Capítulo 11 — Redes e protocolos | Engenharia Segurança ofensiva autorizada e equipe vermelha

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["11.1 Camadas como pontos de observação"]
  N1["11.2 Portas não são serviços"]
  N2["11.3 Negações são dados"]
  N3["11.3b Famílias de protocolos no escopo"]
  N4["11.4b Capturando só o que a ROE permite"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["11.1 Camadas como pontos de observação"]
  N1["11.2 Portas não são serviços"]
  N2["11.3 Negações são dados"]
  N3["11.3b Famílias de protocolos no escopo"]
  N4["11.4b Capturando só o que a ROE permite"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX031"]

[11.1 Camadas como pontos de observação]
    |
    v
[11.2 Portas não são serviços]
    |
    v
[11.3 Negações são dados]
    |
    v
[11.3b Famílias de protocolos no escopo]
    |
    v
[11.4b Capturando só o que a ROE permite]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) descrever o que um observador autorizado pode aprender em cada camada OSI sem atacá-la; (2) definir com precisão o escopo de portas e protocolos; (3) interpretar uma negação como um controle bem-sucedido, não como um teste fracassado.

11.1 Camadas como pontos de observação

Capturas na camada de enlace exigem acesso a um segmento; dados de roteamento da camada de rede exigem um ponto de observação; evidências da camada de aplicação muitas vezes exigem credenciais. Uma avaliação que só tem credenciais de aplicação não deve alegar visibilidade da camada de enlace. Declare o ponto de observação na seção de método. Credenciais de uma aplicação não dizem nada sobre os quadros que passam no fio. Alegar um ponto de observação mais amplo do que o que você tinha é inventar cobertura. Nomear a camada na descrição do método permite que um revisor associe cada achado ao que de fato podia ser visto. Sam se recusa a registrar alegações sobre a camada de enlace quando o engajamento só tinha uma conta de aplicação.

11.2 Portas não são serviços

A porta 443 costuma significar TLS e HTTPS, mas pode transportar outros protocolos. Um escopo que diz "portas web" precisa listar números e, se necessário, os protocolos de aplicação esperados. Um achado de que "o HTTPS estava aberto" fica incompleto sem o titular do certificado, o método de autenticação e a confirmação de que o serviço era o esperado. Listar os números das portas tira da ROE a expressão nebulosa "portas web". Confirmar o titular do certificado e o método de autenticação evita um achado que confunda outro serviço na 443 com o portal esperado. As anotações de Sam sempre incluem qual protocolo foi observado, não só que a porta respondeu.

11.3 Negações são dados

Uma porta fechada, um handshake TCP recusado ou um bloqueio de WAF é evidência de que um controle funcionou para aquela sondagem. Relate isso como cobertura de uma verificação planejada, não como uma falha em "entrar". A distinção entre coberto e planejado-mas-não-visto do PulseMap (Capítulo 29) depende disso.

"""Rank synthetic assets for authorized engagement scoping."""
assets = [
    ("public-web-portal", 3, 3, 3),      # exposure, data_sensitivity, blast_radius 1-3
    ("staging-admin-ui", 2, 3, 2),
    ("corp-vpn-edge", 3, 2, 3),
    ("internal-wiki", 1, 2, 1),
    ("printer-fleet", 2, 1, 1),
    ("lab-jump-host", 1, 1, 2),
]
print(f"{'asset':20} score exposure data blast")
for name, e, d, b in sorted(assets, key=lambda x: -(x[1]+x[2]+x[3])):
    print(f"{name:20} {e+d+b:5} {e:8} {d:4} {b:5}")

Saída esperada:

asset                score exposure data blast
public-web-portal        9        3    3     3
corp-vpn-edge            8        3    2     3
staging-admin-ui         7        2    3     2
internal-wiki            4        1    2     1
printer-fleet            4        2    1     1
lab-jump-host            4        1    1     2

Caso sintético — Riverstone Transit. O inventário classificou public-web-portal no topo (pontuação 9). Sam o agendou primeiro, conforme a ROE, e adiou printer-fleet, que teve pontuação 4 e estava fora da janela da semana.

