OpenCyber Academy
Engenharia · Capítulo 31 · Português
Código do curso: OCA-130Capítulo 31: OCA-130-C031

Capítulo 31 — Operações de segurança e blue team: implementação II

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 31 publicada. Mapa, exemplo, EX091.

flowchart TD
  N0["31.1 Do ateliê à produção"]
  N1["31.2 Enriquecimento dos ativos"]
  N2["31.3 Implantação em fases"]
  N3["31.4 Constatações do piloto"]
  N4["31.5 Coordenação"]
  N5["31.6 Monitorando a implantação"]
  N6["31.7 Encerramento"]
  N7["Documentando as exceções"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX091"]

Desenho lógico

flowchart LR
  N0["31.1 Do ateliê à produção"]
  N1["31.2 Enriquecimento dos ativos"]
  N2["31.3 Implantação em fases"]
  N3["31.4 Constatações do piloto"]
  N4["31.5 Coordenação"]
  N5["31.6 Monitorando a implantação"]
  N6["31.7 Encerramento"]
  N7["Documentando as exceções"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX091"]

[31.1 Do ateliê à produção]
    |
    v
[31.2 Enriquecimento dos ativos]
    |
    v
[31.3 Implantação em fases]
    |
    v
[31.4 Constatações do piloto]
    |
    v
[31.5 Coordenação]
    |
    v
[31.6 Monitorando a implantação]
    |
    v
[31.7 Encerramento]
    |
    v
[Documentando as exceções]
    |
    v
[Exemplo resolvido] --> [Exercício EX091]

Objetivos de aprendizagem

Você vai (1) implementar o monitoramento das redes dos depósitos a partir do projeto do ateliê; (2) integrar os logs do firewall e a política de lista de permissões; (3) implementar o enriquecimento dos ativos dos depósitos; (4) gerenciar a implantação em muitos locais.

31.1 Do ateliê à produção

O projeto dos depósitos do capítulo 25 agora se torna real: restringir o tráfego entre depósitos e negócio a cinco serviços, registrar as negações e alertar sobre tentativas repetidas a destinos novos. Cinco serviços cobrem o que os depósitos legitimamente precisam dos sistemas de negócio, como atualizações de entrega e consultas de estoque. Todo o resto é negado e registrado. Alertar sobre tentativas repetidas a destinos novos filtra erros pontuais e ainda pega um dispositivo que tenta com insistência alcançar sistemas que não deveria, que é o comportamento que o projeto pretendia revelar.

31.2 Enriquecimento dos ativos

A detecção precisa saber quais endereços são de depósitos. Amara trabalha com a TI para acrescentar as sub-redes e os tipos de dispositivo dos depósitos ao inventário de ativos e, depois, às tabelas de enriquecimento. Sem enriquecimento, um log de negação mostra apenas um endereço, e um analista precisa procurar a que depósito e dispositivo ele pertence. Com as sub-redes e os tipos de dispositivo dos depósitos no inventário, os alertas chegam mostrando de imediato "leitor portátil, Depósito 14". O trabalho no inventário também ajuda as operações de TI, que antes não tinham uma lista completa dos dispositivos dos depósitos.

31.3 Implantação em fases

Quarenta depósitos não podem mudar de uma vez. Três depósitos-piloto vão primeiro; os problemas encontrados ali são corrigidos antes que os demais sigam em grupos de dez. Os três depósitos-piloto são escolhidos para cobrir tamanhos e equipamentos diferentes, de modo que problemas que afetam só alguns tipos de depósito tendam a aparecer. Grupos de dez depois disso mantêm administrável o número de depósitos afetados por qualquer problema novo. Cada grupo só começa depois que o anterior rodou sem problemas por um período definido. As lições são registradas depois de cada grupo.

