◇ OpenCyber Academy
Engenharia · Capítulo 50 · Português

Capítulo 50 — Defesa final

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 50 — Defesa final

Mapa da aula

Aula 50 publicada. Mapa, exemplo, EX148.

flowchart TD
  N0["50.1 Preparar a defesa"]
  N1["50.2 Responder aos questionamentos"]
  N2["50.3 Depois da defesa"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX148"]

Desenho lógico

flowchart LR
  N0["50.1 Preparar a defesa"]
  N1["50.2 Responder aos questionamentos"]
  N2["50.3 Depois da defesa"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX148"]

[50.1 Preparar a defesa]
    |
    v
[50.2 Responder aos questionamentos]
    |
    v
[50.3 Depois da defesa]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX148]

Objetivos de aprendizagem

Você vai (1) defender uma tese de engenharia diante de examinadores e praticantes; (2) responder a questionamentos com evidências e limites reconhecidos; (3) planejar o desenvolvimento profissional depois da formatura.

50.1 Preparar a defesa

Sofia prepara uma apresentação de vinte minutos centrada no problema, nas decisões principais, nas evidências e nos limites, e não em tudo o que fez. Ela antecipa as perguntas: por que não levar tudo para a nuvem, como o projeto lida com uma chave de assinatura de tarifas roubada, se o achado do red team significa que o projeto falhou e como seus padrões se aplicam a operadoras menores. Para cada uma, prepara uma resposta que aponta para uma seção da tese ou para uma evidência do dossiê. Ela ensaia com Daniel e com colegas, cronometrando-se e praticando respostas curtas e diretas.

50.2 Responder aos questionamentos

Um examinador pergunta se o projeto de tarifas assinadas não perde o sentido caso a chave de assinatura seja roubada. Sofia explica o projeto em camadas: a lista de publicações independente mantida pelo financeiro revelaria versões não publicadas, e o rollback limita o dano; ela admite que um comprometimento coordenado da chave e da lista do financeiro derrotaria os controles. Um praticante pergunta se o sucesso do red team mostra uma falha. Ela responde que ele validou a especificação ao revelar uma lacuna de requisito, que foi corrigida. Admitir com precisão onde o projeto deixa de proteger convence mais do que alegar que ele não pode falhar.

50.3 Depois da defesa

Os examinadores aprovam a tese com correções menores: esclarecer a notação do assurance case e acrescentar um parágrafo sobre o calendário da migração pós-quântica. Sofia as conclui e arquiva a tese e o dossiê com seu manifesto. Daniel lhe oferece uma vaga de arquiteta júnior na Corvia. Seu plano de desenvolvimento inclui liderar um programa completo de modelagem de ameaças, estudar a fundo os padrões pós-quânticos do NIST e orientar o estagiário do próximo ano. Sua reflexão observa que cinco anos lhe ensinaram que a arquitetura de segurança é a disciplina de tornar os tradeoffs explícitos, fundamentados em evidências e com responsáveis.

Exemplo resolvido

Sofia defende sua tese, admite o limite do comprometimento conjunto da chave e da lista, apresenta o achado do red team como sucesso da validação, conclui as correções e planeja seu primeiro ano profissional.

Caso sintético. Os examinadores, as perguntas e a oferta de emprego são sintéticos.

Erros e limites

O desempenho na defesa não é o mesmo que a qualidade do projeto. As correções não devem mudar afirmações sem novas evidências.

Exercícios

Síntese

Uma defesa final mostra domínio ao explicar decisões, reconhecer limites com precisão e transformar o estudo em prática profissional.

Continue estudando — aula 50 (capítulo 50 de 50)

← Capítulo 49 · Índice das aulas · Próximo curso pelo índice →

O índice aponta para o próximo curso do percurso de estudos.

Resoluções

Respostas-modelo para EX001–EX150. Sofia Mbeki, Daniel Ferreira, a Kestrel Polytechnic University, a Corvia Regional Transit e todos os números são sintéticos; as respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.

EX001. Que o aumento de cada mês é proporcional ao volume atual, de modo que o crescimento absoluto continua se acelerando.

