Capítulo 47 — Ensaio de falha e recuperação | Engenharia Inteligência de ameaças e OSINT

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 47 publicada. Mapa, exemplo, EX139.

flowchart TD
  N0["47.1 RTO e RPO"]
  N1["Laboratório 9 — pontuação dos exercícios"]
  N2["47.2 Lendo os exercícios"]
  N3["47.3 Melhorando"]
  N4["47.4 Segurança dos exercícios"]
  N5["47.5 Ligação com incidentes"]
  N6["Nota de prática — elemento surpresa"]
  N7["Registrando os exercícios"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX139"]

Desenho lógico

flowchart LR
  N0["47.1 RTO e RPO"]
  N1["Laboratório 9 — pontuação dos exercícios"]
  N2["47.2 Lendo os exercícios"]
  N3["47.3 Melhorando"]
  N4["47.4 Segurança dos exercícios"]
  N5["47.5 Ligação com incidentes"]
  N6["Nota de prática — elemento surpresa"]
  N7["Registrando os exercícios"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX139"]

[47.1 RTO e RPO]
    |
    v
[Laboratório 9 — pontuação dos exercícios]
    |
    v
[47.2 Lendo os exercícios]
    |
    v
[47.3 Melhorando]
    |
    v
[47.4 Segurança dos exercícios]
    |
    v
[47.5 Ligação com incidentes]
    |
    v
[Nota de prática — elemento surpresa]
    |
    v
[Registrando os exercícios]
    |
    v
[Exemplo resolvido] --> [Exercício EX139]

Objetivos de aprendizagem

Você vai (1) planejar objetivos de tempo e de ponto de recuperação para o Lantern; (2) executar exercícios de falha em homologação; (3) pontuar os exercícios em relação aos objetivos; (4) transformar as falhas em melhorias.

47.1 RTO e RPO

Objetivo de tempo de recuperação (RTO): quanto tempo o Lantern pode ficar fora do ar. Objetivo de ponto de recuperação (RPO): quanto dado pode ser perdido. Para a BEN, RTO de 60 minutos e RPO de 15 minutos para o armazenamento e a ingestão. Os dois objetivos respondem a perguntas diferentes, então são definidos separadamente. Uma hora fora do ar é aceitável porque o SOC pode recorrer a verificações manuais por pouco tempo. Perder mais de quinze minutos de dados significaria que os indicadores chegados nessa janela ficariam fora da aplicação até o parceiro enviá-los de novo, o que pode não acontecer. Os números foram acordados com o líder do SOC e escritos nos requisitos.

Laboratório 9 — pontuação dos exercícios

"""Lab 9 (ch 47): score a synthetic failure-and-recovery drill against RTO/RPO targets."""
RTO_MIN, RPO_MIN = 60, 15
drills = [("D1 store failover", 42, 5), ("D2 TAXII outage", 75, 0), ("D3 corrupt enrich cache", 30, 25)]
for name, recovery, dataloss in drills:
    ok_rto, ok_rpo = recovery <= RTO_MIN, dataloss <= RPO_MIN
    print(f"{name:26} RTO {'met' if ok_rto else 'MISSED'} ({recovery}m)  RPO {'met' if ok_rpo else 'MISSED'} ({dataloss}m)")

Execute com python3 lab_drill.py. Saída verificada:

D1 store failover          RTO met (42m)  RPO met (5m)
D2 TAXII outage            RTO MISSED (75m)  RPO met (0m)
D3 corrupt enrich cache    RTO met (30m)  RPO MISSED (25m)

47.2 Lendo os exercícios

D1, a comutação do armazenamento, cumpriu os dois objetivos. D2, uma simulação de indisponibilidade do TAXII, perdeu o RTO com 75 minutos porque o roteiro supunha uma credencial que havia sido rotacionada. D3, o cache de enriquecimento corrompido, se recuperou depressa, mas perdeu 25 minutos de estado de enriquecimento, descumprindo o RPO. Kofi apresenta primeiro as falhas em seu relatório, porque é para elas que os exercícios existem. Um exercício que passa em tudo talvez tenha sido fácil demais. Cada falha também tinha uma causa clara que podia ser corrigida, o que fez os exercícios valerem seu custo; a comutação do armazenamento, o caso que mais preocupava a BEN, funcionou como projetado.

