Capítulo 12 — Sistemas operacionais

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX034.

flowchart TD
  N0["12.1 Configuração geralmente basta"]
  N1["12.2 Privilégio mínimo para quem testa"]
  N2["12.3 Local vs. domínio"]
  N3["12.3b Imagens e análise offline"]
  N4["12.4b Registrando mudanças nos hosts"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX034"]

Desenho lógico

flowchart LR
  N0["12.1 Configuração geralmente basta"]
  N1["12.2 Privilégio mínimo para quem testa"]
  N2["12.3 Local vs. domínio"]
  N3["12.3b Imagens e análise offline"]
  N4["12.4b Registrando mudanças nos hosts"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX034"]

[12.1 Configuração geralmente basta]
    |
    v
[12.2 Privilégio mínimo para quem testa]
    |
    v
[12.3 Local vs. domínio]
    |
    v
[12.3b Imagens e análise offline]
    |
    v
[12.4b Registrando mudanças nos hosts]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX034]

Objetivos de aprendizagem

Você vai (1) separar a revisão de configuração do abuso em tempo de execução; (2) coletar evidências do sistema operacional com privilégio mínimo; (3) registrar o uso de contas para que a revogação seja possível.

12.1 Configuração geralmente basta

Política de senhas, nível de patches, serviços em escuta e participação no grupo de administradores locais respondem à maioria das perguntas sobre o sistema operacional numa avaliação autorizada. Ler esses dados com uma conta de administrador concedida para o engajamento é diferente de explorar um serviço para obter essa conta. Prefira a primeira opção; uma descoberta no estilo do PTES fica dentro dos métodos combinados. Leituras com uma conta de administrador concedida respondem ao nível de patches e à participação em grupos locais sem transformar o engajamento numa caça a um ponto de apoio. Essa distinção importa para a ética e para a clareza da remediação: um achado obtido com uma conta concedida trata de exposição e política, não de um caminho de invasão. Sam registra que a conta foi emitida para o teste, para que os leitores não deduzam um acesso furtivo.

12.2 Privilégio mínimo para quem testa

Emita uma conta de avaliação nominal, com um papel limitado no tempo. Registre toda elevação. Ao fim do engajamento, desative a conta e troque quaisquer segredos compartilhados que ela tenha tocado. O FindingsDesk deve guardar o id da conta usada em cada achado, para que a revogação possa ser verificada. Uma conta nominal e limitada no tempo pode ser desativada sem caçar senhas compartilhadas. Registrar as elevações torna direitos incomuns visíveis durante o engajamento, não só depois. Guardar o id da conta em cada achado torna mecânica a lista de verificação da revogação. O encerramento de Sam falha se algum achado ainda apontar para uma conta de teste ativa.

12.3 Local vs. domínio

Um administrador local num host não é administrador de domínio. Os achados precisam nomear o repositório de identidades (SAM local, LDAP, IdP de nuvem). Confundi-los infla a severidade e direciona mal a remediação. A remediação para um administrador local é o endurecimento do host; a remediação para um administrador de domínio é trabalho no repositório de identidades. Misturar os rótulos manda a equipe errada, com a urgência errada. Provedores de identidade na nuvem acrescentam um terceiro repositório, que precisa ser nomeado explicitamente. O modelo de achado de Sam exige o campo de repositório de identidades antes que um ticket saia do rascunho.

Caso sintético — Riverstone Transit. O SYN-005 era uma conta de serviço do laboratório com direitos de administrador de domínio — um achado de diretório, não um achado de "o Windows está quebrado". A remediação significou remover a participação no grupo e trocar a senha, verificando depois com uma leitura do grupo.

12.4 Erros e limites

Os fornecedores de sistemas operacionais mudam os padrões; cite a versão que você observou. Não desative ferramentas de segurança para "fazer o teste funcionar"; se uma ferramenta bloqueia você, isso é um resultado sob a ROE. Os padrões do guia de endurecimento do ano passado podem não corresponder à build que você viu. Citar a versão observada mantém o achado verificável. Uma ferramenta de segurança que bloqueia uma sondagem fez seu trabalho sob a ROE; desligá-la seria inventar um sistema diferente do que o cliente roda. Sam relata o bloqueio e passa para a próxima verificação planejada.

12.3b Imagens e análise offline

Imagens completas de disco têm alto impacto: tiram sistemas do ar, contêm dados pessoais e convidam à navegação fora do escopo. Prefira leituras ao vivo, com privilégio mínimo. Se uma imagem for de fato necessária, a ROE precisa nomear a cadeia de custódia, a criptografia em repouso, quem pode montá-la e uma data de destruição — e os laboratórios do curso continuam sem praticar a geração de imagens de hosts reais. Imagens são o último recurso por causa da indisponibilidade e da privacidade. Leituras ao vivo com privilégio mínimo respondem à maioria das perguntas sem copiar discos inteiros. Quando uma imagem é inevitável, a cadeia de custódia e a data de destruição são exigências da ROE, não gentilezas. Os laboratórios do curso nunca geram imagens de hosts reais, então os estudantes praticam a decisão de evitar a imagem, e não a geração da imagem em si.

12.4b Registrando mudanças nos hosts

Qualquer configuração que quem testa muda num host, mesmo um nível de log temporário, é escrita no log do engajamento com horário, motivo e o comando usado para revertê-la. No encerramento, Sam percorre essa lista com o dono do sistema, para que nenhum host da Riverstone Transit fique num estado que ninguém se lembra de ter criado. Um comando de reversão escrito na hora sobrevive à rotatividade da equipe e aos plantões de fim de semana. Percorrer a lista com o dono transforma o encerramento numa lista de verificação compartilhada, em vez de um teste de memória. Sam se recusa a marcar um engajamento como concluído enquanto restar na lista qualquer mudança não revertida.

Exercícios

• EX034 — Desenho de conta. Especifique uma conta de avaliação com privilégio mínimo para ler a participação no grupo de administradores locais em três hosts Windows. Rubrica: 3 = conta nominal, grupo/papel, limite de tempo, registro, revogação; 2 = três de cinco; 1 = "admin"; 0 = nada.
• EX035 — Redação da severidade. Reescreva "pegamos SYSTEM em tudo" como uma frase de achado com escopo. Rubrica: 3 = identidade, hosts, método (configuração/autorização), sem exploit; 2 = falta o escopo; 1 = ainda vago; 0 = linguagem de exploit.
• EX036 — Verificação de revogação. Liste três verificações pós-engajamento de que a conta de avaliação deixou de existir. Rubrica: 3 = desativada no diretório, resquício local, revisão de ticket/log; 2 = duas; 1 = uma; 0 = nada.

Síntese

Leia a configuração com uma conta temporária; nomeie o repositório de identidades; revogue ao terminar.

Continue estudando — capítulo 12 de 50

← Capítulo 11 (rascunho) · Índice de capítulos do curso · Capítulo 13 (rascunho) →