Capítulo 15 — Fundamentos de segurança | Engenharia Segurança ofensiva autorizada e equipe vermelha

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 15 publicada. Mapa, exemplo, EX043.

flowchart TD
  N0["15.1 CIA como perguntas"]
  N1["15.2 Vulnerabilidade, exposição, risco"]
  N2["15.3 Pontuações vazias"]
  N3["15.3b Mapeando para tickets"]
  N4["15.1b Da propriedade ao teste"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX043"]

Desenho lógico

flowchart LR
  N0["15.1 CIA como perguntas"]
  N1["15.2 Vulnerabilidade, exposição, risco"]
  N2["15.3 Pontuações vazias"]
  N3["15.3b Mapeando para tickets"]
  N4["15.1b Da propriedade ao teste"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX043"]

[15.1 CIA como perguntas]
    |
    v
[15.2 Vulnerabilidade, exposição, risco]
    |
    v
[15.3 Pontuações vazias]
    |
    v
[15.3b Mapeando para tickets]
    |
    v
[15.1b Da propriedade ao teste]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX043]

Objetivos de aprendizagem

Você vai (1) mapear a tríade CIA e a autenticação/autorização para perguntas de avaliação; (2) distinguir vulnerabilidade, exposição e risco; (3) recusar pontuações de risco sem um modelo.

15.1 CIA como perguntas

Confidencialidade: quem pode ler isto? Integridade: quem pode mudar isto? Disponibilidade: o que impede isto de funcionar? Cada achado deve dizer qual propriedade é afetada e para qual ativo. "Problema de segurança" sem esse mapa não leva a ação. Mapear cada achado para confidencialidade, integridade ou disponibilidade diz a quem corrige que tipo de dano evitar. Um ativo sem propriedade deixa o cliente adivinhando se deve criptografar, validar ou acrescentar capacidade. Sam rejeita rascunhos de tickets que ainda dizem apenas "problema de segurança" e os devolve com as três perguntas listadas.

15.2 Vulnerabilidade, exposição, risco

Uma senha padrão é uma vulnerabilidade. Num host de staging alcançável a partir da rede corporativa, ela é uma exposição. O risco acrescenta probabilidade e impacto para a organização — o que exige o contexto dela, não uma história universal baseada só no CVSS. O FindingsDesk guarda os campos de impacto e de exposição separadamente; a aceitação do risco fica com o cliente. Separar os três impede que uma senha padrão num host de laboratório isolado receba a mesma pontuação que uma no portal público. Os campos de exposição capturam a alcançabilidade; os de impacto capturam o dano; a aceitação do risco residual continua sendo uma decisão do cliente. O CVSS sozinho não conhece o número de passageiros da Riverstone Transit nem o arranjo de suas garagens. Sam preenche exposição e impacto e deixa o campo de aceitação para o dono do lado do cliente.

15.3 Pontuações vazias

Albrecht e Jensen (arXiv:2010.06377) criticam pontuações de metodologia que não preveem resultados. Prefira medidas concretas: contagem de sondagens fora do escopo, tempo até a correção, precisão na taxa de base do cliente. Se você mostrar uma pontuação, mostre o modelo e as entradas. Uma pontuação de metodologia que não prevê resultados lisonjeia quem avalia e engana quem compra. Contagens de sondagens fora do escopo e o tempo até a parada são feios e úteis. Quando uma pontuação precisa aparecer, o modelo e as entradas ficam ao lado dela, para que outro engenheiro possa recalculá-la. Os painéis de Sam começam por essas medidas concretas.

Caso sintético — Riverstone Transit. Sam parou de colocar um único "risco = 42" nos slides. A apresentação agora mostra dois achados críticos, três violações de SLA e 71% de cobertura de técnicas do conjunto planejado.

15.4 Erros e limites

Os fundamentos são vocabulário compartilhado; não são um modelo de ameaças completo. Siga para o Capítulo 23 para a análise estruturada de falhas. O vocabulário compartilhado faz as equipes conversarem; não lista todos os modos de falha. A análise estruturada mais adiante no curso se apoia nesses termos em vez de substituí-los. Sam trata um rótulo CIA como o começo de um achado, não como o fim do modelo de ameaças. Ele espera que os capítulos de análise estruturada acrescentem modos de falha que esses termos sozinhos não conseguem nomear. Até lá, o vocabulário ainda evita tickets vagos.

15.3b Mapeando para tickets

Todo achado deve citar qual propriedade (C, I ou A) é afetada principalmente e se a questão é uma vulnerabilidade, uma exposição ou um julgamento de risco deixado ao cliente. O FindingsDesk pode tornar os campos obrigatórios, para que os relatórios fiquem consistentes entre autores e semestres. Campos obrigatórios impedem que os autores inventem abreviações particulares para as mesmas ideias. A consistência entre semestres significa que um engenheiro de reteste consegue ler o ticket do ano passado sem um guia de tradução. Clientes que comparam duas empresas veem alegações com o mesmo formato. O modelo de Sam bloqueia o envio até que a propriedade e o tipo de questão estejam preenchidos.

15.1b Da propriedade ao teste

Se um achado alega impacto na confidencialidade, o plano de validação precisa incluir uma verificação de confidencialidade (quem ainda consegue ler). Se alega impacto na disponibilidade, a validação inclui um canário ou uma sondagem sintética — não um novo ataque. Alinhe a propriedade, o achado e o método de reteste num único parágrafo do ticket. Alegações de disponibilidade precisam de um canário suave, não de uma nova inundação. Um parágrafo que amarra propriedade, achado e reteste mantém o ticket coerente depois da passagem de bastão. Sam cola esse parágrafo no campo do plano de validação antes de o achado sair do rascunho.

Exercícios

EX043 — Mapa CIA. Mapeie o SYN-001 (administrador padrão em staging) para C/I/A, com uma frase para cada. Rubrica: 3 = os três com escopo; 2 = dois; 1 = um; 0 = nada.
EX044 — Termos. Em uma frase cada, distinga vulnerabilidade, exposição e risco para o SYN-005. Rubrica: 3 = divisão clara; 2 = dois claros; 1 = confuso; 0 = nada.
EX045 — Recusa de pontuação. Uma parte interessada quer uma única pontuação de "hackeabilidade" de 0 a 100. Escreva uma recusa com uma alternativa. Rubrica: 3 = recusa a pontuação vazia, oferece medidas concretas; 2 = só recusa; 1 = vago; 0 = inventa uma pontuação.

Síntese

Nomeie a propriedade, separe exposição de risco e prefira medidas que você consegue recalcular.

Continue estudando — capítulo 15 de 50

← Capítulo 14 (rascunho) · Índice de capítulos do curso · Capítulo 16 (rascunho) →