OpenCyber AcademyMapa da aula
Aula 23 publicada. Mapa, exemplo, EX067.
flowchart TD
N0["23.1 Cenários de ameaça"]
N1["23.2 Modos de falha"]
N2["23.3 Combinar as visões"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX067"]
Desenho lógico
flowchart LR
N0["23.1 Cenários de ameaça"]
N1["23.2 Modos de falha"]
N2["23.3 Combinar as visões"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX067"]
[23.1 Cenários de ameaça]
|
v
[23.2 Modos de falha]
|
v
[23.3 Combinar as visões]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX067]
Objetivos de aprendizagem
Você vai (1) identificar cenários de ameaça para a Ardwell; (2) analisar os modos de falha dos controles de governança; (3) combinar as visões de ameaça e de falha na identificação de riscos.
23.1 Cenários de ameaça
Nadia monta cenários de ameaça seguindo a estrutura do NIST SP 800-30 Rev. 1. Um grupo criminoso criptografa os sistemas do escritório e exige pagamento. Um insider do faturamento altera contas de clientes. O notebook comprometido de um fornecedor se conecta aos sistemas de controle. Um script de skimming de cartões é injetado no portal de pagamento. Cada cenário nomeia uma fonte de ameaça, um evento, as vulnerabilidades exploradas e o impacto. Os cenários tornam o risco concreto para os responsáveis, que julgam mais facilmente a probabilidade e o impacto de uma história do que de uma categoria abstrata. O cenário do notebook do fornecedor se liga diretamente às lacunas de acesso remoto encontradas no capítulo 11.
23.2 Modos de falha
Os próprios controles podem falhar. Nadia aplica o raciocínio de modos de falha à revisão de acessos da Ardwell: os revisores podem aprovar tudo sem conferir, a lista de contas pode estar incompleta, ou as remoções podem ser aprovadas e nunca executadas. Para cada modo de falha, ela pergunta como ele seria detectado e qual seria o efeito. A análise revela que ninguém confere se as remoções aprovadas acontecem. Ela propõe um teste de acompanhamento que compare as remoções aprovadas com as mudanças reais nas contas depois de cada revisão, o que apanharia o mais silencioso dos três modos de falha.
23.3 Combinar as visões
A análise de ameaças pergunta o que poderia atacar a Ardwell; a análise de falhas pergunta como suas defesas poderiam parar de funcionar em silêncio. Nadia as combina no registro de riscos, ligando os cenários aos controles de que dependem e aos modos de falha desses controles. Um cenário que depende de um controle com um modo de falha não detectado é mais arriscado do que parece. O Prof. Brenner observa que muitos incidentes reais combinam uma ameaça externa com uma falha de controle interno que ninguém notou, então as duas visões são necessárias. Um cenário de ransomware que depende de backups cuja restauração nunca foi testada é um exemplo claro desse risco oculto.
Exemplo resolvido
Nadia escreve quatro cenários de ameaça, analisa os modos de falha da revisão de acessos e liga as duas visões no registro.
Caso sintético. Os cenários são sintéticos; o SP 800-30 Rev. 1 é real.
Erros e limites
As listas de cenários nunca estão completas. A análise de falhas leva tempo.
Exercícios
- EX067 — Partes do cenário. Que partes cada cenário nomeia?
Mostrar critérios de avaliação
Rubrica: 3 = fonte de ameaça, evento, vulnerabilidades e impacto;; 2 = quatro;; 1 = vago;; 0 = nenhuma. - EX068 — Falha oculta. Que modo de falha da revisão de acessos ficava sem verificação?
Mostrar critérios de avaliação
Rubrica: 3 = remoções aprovadas e nunca executadas;; 2 = acompanhamento;; 1 = vago;; 0 = nenhuma. - EX069 — Risco combinado. Por que um cenário que depende de um controle com modo de falha não detectado é mais arriscado?
Mostrar critérios de avaliação
Rubrica: 3 = a defesa pode ter parado de funcionar em silêncio;; 2 = falha oculta;; 1 = vago;; 0 = nenhuma.
Síntese
Combinar cenários de ameaça com modos de falha dos controles revela riscos que nenhuma das duas visões, sozinha, perceberia.