EX002. Mês 24 (20,5 TB contra um orçamento de 20 TB), quinze meses antes do que prevê a previsão linear.

EX003. Porque trata um processo exponencial como linear e subestima o volume futuro.

EX004. contractor-07, via vendor-support, field-tech e fare-ops até fare-admins: quatro grupos de profundidade.

EX005. O conjunto de usuários que podem criar e o conjunto dos que podem aprovar devem ter interseção vazia.

EX006. Duas pessoas diferentes em conluio, uma criando e outra aprovando, o que exige controles de processo.

EX007. Porque os atacantes podem alcançá-los fisicamente, abri-los e instrumentá-los por longos períodos num veículo público.

EX008. Selecionar componentes seguros avaliados, como secure elements, onde quer que os atacantes possam obter acesso físico.

EX009. Porque a latência da rede e as falhas de conectividade fazem com que o servidor central nem sempre consiga responder a tempo.

EX010. Um valor negativo, um timestamp no futuro e um identificador de cartão com caracteres inesperados.

EX011. Uma mensagem pública curta de registro inválido e uma entrada de log detalhada, com a linha e o motivo, num arquivo restrito.

EX012. Porque secrets obtém os valores da fonte criptograficamente segura do sistema operacional, enquanto random pode ser previsto.

EX013. Contexto, decisão, opções consideradas, consequências e data.

EX014. Onde quer que o nível de confiança mude, por exemplo entre os dispositivos embarcados e a rede da garagem.

EX015. Que um cartão roubado ainda poderia ser usado por até uma hora, até a próxima atualização da lista de bloqueio.

EX016. O número total de tentativas fraudulentas ao longo do dia.

EX017. O uso indevido esperado cai de 12,6 para 3,1 usos por dia, um quarto do valor com atualização a cada hora.

EX018. Cerca de 0,55 exatamente; o atalho n vezes p dá 0,8, que superestima porque n p não é pequeno.

EX019. A probabilidade de a validação ser fraude, dado que foi sinalizada.

EX020. Cerca de 4,5 por cento; mais de 95 por cento dos sinais eram alarmes falsos.

EX021. Porque os tempos de revisão são assimétricos, de modo que a média representa mal o caso típico e a cauda.

EX022. Porque as diferenças no tempo de acesso revelam quais dados foram usados recentemente, permitindo side channels.

EX023. Porque permitem que o código atravesse as fronteiras impostas pelo hardware das quais todos os outros controles dependem.

EX024. Porque qualquer pessoa com a chave de assinatura pode produzir um firmware que o secure boot aceitará.

EX025. Reduzem o que precisa ser revisado e permitem que os módulos confiem em entradas validadas em vez de repetir verificações.

EX026. Aplicar um desconto infantil a um cartão de adulto deve ser rejeitado.

EX027. Rastrear os componentes usados e responder às vulnerabilidades encontradas neles.

EX028. A segurança, a saúde e o bem-estar públicos.

EX029. Abertas, porque a evacuação dos passageiros tem prioridade sobre a cobrança da tarifa.

EX030. Escrever uma nota clara do risco específico ao seu mentor para que ele possa ser escalado.

EX031. Não limita quais sistemas internos um veículo comprometido pode alcançar depois de conectado.

EX032. Um notebook infectado consegue alcançar diretamente os servidores de bilhetagem, e o monitoramento não consegue distinguir os fluxos normais.

EX033. Numa lista dos fluxos de que cada zona realmente precisa, permitindo apenas esses.

EX034. Porque, se fosse comprometido, os privilégios de root minariam todas as outras permissões do servidor.

EX035. Porque os sistemas derivam da baseline, e a baseline só é útil se os desvios forem percebidos.

EX036. Para que um atacante que obtenha acesso ao servidor não consiga apagar o registro de suas ações.

EX037. Porque revelam os padrões de moradia, trabalho e deslocamento das pessoas.

EX038. A consulta concatenada devolveu as 4 linhas, enquanto a consulta parametrizada devolveu 0.

EX039. Porque dados que nunca são guardados não podem vazar, e menos dados são mais fáceis de proteger adequadamente.

EX040. Preparar a organização, proteger o software, produzir software bem protegido e responder a vulnerabilidades.

