Capítulo 12 — Sistemas operacionais

Capítulo 12 — Sistemas operacionais

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX034.

flowchart TD
  N0["12.1 Isolamento e permissões"]
  N1["12.2 Hardening da baseline"]
  N2["12.3 Logging para detecção"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX034"]

Desenho lógico

flowchart LR
  N0["12.1 Isolamento e permissões"]
  N1["12.2 Hardening da baseline"]
  N2["12.3 Logging para detecção"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX034"]

[12.1 Isolamento e permissões]
    |
    v
[12.2 Hardening da baseline]
    |
    v
[12.3 Logging para detecção]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX034]

Objetivos de aprendizagem

Você vai (1) explicar o isolamento de processos, usuários e permissões; (2) fazer o hardening de uma baseline de servidor; (3) relacionar o logging do sistema operacional à detecção no nível da arquitetura.

12.1 Isolamento e permissões

Os sistemas operacionais isolam processos e controlam o acesso a arquivos por meio de usuários, grupos e permissões. Sofia estuda um servidor Linux de bilhetagem: o serviço de bilhetagem roda com sua própria conta, que pode ler sua configuração e gravar seus logs, mas não pode modificar arquivos do sistema. Os administradores usam contas separadas com direitos elevados só quando necessário. Isso é o menor privilégio aplicado ao sistema operacional. Ela encontra um script legado rodando como root por conveniência, e Daniel explica que um único processo root comprometido mina todas as outras permissões, então o script é reescrito para rodar sob uma conta restrita.

12.2 Hardening da baseline

A Corvia usa uma baseline de hardening para servidores: desativar serviços não usados, remover contas padrão, aplicar atualizações num calendário, exigir autenticação forte dos administradores e ativar firewalls de host. Famílias de controles do SP 800-53 Rev. 5, como gestão de configuração e integridade de sistemas e informações, descrevem essas expectativas. Sofia aplica a baseline a um servidor de laboratório e registra cada mudança. Ela aprende que o hardening reduz a superfície de ataque, mas que uma baseline só é útil se os desvios forem detectados, então também agenda uma verificação de configuração que relata a cada semana a deriva em relação à baseline.

12.3 Logging para detecção

Os sistemas operacionais registram logins, mudanças de privilégio, inícios de processos e falhas de serviços. Um arquiteto decide quais desses logs são coletados centralmente, por quanto tempo são guardados e quem pode alterá-los. Sofia configura seu servidor de laboratório para enviar os logs de autenticação e de privilégio a um coletor central que os administradores do servidor não podem modificar, de modo que um intruso com acesso ao servidor não consiga apagar as evidências. Ela documenta quais eventos são coletados e por quê. O desenho do logging é uma decisão de arquitetura, porque determina se os ataques podem sequer ser percebidos e investigados.

Exemplo resolvido

Sofia remove um script que rodava como root, aplica e registra uma baseline de hardening com verificações semanais de deriva e envia logs resistentes a adulteração a um coletor central.

Caso sintético. Os servidores, os scripts e as configurações da baseline são sintéticos; o SP 800-53 Rev. 5 é real.

Erros e limites

Baselines podem quebrar software legado; teste antes de implantar. Logs centrais podem ficar sobrecarregados sem filtragem.

Exercícios

• EX034 — Perigo do script root. Por que o script que rodava como root foi reescrito? Rubrica: 3 = um processo root comprometido mina todas as outras permissões;; 2 = risco do root;; 1 = estilo;; 0 = nenhuma.

• EX035 — Verificações de deriva. Por que agendar verificações semanais de configuração depois do hardening? Rubrica: 3 = para detectar desvios da baseline ao longo do tempo;; 2 = deriva;; 1 = não são necessárias;; 0 = nenhuma.

• EX036 — Imutabilidade dos logs. Por que enviar os logs a um coletor que os administradores do servidor não podem modificar? Rubrica: 3 = um intruso no servidor não consegue apagar as evidências;; 2 = evidências;; 1 = velocidade;; 0 = nenhuma.

Síntese

O isolamento do sistema operacional, as linhas de base reforçadas e os logs protegidos fornecem a base da arquitetura de segurança no nível do host.

Continue estudando — aula 12 (capítulo 12 de 50)

← Capítulo 11 · Índice das aulas · Capítulo 13 →

Continue para a próxima aula já escrita.