Capítulo 18 — Arquitetura de segurança
Mapa da aula
Aula 18 publicada. Mapa, exemplo, EX052.
flowchart TD
N0["18.1 Zonas"]
N1["18.2 Conduítes"]
N2["18.3 Profundidade"]
N3["18.4 Pontos de aplicação"]
N4["18.5 Estações de trabalho dos analistas"]
N5["Nota de prática — Verificação da arquitetura"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX052"]
Desenho lógico
flowchart LR
N0["18.1 Zonas"]
N1["18.2 Conduítes"]
N2["18.3 Profundidade"]
N3["18.4 Pontos de aplicação"]
N4["18.5 Estações de trabalho dos analistas"]
N5["Nota de prática — Verificação da arquitetura"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX052"]
[18.1 Zonas]
|
v
[18.2 Conduítes]
|
v
[18.3 Profundidade]
|
v
[18.4 Pontos de aplicação]
|
v
[18.5 Estações de trabalho dos analistas]
|
v
[Nota de prática — Verificação da arquitetura]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX052]
Objetivos de aprendizagem
Você vai (1) situar o Lantern nas zonas e conduítes da BEN; (2) projetar fronteiras de confiança entre as redes de TI, de OT e dos parceiros; (3) aplicar defesa em profundidade a uma plataforma de inteligência; (4) escolher onde os indicadores são aplicados.
18.1 Zonas
A BEN separa a TI corporativa, a zona do SOC, uma DMZ para trocas externas e as zonas de OT das subestações. Os coletores do Lantern ficam na DMZ; seu armazenamento e a interface do analista, na zona do SOC; nada do Lantern roda em OT. Manter o Lantern fora das zonas de OT significa que o comprometimento da plataforma não coloca um atacante ao lado dos equipamentos das subestações. Sua influência sobre a OT só chega por meio de listas de bloqueio que passam por aprovação. Os coletores ficam na DMZ porque conversam com servidores externos, o que os torna os componentes mais expostos a entradas hostis.
18.2 Conduítes
Os dados fluem dos coletores da DMZ para o armazenamento do SOC por um único conduíte inspecionado. As listas de bloqueio fluem do SOC para os firewalls de TI automaticamente e para os firewalls de OT por meio de um serviço de aprovação. Cada conduíte tem um responsável e um conjunto de regras. Um único conduíte é mais fácil de inspecionar e registrar do que muitas conexões espalhadas. As verificações de fluxo de Kofi comparam o tráfego observado com essa lista, de modo que qualquer caminho novo entre zonas aparece como achado. O serviço de aprovação para a OT é ele mesmo um conduíte, com seu próprio responsável em operações de rede.
18.3 Profundidade
Segmentação de rede, TLS mútuo entre componentes, mensagens internas assinadas, acesso baseado em papéis para os analistas e registro de auditoria formam camadas independentes. O comprometimento de um coletor não deve entregar o armazenamento. Kofi verificou isso perguntando o que um atacante em um coletor poderia fazer. Ele poderia ler a configuração do próprio coletor e enviar mensagens ao armazenamento, mas essas mensagens precisam ser assinadas com uma chave que o coletor só mantém em um serviço restrito. Uma mensagem forjada falharia nas verificações e seria registrada.
18.4 Pontos de aplicação
Os indicadores podem ser aplicados em resolvedores DNS, proxies web, firewalls e agentes de endpoint. Cada um tem um risco colateral diferente: o DNS bloqueia um nome com precisão; um bloqueio de firewall em um endereço compartilhado afeta muitos sites. A regra de roteamento de Kofi envia cada indicador ao ponto mais preciso capaz de agir sobre ele. Domínios vão para os resolvedores DNS, endereços web completos vão para o proxy e só endereços sem uso compartilhado conhecido vão para os firewalls. Hashes de arquivo vão para os agentes de endpoint. A escolha é registrada com o bloqueio, o que ajuda quando alguém pergunta por que um site ficou inacessível.
18.5 Estações de trabalho dos analistas
Os analistas abrem relatórios e amostras suspeitos. Suas estações de trabalho precisam de isolamento dos sistemas de produção e de um ambiente de navegação separado para a pesquisa OSINT, para não expor a identidade da BEN. Quando um analista visita um site suspeito a partir da rede da BEN, o operador do site pode ver um endereço registrado em nome de uma empresa de energia e descobrir que está sendo observado. O projeto de Kofi dá aos analistas um ambiente de pesquisa separado, com conexão não atribuída e sem acesso à zona do SOC. Arquivos baixados ali vão para a sandbox de análise por uma transferência controlada e nunca são abertos na estação principal.
Nota de prática — Verificação da arquitetura
Kofi confronta o diagrama com a realidade usando registros de fluxo: toda conexão observada entre zonas precisa corresponder a um conduíte aprovado. Fluxos inesperados viram achados. Isso pega os atalhos que surgem durante incidentes e nunca são removidos. Os achados são acompanhados até que o fluxo desviante seja aprovado pelo controle de mudanças ou removido.
Exemplo resolvido
Uma revisão de arquitetura descobre que o serviço de enriquecimento na zona do SOC chama APIs externas de consulta diretamente. Kofi move as chamadas de enriquecimento de saída para um proxy na DMZ, para que a zona do SOC não tenha acesso direto à internet.
Caso sintético. O achado da revisão é inventado.
Erros e limites
Os diagramas se afastam da realidade; verifique os fluxos com evidências da rede. O projeto de OT precisa envolver engenheiros de OT.
Exercícios
- EX052 — Posição em OT. Por que nenhum componente do Lantern roda dentro das zonas de OT? Rubrica: 3 = manter a OT mínima/isolada; reduzir a superfície de ataque e o risco à segurança operacional; 2 = parcial; 1 = deveria rodar em OT; 0 = nenhuma.
- EX053 — Escolha do ponto de aplicação. Para um domínio malicioso em hospedagem compartilhada, qual ponto de aplicação é preferível e por quê? Rubrica: 3 = bloqueio do domínio no DNS/proxy; preciso, evita dano colateral; 2 = só o ponto; 1 = bloqueio de IP no firewall; 0 = nenhuma.
- EX054 — Saída do enriquecimento. Que risco foi reduzido ao mover as chamadas de enriquecimento para um proxy na DMZ? Rubrica: 3 = exposição direta da zona do SOC à internet/caminho de exfiltração; 2 = vago; 1 = desempenho; 0 = nenhuma.
Síntese
Divida a plataforma em zonas, controle os conduítes, empilhe as defesas, aplique com precisão e mantenha a pesquisa dos analistas separada.
Continue estudando — capítulo 18 de 50
← Capítulo 17 (rascunho) · Índice de capítulos do curso · Capítulo 19 (rascunho) →