47.3 Melhorando

D2: atualizar o roteiro e acrescentar uma verificação de validade das credenciais ao relatório diário de saúde. D3: tirar um instantâneo do cache a cada dez minutos ou tratar o cache como reconstruível e excluí-lo do RPO, documentando essa escolha. Kofi registrou a escolha para o cache como uma decisão com motivos: a reconstrução leva cerca de meia hora a partir dos provedores, dentro de seus limites de consulta, e nenhum dado de parceiro se perde. O líder do SOC concordou que o estado de enriquecimento não precisa da mesma proteção que o armazenamento. O exemplo resolvido então confirma que o exercício repetido passa com o escopo revisado.

47.4 Segurança dos exercícios

Os exercícios rodam em homologação com dados sintéticos. Os parceiros não são envolvidos, a menos que se acorde um exercício conjunto, e a aplicação em produção nunca é alterada por um exercício. O plano de exercícios de Kofi declara os limites por escrito, e o facilitador os confere antes de começar. O ambiente de homologação tem credenciais próprias, que não alcançam os firewalls de produção. Um exercício conjunto com um parceiro exigiria um acordo à parte cobrindo horário, escopo e como parar se algo inesperado acontecer. Sem esse cuidado, um exercício poderia causar a interrupção que deveria ensaiar.

47.5 Ligação com incidentes

O NIST SP 800-61 Rev. 3 enquadra a resposta a incidentes dentro da gestão de riscos de cibersegurança. Os planos de recuperação do Lantern se ligam ao plano de resposta a incidentes da BEN, para que uma interrupção durante um incidente real seja tratada de forma consistente. Na prática, isso significa que os roteiros do Lantern nomeiam o comandante do incidente como a pessoa que decide as prioridades se uma interrupção acontecer durante um incidente. A equipe de Kofi conferiu se os dois planos usam as mesmas listas de contatos e os mesmos níveis de severidade. Se o armazenamento falhar enquanto os analistas investigam uma campanha, restaurá-lo passa a fazer parte da resposta ao incidente, em vez de ser um esforço separado disputando as mesmas pessoas.

Nota de prática — elemento surpresa

Alguns exercícios são anunciados apenas ao facilitador, testando a prontidão real dos engenheiros de plantão em vez de um desempenho ensaiado.

Registrando os exercícios

Cada registro de exercício lista o cenário, os horários de início e fim, as ações tomadas, os desvios em relação ao roteiro e as ações de acompanhamento com responsáveis. Os registros são guardados para auditorias e para comparar a prontidão entre trimestres.

Exemplo resolvido

Depois das correções, D2 é executado de novo: recuperação em 38 minutos. O cache de D3 é reclassificado como reconstruível; o RPO agora se aplica apenas ao armazenamento, que o cumpriu.

Caso sintético. Os resultados dos exercícios são inventados.

Erros e limites

Redefinir objetivos para passar nos exercícios precisa ser uma decisão documentada, não uma conveniência. Exercícios em homologação deixam escapar alguns comportamentos da produção.

Exercícios

EX139 — Falhas nos exercícios. Qual exercício perdeu o RTO e qual perdeu o RPO?
Mostrar critérios de avaliação
Rubrica: 3 = D2 RTO; D3 RPO; 2 = um; 1 = errado; 0 = nenhuma.
EX140 — RTO vs RPO. Defina RTO e RPO em uma linha cada.
Mostrar critérios de avaliação
Rubrica: 3 = tempo máximo fora do ar; perda máxima de dados; 2 = um; 1 = trocados; 0 = nenhuma.
EX141 — Reclassificar com honestidade. Quando é legítimo reclassificar o cache como reconstruível?
Mostrar critérios de avaliação
Rubrica: 3 = decisão documentada com justificativa de que a perda é inofensiva/reconstruível; 2 = documentada; 1 = para passar no exercício; 0 = nenhuma.

Síntese

Defina RTO e RPO, faça exercícios com segurança, pontue com honestidade, corrija as causas e documente qualquer mudança nos objetivos.

Continue estudando — capítulo 47 de 50

← Capítulo 46 (rascunho) · Índice de capítulos do curso · Capítulo 48 (rascunho) →