Capítulo 16 — Engenharia de sistemas
Mapa da aula
Aula 16 publicada. Mapa, exemplo, EX046.
flowchart TD
N0["16.1 Fronteira e partes interessadas"]
N1["16.2 Conceito de operações"]
N2["16.3 Controle de interfaces"]
N3["16.4 Ciclo de vida"]
N4["16.5 Estudos de compromisso"]
N5["Nota de prática — Mapa de partes interessadas"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX046"]
Desenho lógico
flowchart LR
N0["16.1 Fronteira e partes interessadas"]
N1["16.2 Conceito de operações"]
N2["16.3 Controle de interfaces"]
N3["16.4 Ciclo de vida"]
N4["16.5 Estudos de compromisso"]
N5["Nota de prática — Mapa de partes interessadas"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX046"]
[16.1 Fronteira e partes interessadas]
|
v
[16.2 Conceito de operações]
|
v
[16.3 Controle de interfaces]
|
v
[16.4 Ciclo de vida]
|
v
[16.5 Estudos de compromisso]
|
v
[Nota de prática — Mapa de partes interessadas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX046]
Objetivos de aprendizagem
Você vai (1) definir a fronteira de um sistema e suas partes interessadas; (2) escrever um conceito de operações para uma plataforma de CTI; (3) gerenciar interfaces com um documento de controle de interface; (4) planejar o ciclo de vida, do conceito à desativação.
16.1 Fronteira e partes interessadas
A fronteira do Lantern inclui coletores, armazenamento, enriquecimento, interface do analista e disseminação. Fora dela: servidores dos parceiros, firewalls e SIEM da BEN, o ISAC do setor. As partes interessadas incluem analistas do SOC, engenheiros de OT, o encarregado de privacidade, parceiros e executivos. Traçar a linha mostra à equipe o que ela controla e o que só pode influenciar. Um firewall fora da fronteira pode rejeitar uma regra enviada pelo Lantern, e o Lantern precisa lidar com isso em vez de presumir sucesso. Kofi encontrou uma parte interessada ausente no primeiro rascunho: a equipe de operações de rede, dona dos firewalls, que precisa concordar com toda mudança na forma como as regras chegam.
16.2 Conceito de operações
Um ConOps descreve, com as palavras dos operadores, como o sistema é usado: "Às 07:00 o analista de plantão revisa os indicadores de alta confiança da noite; bloqueios automáticos se aplicam apenas aos segmentos de TI; bloqueios de OT aguardam aprovação." Ele é a referência para os requisitos. Kofi escreveu o primeiro rascunho passando uma manhã ao lado da analista de plantão e anotando o que ela fazia, e depois perguntando o que ela gostaria que o sistema fizesse. Os operadores corrigiram várias etapas ao lê-lo, incluindo a ordem em que verificam os alertas da noite. Cada requisito escrito depois pode ser rastreado até uma frase dessa descrição, o que mostra por que ele existe.
16.3 Controle de interfaces
Cada interface — TAXII 2.1 com os parceiros, a API do SIEM, o envio aos firewalls — tem um documento de controle de interface: formatos de dados, taxas, autenticação, tratamento de erros e responsáveis dos dois lados. Sem esse documento, cada lado presume que o outro trata os erros. Kofi descobriu que a equipe do SIEM esperava que o Lantern repetisse as entregas que falhavam, enquanto o Lantern esperava que o SIEM pedisse os dados ausentes. Escrever a interface expôs a lacuna antes que uma interrupção o fizesse. Cada documento indica um contato de cada lado e é revisado sempre que um dos sistemas muda seu formato ou seus limites.
16.4 Ciclo de vida
Conceito, requisitos, projeto, construção, verificação, validação, operação e desativação. A desativação importa em CTI: descomissionar um feed significa avisar o parceiro, apagar os dados restritos retidos e remover as credenciais. O plano de Kofi para cada feed inclui seu fim: quem avisa o parceiro, quais registros armazenados precisam sair segundo o acordo, quais credenciais são revogadas e quais regras de firewall derivadas do feed são revisadas. Quando a BEN mais tarde abandonou um feed comercial de pouco valor, o plano transformou o que poderia ter sido uma semana confusa em uma lista de verificação concluída em dois dias.
16.5 Estudos de compromisso
Construir ou comprar, local ou em nuvem, plataformas de inteligência de ameaças de código aberto ou comerciais: os estudos de compromisso ponderam custo, controle, integração e risco com critérios explícitos. O estudo de Kofi para a plataforma listou primeiro os critérios e os ponderou com o líder de CTI antes de pontuar qualquer opção, para que a resposta preferida não moldasse os pesos. A integração com o SIEM existente da BEN e a capacidade de manter os dados restritos dos parceiros nos próprios servidores da BEN tiveram o maior peso. As pontuações e o raciocínio foram guardados, de modo que a decisão possa ser revista quando as circunstâncias mudarem, em vez de discutida de memória.
Nota de prática — Mapa de partes interessadas
Kofi desenha um mapa das partes interessadas com seu interesse e sua influência. O encarregado de privacidade tem alta influência e interesse restrito; os parceiros têm influência moderada e forte interesse em reciprocidade. O mapa orienta quem revisa quais documentos e evita surpresas tardias. Kofi mantém o ConOps em quatro páginas para que os operadores realmente o leiam e corrijam.
Exemplo resolvido
Kofi escreve o ICD do envio aos firewalls: indicadores STIX convertidos para o formato de regra do fornecedor; no máximo 5.000 regras por envio; TLS mútuo; uma falha retorna erro e mantém o conjunto de regras anterior; responsáveis — equipe do Lantern e operações de rede.
Caso sintético. Os valores do ICD são inventados.
Erros e limites
Papelada de engenharia de sistemas que ninguém lê é desperdício; mantenha os documentos curtos e em uso. Partes interessadas esquecidas aparecem tarde e saem caro.
Exercícios
- EX046 — Decisão de fronteira. O servidor TAXII do ISAC do setor está dentro da fronteira do Lantern? Explique. Rubrica: 3 = não; interface externa de propriedade do ISAC; 2 = não; 1 = sim; 0 = nenhuma.
- EX047 — Campos do ICD. Liste cinco campos de um documento de controle de interface. Rubrica: 3 = cinco entre formato, taxa, autenticação, tratamento de erros, responsáveis, versionamento; 2 = três; 1 = um; 0 = nenhuma.
- EX048 — Etapas de desativação. Quais três ações desativam o feed de um parceiro? Rubrica: 3 = avisar o parceiro, apagar os dados restritos retidos, revogar as credenciais; 2 = duas; 1 = desligar o coletor; 0 = nenhuma.
Síntese
Trace a fronteira, fale a língua dos operadores, controle as interfaces e planeje a desativação desde o primeiro dia.
Continue estudando — capítulo 16 de 50
← Capítulo 15 (rascunho) · Índice de capítulos do curso · Capítulo 17 (rascunho) →