Capítulo 26 — Segurança ofensiva autorizada e red team: alternativas de arquitetura
Mapa da aula
Aula 26 publicada. Mapa, exemplo, EX076.
flowchart TD
N0["26.1 Alternativas"]
N1["26.2 Critérios"]
N2["26.3 Decisão"]
N3["26.2b Custos de mudança"]
N4["26.3b Critérios de saída das alternativas"]
N5["26.1b Modelos de custo"]
N6["Nota de prática"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX076"]
Desenho lógico
flowchart LR
N0["26.1 Alternativas"]
N1["26.2 Critérios"]
N2["26.3 Decisão"]
N3["26.2b Custos de mudança"]
N4["26.3b Critérios de saída das alternativas"]
N5["26.1b Modelos de custo"]
N6["Nota de prática"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX076"]
[26.1 Alternativas]
|
v
[26.2 Critérios]
|
v
[26.3 Decisão]
|
v
[26.2b Custos de mudança]
|
v
[26.3b Critérios de saída das alternativas]
|
v
[26.1b Modelos de custo]
|
v
[Nota de prática]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX076]
Objetivos de aprendizagem
Você vai (1) comparar monólito vs. divisão em serviços para as ferramentas de avaliação; (2) avaliar uma opção de "scanner na nuvem" frente às regras de residência de dados; (3) escolher uma alternativa com a rejeição explícita das demais.
26.1 Alternativas
A: monólito num jump host endurecido. B: TrackScope / FindingsDesk / PulseMap como serviços separados. C: scanner SaaS, com os dados do cliente saindo das instalações. Cada uma atende a restrições diferentes. Três opções mantêm a análise honesta: monólito local, serviços separados e SaaS saindo das instalações. As restrições variam conforme a residência de dados e a competência de operação. Sam proíbe uma quarta opção misteriosa introduzida nos últimos cinco minutos do debate. Uma lista de estacionamento guarda as ideias tardias para a próxima rodada de alternativas, em vez de distorcer as pontuações atuais.
26.2 Critérios
Clareza da autorização, residência de dados, comportamento de falha fechada, operabilidade por dois engenheiros, custo. Dê à segurança e à residência um peso maior que à novidade. Dar à segurança e à residência um peso maior que à novidade impede que uma demonstração SaaS reluzente vença por impressão. A operabilidade por dois engenheiros corresponde ao quadro real da Riverstone. Sam publica os pesos antes da pontuação, para que ninguém mude as regras depois de ver os totais, e cada avaliador escreve uma frase sobre o critério decisivo. As notas de falha de processo são lidas em voz alta no ateliê seguinte, para que manipular os pesos não vire hábito. Ler essas notas em voz alta é constrangedor de propósito; o custo social faz parte do controle.
26.3 Decisão
A Riverstone rejeitou C porque os logs de tarifas e de identidade dos funcionários não podem sair da região. Escolheu B, pela escalabilidade independente dos relatórios, com A como alternativa de desastre (exportar os arquivos de política e rodar localmente). Rejeitar C protege os logs de tarifas e de funcionários sob as regras de residência. B escala os relatórios sem obrigar todas as ferramentas a compartilhar o mesmo destino; A continua sendo a saída de emergência offline. O ADR de Sam cita a cláusula de residência que derrubou C.
Caso sintético — Riverstone Transit. Uma demonstração de C, feita por um fornecedor, parecia elegante; a assessoria jurídica a bloqueou por causa da residência. O ADR-011 registra a rejeição para que a pergunta não seja reaberta todo mês.
26.4 Erros e limites
Uma análise de alternativas que ignora as cláusulas de dados da ROE é teatro. Ignorar as cláusulas de dados da ROE produz uma arquitetura que o cliente não pode rodar legalmente. Sam verifica essas cláusulas antes de pontuar novidade, custo ou o prazer dos desenvolvedores, e qualquer alternativa que precise de uma dispensa de residência é marcada como bloqueada até que a assessoria jurídica responda por escrito. Os pedidos de dispensa abrem um ticket para a assessoria jurídica com prazo; a engenharia não especula sobre a resposta no ADR. Prazos que escorregam são escalados da mesma forma que achados críticos em aberto.
26.2b Custos de mudança
As alternativas de arquitetura incluem o custo de mudar de ideia mais tarde. Um monólito que já exporta arquivos de política assinados pode crescer para serviços; um contrato SaaS com exceções de residência é mais difícil de desfazer no meio de um incidente. Prefira opções que mantenham uma saída de emergência offline para negação/permissão.
Saídas de emergência offline mantêm a negação/permissão viva quando o SaaS ou as redes caem. Contratos com exceções de residência grudam num incidente. Prefira caminhos de crescimento que preservem a exportação de políticas assinadas. Sam pergunta, para cada opção, como uma indisponibilidade numa sexta-feira ainda imporia o DENY.
26.3b Critérios de saída das alternativas
Uma análise de alternativas termina com uma decisão, as opções rejeitadas com seus motivos e um gatilho de revisita ("reabrir se a lei de residência mudar"). Sem um gatilho de revisita, as pessoas rediscutem C a cada sprint. Gatilhos de revisita impedem a rediscussão sem fim do SaaS. Os motivos da rejeição precisam ser específicos o bastante para serem refutados depois. Sam coloca a frase do gatilho no cabeçalho do ADR. Gatilhos mensuráveis incluem uma mudança de lei nomeada, um achado de auditoria de residência ou uma queda sustentada da equipe de operação para menos de duas pessoas. Os gatilhos de equipe usam uma média de quatro semanas, para que uma única semana de licença médica não reabra os debates sobre SaaS.
26.1b Modelos de custo
Inclua o custo anual aproximado (computação, licenças por usuário, tempo da equipe para a aprovação dupla). Uma alternativa que precisa de seis pessoas em tempo integral para operar com falha fechada não é gratuita só porque a licença era barata. O custo pertence ao registro de decisão, ao lado da segurança. Licenças baratas que exigem seis pessoas em tempo integral reprovam no critério de operabilidade. A planilha de Sam fica ao lado do ADR, não numa pasta particular. Quando os custos disparam, o próximo líder abre a mesma planilha e vê qual premissa quebrou, sem uma caça ao tesouro. Cada linha de custo traz a data e a fonte da estimativa, para que números desatualizados sejam fáceis de identificar.
Nota de prática
Documente as competências que a alternativa escolhida exige. A divisão em serviços da opção B precisa de engenheiros de plantão que entendam a ordenação de eventos; se a equipe não tiver essa competência, reserve orçamento para treinamento ou prefira uma opção mais simples até que as contratações alcancem. Uma arquitetura que pressupõe competências indisponíveis falha fechada na teoria e falha aberta na prática, quando ninguém consegue operar o caminho de negação sob estresse.
Exercícios
- EX076 — Critério. Acrescente um critério para avaliações de rádio e pontue A/B/C. Rubrica: 3 = critério sensato + pontuações; 2 = só o critério; 1 = vago; 0 = nada.
- EX077 — Rejeitar C. Escreva a frase de rejeição com o motivo de residência. Rubrica: 3 = clara; 2 = parcial; 1 = só o custo; 0 = aceita C.
- EX078 — Alternativa de reserva. Quando o monólito A é o runtime certo? Rubrica: 3 = indisponibilidade/exercício de isolamento com política exportada; 2 = vago; 1 = sempre; 0 = nunca.
Síntese
Escolha a arquitetura frente a restrições ponderadas; registre as opções rejeitadas.
Continue estudando — capítulo 26 de 50
← Capítulo 25 (rascunho) · Índice de capítulos do curso · Capítulo 27 (rascunho) →