Capítulo 38 — Arquitetura e engenharia de segurança: validação

Capítulo 38 — Arquitetura e engenharia de segurança: validação

Mapa da aula

Aula 38 publicada. Mapa, exemplo, EX112.

flowchart TD
  N0["38.1 Construir o sistema certo"]
  N1["38.2 Achados do red team"]
  N2["38.3 Estudos com usuários"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX112"]

Desenho lógico

flowchart LR
  N0["38.1 Construir o sistema certo"]
  N1["38.2 Achados do red team"]
  N2["38.3 Estudos com usuários"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX112"]

[38.1 Construir o sistema certo]
    |
    v
[38.2 Achados do red team]
    |
    v
[38.3 Estudos com usuários]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX112]

Objetivos de aprendizagem

Você vai (1) distinguir validação de verificação; (2) validar a arquitetura contra as necessidades das partes interessadas e o uso real; (3) usar exercícios de red team e estudos com usuários como evidência de validação.

38.1 Construir o sistema certo

A verificação perguntou se o sistema foi construído conforme especificado; a validação pergunta se a especificação atende às necessidades reais. Um sistema perfeitamente verificado ainda pode falhar com seus usuários ou deixar passar ameaças reais. Sofia planeja a validação do back-office: revisar com as partes interessadas se as necessidades de privacidade são de fato atendidas na prática diária, observar os atendentes usando as telas de contestação e contratar um exercício de red team autorizado para testar se atacantes realistas conseguem atingir seus objetivos apesar dos controles. A validação muitas vezes encontra problemas nos próprios requisitos, que nenhuma quantidade de verificação revelaria.

38.2 Achados do red team

Um red team autorizado de uma empresa especializada, trabalhando sob regras de engajamento escritas que excluem dados reais de passageiros e veículos, tenta obter históricos de viagem. Eles não quebram nenhuma criptografia; em vez disso, aplicam phishing a um atendente e usam o acesso legítimo dele para consultar as viagens de pessoas escolhidas. Todos os controles funcionaram conforme especificado. O achado mostra uma lacuna de requisito: os atendentes podiam consultar qualquer cartão sem uma contestação vinculada. Sofia acrescenta um requisito de que as consultas exigem um caso aberto e são revisadas, algo que a verificação nunca teria encontrado.

38.3 Estudos com usuários

Sofia também observa seis atendentes lidando com contestações sintéticas. Eles acham as novas telas confusas e compartilham anotações numa ferramenta de chat, copiando detalhes das viagens para fora do sistema protegido. Isso é uma falha de validação da aceitabilidade psicológica. A equipe redesenha as telas para mostrar as anotações do caso dentro do sistema e elimina a necessidade de copiar dados. Sofia observa que controles de segurança que ignoram os padrões reais de trabalho empurram as pessoas para contornos que minam a arquitetura, então os estudos com usuários são uma atividade de segurança, e não só de usabilidade.

Exemplo resolvido

Sofia planeja a validação; um red team obtém dados de viagem por meio do acesso legítimo de um atendente vítima de phishing, revelando uma lacuna de requisito, e um estudo com usuários encontra dados copiados para o chat, o que leva ao redesenho das telas.

Caso sintético. O red team, os atendentes e os achados são sintéticos.

Erros e limites

Os exercícios de red team cobrem apenas os caminhos tentados. Usuários observados podem se comportar de outro modo quando sabem que estão sendo observados.

Exercícios

• EX112 — Validação versus verificação. Como a validação difere da verificação? Rubrica: 3 = a validação verifica se a especificação atende às necessidades reais; a verificação, se a construção corresponde à especificação;; 2 = as duas;; 1 = iguais;; 0 = nenhuma.

• EX113 — Caminho do red team. Como o red team obteve os históricos de viagem? Rubrica: 3 = aplicou phishing a um atendente e usou o acesso legítimo para consultar cartões escolhidos;; 2 = phishing;; 1 = quebrou a criptografia;; 0 = nenhuma.

• EX114 — Causa do contorno. Por que os atendentes copiavam dados para o chat? Rubrica: 3 = as telas eram confusas e não tinham anotações de caso;; 2 = usabilidade;; 1 = má-fé;; 0 = nenhuma.

Síntese

A validação testa se a arquitetura atende a necessidades reais e resiste a atacantes reais, revelando lacunas de requisitos que a verificação não consegue revelar.

Continue estudando — aula 38 (capítulo 38 de 50)

← Capítulo 37 · Índice das aulas · Capítulo 39 →

Continue para a próxima aula já escrita.