31.4 Constatações do piloto

No piloto, uma impressora de etiquetas num depósito precisa alcançar um servidor de impressão que não está na lista de permissões. O firewall a bloqueia, a impressão para e o depósito liga para a TI. A equipe acrescenta o serviço de impressão, documenta o porquê e confere os outros depósitos em busca das mesmas impressoras antes do grupo seguinte. O problema da impressora mostra por que a lista de permissões precisa de contribuições de quem conhece as operações dos depósitos, e não só dos diagramas de rede. Conferir os outros depósitos antes do grupo seguinte evita a mesma interrupção em outros lugares. Documentar por que o serviço de impressão foi acrescentado mantém a lista de permissões compreensível, para que futuros revisores não o removam como uma exceção sem explicação.

31.5 Coordenação

Os gerentes dos depósitos recebem um aviso antes das mudanças, um número de contato e uma promessa de reversão. Os gerentes dos depósitos tocam locais movimentados, onde uma interrupção sem explicação pode atrasar entregas. Um aviso antecipado lhes permite planejar em torno da mudança; um número de contato lhes dá alguém para quem ligar; uma promessa de reversão os tranquiliza de que um problema será revertido rapidamente, em vez de debatido. Uma boa coordenação facilita as implantações seguintes, porque a confiança foi construída. Depois, pergunta-se aos gerentes como a mudança correu. Suas respostas moldam o aviso seguinte.

31.6 Monitorando a implantação

Um painel mostra as negações por depósito por hora; um pico depois de uma mudança sinaliza um serviço legítimo esquecido. Antes de uma mudança, as negações num depósito ficam perto de zero, porque o tráfego não era restrito. Uma alta brusca logo depois da mudança costuma significar que um serviço legítimo foi esquecido, como no caso da impressora. Acompanhar o painel durante cada janela de implantação permite à equipe reagir em minutos, em vez de esperar reclamações dos funcionários do depósito. Um pico fora de uma janela de implantação é tratado, em vez disso, como um possível evento de segurança.

31.7 Encerramento

Depois de todos os depósitos, a equipe revisa as taxas de negação e o volume de alertas em relação às estimativas do projeto. Comparar os resultados reais com as estimativas confere se as premissas do projeto se sustentaram. Se as negações forem muito maiores do que o esperado, a lista de permissões ainda pode estar sem alguns serviços; se os alertas forem muito maiores, os limiares podem precisar de ajuste. A revisão é registrada por escrito e ligada ao documento de projeto, fechando o ciclo do ateliê à operação. Paolo a lê antes de o projeto ser encerrado, e os números finais passam a ser a linha de base do monitoramento rotineiro do tráfego dos depósitos dali em diante.

Documentando as exceções

Todo serviço permitido tem um responsável e um motivo no arquivo de política.

Exemplo resolvido

Depois da implantação, as negações dos depósitos ficam em média em 40 por dia somando todos os locais, a maioria de dispositivos tentando de novo um servidor de atualização antigo. O alerta de destino novo dispara duas vezes na primeira semana; nas duas, é o laptop de um prestador de serviço conectado à rede de um depósito. O segundo leva a TI a impor o controle de acesso à rede para dispositivos visitantes.

Caso sintético. Os depósitos, os dispositivos e as contagens são inventados.

Erros e limites

Restringir o tráfego pode quebrar dependências desconhecidas; os pilotos reduzem esse risco, mas não o eliminam.

Exercícios

Síntese

Implemente mudanças em todos os locais com enriquecimento, pilotos, coordenação e monitoramento dos efeitos colaterais.

Continue estudando — capítulo 31 de 50

← Capítulo 30 (rascunho) · Índice de capítulos do curso · Capítulo 32 (rascunho) →

Respostas comentadas

EX091. Para descobrir problemas, como a dependência da impressora, antes que afetem os quarenta depósitos.

EX092. O serviço de impressão foi permitido com um motivo documentado, e os outros depósitos foram conferidos em busca das mesmas impressoras antes do grupo seguinte.

EX093. O laptop de um prestador numa rede de depósito; a TI então impôs o controle de acesso à rede para dispositivos visitantes.