EX109. Cerca de quarenta minutos.
EX110. Bloquear a conta vítima de phishing.
EX111. Sua exceção foi prorrogada duas vezes sem revisão.
EX112. Quatro incidentes.
EX113. Nenhum monitoramento das regras de encaminhamento de e-mail.
EX114. Verificado, mas ainda não validado.
EX115. Num único arquivo de configuração.
EX116. Um colega sem nenhum envolvimento segue cada runbook.
EX117. Alguns controles param se uma única pessoa estiver ausente.
EX118. O analista bloqueia a conta sinalizada.
EX119. O alerta de download em massa.
EX120. Para mostrar a melhoria e sua causa.
EX121. O que cobre todos os notebooks, inclusive os terminais do armazém.
EX122. Geradas a partir da fonte única de identidades.
EX123. Um produto de análise avançada.
EX124. A implantação em etapas pelos depósitos.
EX125. Uso confirmado de uma conta por alguém que não é seu dono.
EX126. A direção é favorável, mas a evidência é fraca.
EX127. Escrita e negociação.
EX128. Como em andamento, com datas-alvo.
EX129. Que os funcionários comunicassem rapidamente na vez seguinte.
EX130. Recuperar o despacho em até quatro horas.
EX131. Um servidor de licenças para um dos componentes.
EX132. Apenas suas dependências são documentadas, para um projeto posterior.
EX133. O ambiente de recuperação usa as credenciais de administrador da produção.
EX134. Restaurar a partir de backups de uma semana.
EX135. O líder de segurança e o diretor de operações, em conjunto.
EX136. Seis horas e quarenta minutos.
EX137. Executar um script duas vezes dá o mesmo resultado.
EX138. A restauração do banco de dados.
EX139. Três horas e trinta e cinco minutos.
EX140. Vinte minutos.
EX141. Duas pessoas executaram o mesmo script ao mesmo tempo, sob estresse.
EX142. O despacho pode ser recuperado em até quatro horas.
EX143. 72,0 por cento dos servidores passando em todas as regras.
EX144. Cinco afirmações.
EX145. Que uma organização pequena pode alcançar uma recuperação verificável de ransomware dentro dos objetivos.
EX146. NIST SP 800-30 Revisão 1.
EX147. Eles precisam estar isolados das credenciais da produção.
EX148. Detectar as intrusões mais cedo.
EX149. De forma imutável, junto com os backups.
EX150. Aprovação com louvor.