Capítulo 11 — Redes e protocolos

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["11.1 Zonas e fronteiras"]
  N1["11.2 Caminhos de acesso remoto"]
  N2["11.3 Evidência de segmentação"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["11.1 Zonas e fronteiras"]
  N1["11.2 Caminhos de acesso remoto"]
  N2["11.3 Evidência de segmentação"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX031"]

[11.1 Zonas e fronteiras]
    |
    v
[11.2 Caminhos de acesso remoto]
    |
    v
[11.3 Evidência de segmentação]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) mapear as zonas da rede no escopo da governança; (2) avaliar os caminhos de acesso remoto; (3) relacionar a segmentação aos requisitos de compliance.

11.1 Zonas e fronteiras

Nadia mapeia a rede da Ardwell em zonas: a rede corporativa do escritório, o ambiente de pagamento dos clientes, a rede do sistema de controle e uma zona para o acesso remoto de fornecedores. Cada fronteira entre zonas é um ponto onde o tráfego pode ser controlado e registrado. A governança precisa desse mapa porque as decisões de escopo dependem dele. Por exemplo, o PCI DSS v4.0 se aplica ao ambiente de dados do titular do cartão e aos sistemas conectados, então uma boa segmentação mantém pequena a zona de pagamento e reduz o número de sistemas sujeitos a seus requisitos. Uma zona própria para o acesso de fornecedores também permite registrar cada sessão num único ponto.

11.2 Caminhos de acesso remoto

Os fornecedores mantêm os equipamentos do sistema de controle por conexões remotas. Nadia rastreia cada caminho: do site do fornecedor, pela internet, até o gateway de acesso remoto da Ardwell, depois até um jump host e, por fim, até o equipamento. Ela anota quais saltos exigem autenticação multifator, quais são registrados e quem aprova cada sessão. Um fornecedor usa uma conexão direta que contorna o jump host. Ela a registra como achado, porque um caminho sem registro nem aprovação quebra as premissas de governança por trás do desenho dos controles. O Prof. Brenner pergunta que evidência a conexão direta deixa, e Nadia não encontra nenhuma: por isso ela não pode ser auditada.

11.3 Evidência de segmentação

Afirmar que há segmentação não basta; é preciso demonstrá-la. Nadia aprende que os avaliadores esperam evidências como revisões das regras de firewall e testes que mostrem que o tráfego não atravessa fronteiras que não deveria. Ela escreve um plano de testes para verificar que a rede corporativa não alcança diretamente a rede do sistema de controle. Também observa que a segmentação precisa ser testada de novo depois de mudanças, porque uma única regra nova de firewall pode ligar zonas discretamente. Executar o teste depois de cada mudança de firewall liga a evidência de segmentação à gestão de mudanças, e não a um calendário anual.

Exemplo resolvido

Nadia mapeia quatro zonas de rede, rastreia os caminhos dos fornecedores, encontra um desvio e planeja testes de segmentação como evidência.

Caso sintético. A rede da Ardwell é sintética; o PCI DSS v4.0 é real.

Erros e limites

Os diagramas de rede se afastam da realidade. Os testes mostram só o que foi testado.

Exercícios

• EX031 — Quatro zonas. Que quatro zonas Nadia mapeou?
  Mostrar critérios de avaliação

  Rubrica: 3 = corporativa, pagamento, sistema de controle e acesso de fornecedores;; 2 = quatro;; 1 = vago;; 0 = nenhuma.
• EX032 — Achado do desvio. Por que a conexão direta do fornecedor foi um achado?
  Mostrar critérios de avaliação

  Rubrica: 3 = contornava o registro e a aprovação;; 2 = desvio;; 1 = vago;; 0 = nenhuma.
• EX033 — Novo teste. Quando a segmentação precisa ser testada de novo?
  Mostrar critérios de avaliação

  Rubrica: 3 = depois de mudanças, como novas regras de firewall;; 2 = depois de mudança;; 1 = nunca;; 0 = nenhuma.

Síntese

Mapas de rede definem o escopo, e a segmentação precisa ser demonstrada com evidências.