EX041. O replay de solicitações de reembolso para obter reembolsos em dobro e funcionários aprovando os próprios reembolsos.

EX042. Falhas no nível do projeto, como o problema da autoaprovação, que exigem revisão humana.

EX043. Um grupo de fraudadores é uma ameaça; uma interface sem autenticação é uma vulnerabilidade que ele poderia explorar.

EX044. As solicitações de reembolso são recusadas até que a autorização possa ser verificada.

EX045. Organizacional, de pessoas, físico e tecnológico.

EX046. O suporte, incluindo a aplicação de patches, e a desativação, incluindo a destruição de dados.

EX047. Das necessidades de proteção das partes interessadas aos requisitos de segurança, à arquitetura e ao projeto, e à garantia de que são atendidos.

EX048. Mostra quais elementos de projeto e evidências de verificação dependem daquele requisito.

EX049. Disparando-a de propósito para que bloqueie usuários legítimos, transformando o controle numa negação de serviço.

EX050. Durante o ataque, ela alternou entre 20 e 100 requisições por minuto a cada minuto (9 mudanças de direção), enquanto o ganho 0.6 se estabilizou perto de 56 com 1 mudança.

EX051. Tamanhos de ajuste limitados e limites mínimo e máximo, com revisão humana quando os limites forem atingidos.

EX052. Por requisitos de negócio expressos como atributos, como privado ou disponível.

EX053. O serviço de gestão de chaves não tinha responsável operacional.

EX054. Mostra qual atributo de negócio aquele controle sustentava e que agora fica enfraquecido.

EX055. Uma conta de suporte compartilhada de fornecedor que contorna o single sign-on e a autenticação multifator.

EX056. A Corvia nunca armazena os números reais dos cartões, então um vazamento dos seus sistemas não pode expô-los.

EX057. Geração, armazenamento, rotação e revogação, além de distribuição e destruição.

EX058. As obrigações do setor de pagamentos exigem segmentar os sistemas de pagamento das demais redes.

EX059. Os validadores legados só podem ser substituídos no quinto ano.

EX060. Que a tokenização de pagamentos já estava contratada e que o aplicativo de passageiros estava fora do escopo.

EX061. Reembolsos acima de cinquenta euros devem exigir a aprovação de uma segunda pessoa distinta do solicitante, verificada por teste.

EX062. Cada registro de validação deve ter um identificador único, e os duplicados devem ser detectados e rejeitados.

EX063. Para procurar lacunas nos seus requisitos; ele revelou que faltava um requisito de proteção e revisão de logs.

EX064. Os relatórios liam diretamente do banco de viagens, em vez de passar por uma interface, contornando os controles de acesso.

EX065. Criptografia e autenticação do fluxo.

EX066. Ou o modelo está desatualizado ou o sistema tem um fluxo inesperado; as duas possibilidades precisam ser investigadas.

EX067. Validadores desativados que ainda tinham certificados internos podiam enviar registros, porque os certificados não haviam sido revogados.

EX068. Os erros de cálculo da tarifa depois de mudanças de tarifa: 0.0080 por dia contra 0.0010 dos registros perdidos, com o evento de topo em 0.0090 (cerca de 3,3 dias por ano).

EX069. Porque uma causa comum, como uma queda de energia, pode fazer vários ramos falharem juntos.

EX070. Agrupam riscos muito diferentes sob rótulos como alto.

EX071. Preparar a avaliação, conduzi-la, comunicar os resultados e mantê-la.

EX072. Um responsável do negócio com autoridade; os engenheiros recomendam.

EX073. Porque os ônibus ainda precisam recarregar quando a conexão de internet da garagem falha.

EX074. Admitiram que ainda não tinham resposta e a registraram como uma questão em aberto.

EX075. Limites de hardware nos carregadores que o controlador não consegue sobrepor e a separação da rede do controlador em relação aos sistemas corporativos.

EX076. Porque comparar só duas pode esconder uma opção intermediária melhor, e uma opção mínima fornece uma base.

EX077. A alternativa A, a opção on-premises, venceria.

EX078. O processo de pseudonimização se torna um ponto único de falha para a privacidade dos passageiros.

