Capítulo 18 — Arquitetura de segurança

Mapa da aula

Aula 18 publicada. Mapa, exemplo, EX052.

flowchart TD
  N0["18.1 Zonas"]
  N1["18.2 Fronteiras de confiança"]
  N2["18.3 Ambientes isolados"]
  N3["18.3b Controle de saída"]
  N4["18.1b Jump hosts"]
  N5["Nota de prática"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX052"]

Desenho lógico

flowchart LR
  N0["18.1 Zonas"]
  N1["18.2 Fronteiras de confiança"]
  N2["18.3 Ambientes isolados"]
  N3["18.3b Controle de saída"]
  N4["18.1b Jump hosts"]
  N5["Nota de prática"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX052"]

[18.1 Zonas]
    |
    v
[18.2 Fronteiras de confiança]
    |
    v
[18.3 Ambientes isolados]
    |
    v
[18.3b Controle de saída]
    |
    v
[18.1b Jump hosts]
    |
    v
[Nota de prática]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX052]

Objetivos de aprendizagem

Você vai (1) posicionar as ferramentas de avaliação num modelo de zonas; (2) definir fronteiras de confiança para as evidências; (3) escolher quando isolar um ambiente de teste.

18.1 Zonas

Os notebooks de avaliação, o TrackScope, o FindingsDesk e os ativos do cliente ficam em zonas de confiança diferentes. O tráfego da zona de avaliação para os ativos do cliente é apenas o que a ROE permite; o tráfego de volta leva as evidências para um repositório que o cliente pode auditar. Não coloque o repositório de evidências na mesma VLAN dos alvos "por conveniência". Separar o repositório de evidências dos alvos significa que um host de teste comprometido não consegue reescrever a história em silêncio. O tráfego no formato da ROE é o único caminho até os ativos do cliente; todo o resto é descartado e registrado. O kickoff de Sam inclui um traceroute do TrackScope até o repositório e até um alvo de exemplo, para provar as zonas.

18.2 Fronteiras de confiança

Cruzar uma fronteira exige autenticação, autorização e registro. Um estudante que exporta achados para um drive pessoal cruza uma fronteira sem controle — proíba isso na ROE e na política da ferramenta. Drives pessoais ficam fora de todos os controles do cliente. Uma política de ferramenta que bloqueia a exportação é mais forte que um parágrafo que ninguém lê sob prazo. Sam trata uma exportação bloqueada como um controle bem-sucedido, não como um atrito a remover. Ele demonstra o bloqueio no kickoff para que ninguém peça uma exceção depois. Exportações para o cliente passam pelo FindingsDesk, que registra quem exportou quais achados e quando.

18.3 Ambientes isolados

Quando os métodos são ruidosos ou o cliente é frágil, use um ambiente sintético que espelhe a configuração. Os resultados então sustentam alegações sobre a configuração espelhada, não sobre o comportamento de produção em execução. Diga isso no relatório. Espelhos provam alegações de configuração quando a produção é frágil demais para ruído. Eles não provam o comportamento em execução sob carga real, e o relatório não pode fingir o contrário. Sam rotula cada achado vindo de um espelho com o id do ambiente e a revisão de configuração usada.

Caso sintético — Riverstone Transit. O PulseMap e o FindingsDesk rodam na VPC de ferramentas de segurança; os scanners saem por um proxy controlado que impõe a lista de CIDRs permitidos.

18.4 Erros e limites

Diagramas envelhecem. Revalide as zonas no início do engajamento. Um diagrama do trimestre passado pode mostrar uma VLAN que não existe mais. A revalidação é um item da lista de verificação no início do engajamento, com uma captura de tela ou exportação datada no dossiê. Se o caminho real discordar do diagrama, Sam para até que a arquitetura e a ROE sejam atualizadas juntas, para que a equipe não teste contra o mapa de outra rede. A exportação datada recebe hash como qualquer outro arquivo de evidência e é vinculada a partir da lista de verificação do kickoff.

18.3b Controle de saída

As zonas de avaliação precisam de listas de saída permitida: apenas os CIDRs em escopo do cliente e o repositório de evidências. Uma saída aberta transforma um notebook comprometido num pivô que a ROE nunca autorizou. Imponha a saída no mesmo pipeline de políticas que a permissão/negação de alvos, quando possível. Listas de saída permitida reduzem o estrago de um notebook roubado ao que o engajamento já permitia. Saídas abertas de DNS e web bastam para muitos caminhos silenciosos de exfiltração. Pôr a saída no mesmo pipeline das verificações de alvo significa uma única linguagem de política e um único log de auditoria. Sam testa um destino de saída negado no primeiro dia e guarda a linha de log.

18.1b Jump hosts

Os jump hosts de avaliação são de alto valor: endureça-os, registre o início e o fim das sessões, proíba agentes de sincronização de arquivos pessoais e reconstrua-os a partir de imagens douradas entre engajamentos, quando viável. Um jump host bagunçado mina qualquer diagrama de zonas cuidadoso. Reconstruções a partir de imagens douradas apagam ferramentas esquecidas, agentes de sincronização e credenciais antigas entre um cliente e outro. Os logs de sessão respondem quem estava no host quando uma mudança ocorreu. Agentes de sincronização pessoais são proibidos porque copiam evidências para nuvens não gerenciadas. A verificação pré-voo de Sam falha se um pacote de agente de sincronização estiver presente.

Nota de prática

Os diagramas de rede da zona de avaliação entram no dossiê com a mesma disciplina de hash dos arquivos de evidência. Quando um auditor pergunta como o tráfego chegou a staging, você mostra a versão do diagrama que estava em vigor, não um esboço mais novo e arrumado. Tratar diagramas como artefatos versionados fecha uma lacuna comum entre a intenção da arquitetura e o que de fato rodou durante a janela.

Exercícios

• EX052 — Esboço de zonas. Posicione o notebook, o TrackScope, o repositório de evidências e a UI de staging em zonas e nomeie dois controles nas setas. Rubrica: 3 = zonas claras + dois controles; 2 = só as zonas; 1 = confuso; 0 = nada.
• EX053 — Fronteira. Por que "mande o achado por e-mail para o meu Gmail" é uma violação de fronteira? Rubrica: 3 = os dados saem do repositório controlado/da autorização; 2 = menção vaga à privacidade; 1 = vago; 0 = aprova.
• EX054 — Alegação sobre o espelho. Escreva a frase de limitação para um teste feito só num ambiente sintético. Rubrica: 3 = alega configuração, não execução em produção; 2 = limite vago; 1 = exagero; 0 = nada.

Síntese

Zonas, fronteiras e limites honestos sobre o que um ambiente de teste consegue provar.

Continue estudando — capítulo 18 de 50

← Capítulo 17 (rascunho) · Índice de capítulos do curso · Capítulo 19 (rascunho) →