As métricas de cobertura ficam honestas quando um bloqueio conta como uma verificação concluída. Perseguir só os caminhos abertos enviesa o relatório para a falha e esconde controles que funcionaram. O balde planejado-mas-não-visto do PulseMap existe para que uma negação silenciosa ainda seja registrada. Sam lista as sondagens bloqueadas ao lado das bem-sucedidas no resumo diário.

11.4 Erros e limites

Scanners identificam produtos pelos banners; banners mentem. Confirme com uma verificação no nível da aplicação antes de escrever um achado. Não faça varreduras na Internet pública a partir do ambiente do curso. Um banner que declara a versão de um produto pode ter sido copiado de um modelo ou ter ficado desatualizado depois de uma atualização. Uma verificação no nível da aplicação, como ler uma página de saúde mediante autorização, confirma o que de fato está lá. Os ambientes do curso ficam fora da Internet pública para que os estudantes nunca se tornem um scanner indesejado na rede de outra pessoa. As máquinas de laboratório de Sam não têm rota para lá.

11.3b Famílias de protocolos no escopo

Documentos de escopo devem nomear explicitamente as famílias de protocolos: "TCP 443 com dados de aplicação HTTPS" é mais claro que "443". Se a interceptação de TLS for proibida, diga isso. Se apenas TLS 1.2+ puder ser testado, diga isso. A ambiguidade aqui vira discussão durante o engajamento, quando alguém quer tentar uma porta legada em texto claro "só para ver". Nomear HTTPS na TCP 443 não deixa espaço para um experimento em texto claro no mesmo número. Proibir de antemão a interceptação de TLS evita uma discussão no meio do teste com as equipes de privacidade e jurídica. Portas legadas em texto claro ficam fechadas, a menos que a ROE as liste. Sam lê o parágrafo de protocolos em voz alta com o contato do cliente antes do kickoff.

11.4b Capturando só o que a ROE permite

Capturas de pacotes feitas durante um teste autorizado muitas vezes contêm dados fora do propósito do engajamento, como credenciais de funcionários ou registros de passageiros, no caso da Riverstone Transit. O plano de captura de Sam nomeia as interfaces, um filtro limitado aos hosts em escopo, um período de retenção e quem pode abrir os arquivos, e a captura é apagada no prazo. Filtros e retenção curta reduzem quantos dados de funcionários ou passageiros podem permanecer depois do teste. Nomear quem pode abrir os arquivos impede a navegação casual por uma captura que por acaso incluiu um login. A exclusão no prazo é verificada, não presumida. O encerramento de Sam inclui um ticket mostrando que a captura foi apagada.

Exercícios

EX031 — Ponto de observação. Associe três tipos de evidência ao ponto de observação mínimo necessário. Rubrica: 3 = associação correta (por exemplo, tabela ARP → acesso ao enlace; certificado TLS → TCP até a porta; campo de API → sessão autenticada); 2 = dois; 1 = um; 0 = nada.
EX032 — Portas do escopo. Reescreva "todas as coisas web" como um conjunto de portas e uma nota de aplicação para a Riverstone. Rubrica: 3 = {80,443,8080} mais "só HTTP(S) para as aplicações de tarifas e de funcionários"; 2 = só as portas; 1 = vago; 0 = nada.
EX033 — Inventário. Quais dois ativos do laboratório você agendaria primeiro, e por quê? Rubrica: 3 = public-web-portal e corp-vpn-edge, com motivos de pontuação/exposição; 2 = corretos sem motivos; 1 = um; 0 = errado.

Síntese

As redes dão a você um ponto de observação e um conjunto de portas. Delimite-os no escopo; trate os bloqueios como resultados.

Continue estudando — capítulo 11 de 50

← Capítulo 10 (rascunho) · Índice de capítulos do curso · Capítulo 12 (rascunho) →