EX079. A verificação da assinatura antes da carga, o registro e o alerta sobre versões não publicadas e o rollback para a última tabela verificada.

EX080. Porque, se a chave de assinatura fosse roubada, as assinaturas ainda seriam verificadas, mas a lista independente revelaria versões não publicadas.

EX081. Uma tabela de tarifas modificada depois de assinada deve ser rejeitada.

EX082. Para que os controles difíceis não sejam abandonados em silêncio e os revisores possam verificar que todo requisito foi implementado.

EX083. Ela foi removida do histórico do repositório, rotacionada e registrada como incidente.

EX084. Porque enfraqueceria um requisito de segurança, que só uma decisão de arquitetura pode mudar.

EX085. A mediana do número de dias entre a desativação do dispositivo e a revogação do certificado.

EX086. Uma mediana de 8 dias entre os dispositivos revogados, só 8 de 20 revogados em até uma semana e 3 nunca revogados; criptografia e registro cobriam 4 de 5 repositórios.

EX087. A taxa de reabertura, para mostrar se tickets foram fechados sem correções reais.

EX088. Se o sistema foi construído de acordo com suas especificações.

EX089. Só o primeiro registro autêntico; os registros duplicado, alterado e do validador desativado foram rejeitados.

EX090. O comportamento durante o failover do banco de dados.

EX091. Um registro de ativo e um ticket de instalação aprovado.

EX092. Certificados ainda ativos para dispositivos fora de serviço, causados por eventos de integração perdidos.

EX093. Controles compensatórios, um responsável e uma expiração atrelada à data de substituição.

EX094. Multiplicam-se, de modo que o serviço é menos disponível do que seu componente mais fraco.

EX095. A disponibilidade geral subiu de 0.9960 para 0.9980, de cerca de 35 para 18 horas de indisponibilidade por ano, porque o repositório de segredos era o elo mais fraco.

EX096. A ingestão das validações faz soft-fail usando listas em cache por pouco tempo; o acesso administrativo faz hard-fail.

EX097. A capacidade de antecipar, resistir, recuperar-se e adaptar-se a condições adversas.

EX098. Diversidade, ao oferecer um canal alternativo que não compartilha os modos de falha do sistema principal.

EX099. Porque a equipe sabe que os serviços podem continuar funcionando em níveis reduzidos, então há menos pressão para pagar ou restaurar de forma insegura.

EX100. A única API key compartilhada e de longa duração do aplicativo de mobilidade e as exportações mensais de dados para a consultoria por e-mail.

EX101. Vender passagens e consultar tarifas, mas não ler históricos de viagem.

EX102. Deixou claro qual parte notificava os passageiros afetados e quais tokens a Corvia deveria revogar.

EX103. Coordenar a equipe, manter um registro de decisões compartilhado e fazer os conflitos aparecerem cedo.

EX104. Dados de viagem detalhados por noventa dias, com atributos agregados de fraude guardados por dois anos.

EX105. Nenhum plano para o comprometimento das chaves do serviço de tokenização e nenhum responsável claro pelas solicitações de exclusão dos passageiros.

EX106. O logging de debug verboso nos volumes da bilhetagem baseada em conta.

EX107. Com a mesma reposição de 20 por segundo, a capacidade 20 rejeitou 200 de 450 requisições, enquanto a capacidade 200 rejeitou só 20.

EX108. Um token ou direito revogado pode continuar funcionando até a decisão em cache expirar, por até um minuto.

EX109. Governar, identificar, proteger, detectar, responder e recuperar (Govern, Identify, Protect, Detect, Respond, Recover).

EX110. Alertando quando as exportações excedem o volume normal ou ocorrem fora do horário de trabalho.

EX111. Mudanças que afetam autenticação, criptografia, regras de rede ou logging.

EX112. A verificação checa se o sistema corresponde à sua especificação; a validação checa se a especificação atende às necessidades reais.

EX113. Aplicando phishing a um atendente e usando o acesso legítimo de consulta desse atendente.

EX114. Porque as telas eram confusas e não ofereciam lugar para as anotações do caso, então eles usavam o chat.

EX115. O componente tinha um único algoritmo de assinatura e uma única chave fixos no código.

EX116. Um campo de versão e um identificador de algoritmo no formato assinado.

EX117. O risco do item, um responsável e um plano para removê-lo.

EX118. Uma regra em excesso permite um acesso que não está na matriz; um fluxo ausente bloqueia algo que a matriz exige.

EX119. Regras em excesso das estações de trabalho da equipe para o banco de viagens e uma regra de teste any-to-any, além de um fluxo ausente da ingestão para o logging.

EX120. Se as regras são de fato aplicadas em tempo de execução, o que exige testes de tráfego de comportamento.

EX121. O problema da mochila: maximizar o valor dentro de um limite de peso, aqui o custo.

EX122. O guloso chegou a uma redução de 63 usando 80 do orçamento, enquanto o ótimo exaustivo chegou a 74 com custo 98 ao incluir o grande controle hsm-keys.

EX123. Ele é escolhido em todos os cenários de estimativa, do baixo ao alto.

EX124. O número de dias entre a desativação de um dispositivo e sua última autenticação bem-sucedida.

EX125. Porque uma lista de dispositivos que ainda se autenticavam depois da desativação poderia ajudar um atacante a encontrar pontos fracos.

EX126. As melhorias nos registros de ativos ocorreram ao mesmo tempo que a mudança dos certificados.

EX127. Pedir aos gerentes de projeto o contexto e os requisitos que faltavam para que as revisões pudessem avançar.

EX128. Confirmar o uso do gateway com tokens com escopo, verificar a classificação dos dados compartilhados, uma sessão de modelagem de ameaças de uma hora e dois riscos residuais aceitos pelo responsável.

EX129. Negociação, ao lado do seu ponto forte na escrita clara.

EX130. Todas as ameaças de alta prioridade mitigadas ou aceitas, e testes de verificação aprovados para todo requisito no escopo.

EX131. Porque os testes e a documentação são deixados para tão tarde que os problemas que revelam não podem ser corrigidos.

EX132. Quaisquer mudanças em sistemas de produção; a implementação fica limitada a um espelho de laboratório.

EX133. Escopo, decisões principais, questões em aberto conhecidas, perguntas específicas e o que está fora do escopo.

EX134. Os atendentes podiam ajustar tarifas sem segunda aprovação; Sofia acrescentou dupla aprovação acima de um limite, com testes.

EX135. A revogação dos crachás rodava como um lote noturno, deixando funcionários demitidos com até um dia de acesso.

EX136. Dois, porque o laboratório não conseguia reproduzir certos hardwares de produção.

EX137. Uma subafirmação sustentada apenas pela revisão de projeto, para a qual Sofia acrescentou um teste.

EX138. Ela propôs documentar como os reembolsos se encaixariam, como trabalho futuro, em vez de implementá-los.

EX139. Restaurar o cálculo das tarifas em até quatro horas e não perder nenhum registro de validação.

EX140. A recuperação total levou 325 minutos, 5,4 horas, acima do objetivo de 240 minutos, com a restauração do banco em 120 e o reprocessamento em 95 minutos dominando.

EX141. Mudar o formato do backup para permitir a restauração paralela e processar em lotes o reprocessamento dos registros de validação.

EX142. Pela estrutura do assurance case, para que um examinador possa rastrear cada afirmação até sua evidência.

EX143. verification_report.md, que foi editado depois que o manifesto foi criado.

EX144. Que ele mostra apenas a cobertura de temas, e não certificação ou conformidade.

EX145. É um argumento que sustenta afirmações com evidências, e não um relato cronológico do trabalho.

EX146. Que ele só foi demonstrado num espelho de laboratório, e não em produção.

EX147. A revogação disparada pelas mudanças de status do ativo, apoiada por uma conciliação diária.

EX148. O problema, as decisões principais, as evidências e os limites, e não um relato completo de todo o trabalho.

EX149. Que, se a chave de assinatura e a lista de publicações independente do financeiro fossem comprometidas juntas, os controles falhariam.

EX150. Como a disciplina de tornar os tradeoffs explícitos, fundamentados em evidências e com responsáveis.