Capítulo 1 — Pergunta de pesquisa e método de revisão da literatura
Mapa da aula
Aula 01 publicada. Mapa, exemplo, EX001.
flowchart TD
N0["1.1 Do estágio à pergunta"]
N1["1.2 Método de revisão da literatura"]
N2["1.3 Mapa de trabalhos relacionados"]
N3["1.4 Escolha de uma medida"]
N4["1.5 Contexto dos ativos"]
N5["1.5b Higiene das notas"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX001"]
Desenho lógico
flowchart LR
N0["1.1 Do estágio à pergunta"]
N1["1.2 Método de revisão da literatura"]
N2["1.3 Mapa de trabalhos relacionados"]
N3["1.4 Escolha de uma medida"]
N4["1.5 Contexto dos ativos"]
N5["1.5b Higiene das notas"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX001"]
[1.1 Do estágio à pergunta]
|
v
[1.2 Método de revisão da literatura]
|
v
[1.3 Mapa de trabalhos relacionados]
|
v
[1.4 Escolha de uma medida]
|
v
[1.5 Contexto dos ativos]
|
v
[1.5b Higiene das notas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX001]
Objetivos de aprendizagem
Você vai (1) transformar uma observação do local de trabalho numa pergunta de pesquisa; (2) buscar e organizar a literatura sobre metodologia e relato de red team; (3) escrever um mapa de trabalhos relacionados de uma página; (4) escolher uma medida de adoção da remediação; e (5) manter notas que separem alegações de evidências.
1.1 Do estágio à pergunta
Noah percebe que alguns achados são corrigidos depressa e outros se arrastam. Uma forma pesquisável pergunta se uma escolha de relato — marcar cada achado com IDs de técnica do MITRE ATT&CK — muda a conclusão da remediação em até 30 dias nos segmentos sintéticos de treinamento da CBM. A observação do local de trabalho ainda não é uma pergunta: não nomeia comparação, prazo nem fonte de dados. A versão de Noah fixa os três. A intervenção é a marcação ATT&CK, a comparação é o texto apenas narrativo, e a medida é a conclusão em até 30 dias no sistema de tickets da CBM. Como os segmentos são segmentos sintéticos de treinamento, a pergunta também declara seu próprio limite de generalização.
1.2 Método de revisão da literatura
Pesquise o PTES, o NIST SP 800-115, a documentação do ATT&CK, o OWASP WSTG e os materiais do TIBER-EU e do CBEST, além de críticas acadêmicas à pontuação de segurança (Albrecht e Jensen, arXiv:2010.06377). Para cada fonte, registre: alegação, método, medida, limites e relevância para o relato. Uma nota de cinco campos mantém cada fonte honesta. No NIST SP 800-115, a alegação é que as avaliações precisam de planejamento até o relato, o método é uma orientação de processo, e o limite é que ele não oferece resultados de remediação medidos. Registre as strings de busca e a data de cada base de dados que usar, para que a busca possa ser repetida quando os frameworks forem atualizados antes da submissão.
1.3 Mapa de trabalhos relacionados
Agrupe as fontes em: metodologia de engajamento; frameworks guiados por ameaças; casos de teste web; críticas ao relato e à pontuação; estudos de remediação do blue team. Sua lacuna deve ficar numa interseção — no caso de Noah, formato do relato × adoção da remediação. O mapa de Noah mostra muitas fontes sobre orientações de relato e algumas sobre remediação, mas poucas que comparem marcações ATT&CK com texto narrativo quanto à conclusão. Essa interseção vazia é a lacuna dele. Desenhe o mapa numa página, com cada fonte posicionada num grupo, para que um orientador veja de relance se a lacuna é real ou se algum grupo não foi pesquisado.
1.4 Escolha de uma medida
A conclusão da remediação em até 30 dias é observável no sistema de tickets da CBM para achados sintéticos. Evite medidas que você não consegue ver (a "habilidade" do atacante) ou que inventam uma pontuação única de segurança. Para Noah, remediado significa fechado com evidência de verificação anexada e não reaberto em até 30 dias, conferido por alguém que desconhece a hipótese. Essa definição pode ser aplicada a cada ticket do mesmo modo. Uma medida como "risco reduzido" não pode, porque ninguém conseguiria conferi-la a partir dos dados, e os examinadores perguntariam como ela foi observada.
1.5 Contexto dos ativos
Antes de estudar relatórios, saiba o que está sendo avaliado. Classifique os ativos sintéticos por exposição, sensibilidade dos dados e raio de impacto, para que os cenários da dissertação sejam realistas.
"""Rank synthetic assets for authorized engagement scoping."""
assets = [
("public-web-portal", 3, 3, 3), # exposure, data_sensitivity, blast_radius 1-3
("staging-admin-ui", 2, 3, 2),
("corp-vpn-edge", 3, 2, 3),
("internal-wiki", 1, 2, 1),
("printer-fleet", 2, 1, 1),
("lab-jump-host", 1, 1, 2),
]
print(f"{'asset':20} score exposure data blast")
for name, e, d, b in sorted(assets, key=lambda x: -(x[1]+x[2]+x[3])):
print(f"{name:20} {e+d+b:5} {e:8} {d:4} {b:5}")
Saída esperada:
asset score exposure data blast
public-web-portal 9 3 3 3
corp-vpn-edge 8 3 2 3
staging-admin-ui 7 2 3 2
internal-wiki 4 1 2 1
printer-fleet 4 2 1 1
lab-jump-host 4 1 1 2
O laboratório de inventário soma exposição, sensibilidade dos dados e raio de impacto, cada um de 1 a 3. O portal web público pontua 9, a borda de VPN 8 e a interface administrativa de staging 7, enquanto a wiki interna, o parque de impressoras e o jump host do laboratório pontuam 4. Os cenários construídos em torno dos ativos de pontuação mais alta refletem onde a CBM agenda primeiro suas avaliações de treinamento. Os três ativos mais baixos empatam em 4, então a ordem entre eles é arbitrária.
1.5b Higiene das notas
Mantenha um diário de pesquisa que separe citações, paráfrases e suas próprias alegações. Registre as strings de busca e as datas para que as atualizações da literatura possam ser repetidas. Quando uma fonte for um framework vivo (ATT&CK, WSTG), anote a versão ou a data de acesso ao lado de cada citação. O diário de Noah também registra quais fontes mudaram a opinião dele e por quê. Quando um framework lança uma nova versão durante a dissertação, as datas de acesso mostram quais citações precisam ser conferidas. Marque cada alegação nas suas notas com a fonte, para que um leitor distinga a sua visão da do autor. Isso poupa horas na escrita do capítulo de trabalhos relacionados.
1.6 Exemplo resolvido (caso sintético da CBM)
A pergunta de Noah: nos segmentos sintéticos da CBM, os achados marcados com ATT&CK têm uma taxa de remediação em 30 dias maior que os achados apenas narrativos? O laboratório de inventário classifica o public-web-portal no topo (pontuação 9), coincidindo com onde a CBM agenda primeiro as avaliações de treinamento. A pergunta nomeia o contexto, a comparação e a medida, então pode ser respondida com dados de tickets. A classificação dos ativos mantém o estudo próximo de como a CBM realmente trabalha, o que importa quando os examinadores perguntam se os cenários eram realistas. Ambas aparecem no primeiro capítulo da dissertação de Noah, com a saída do laboratório como evidência.
1.7 Erros e limites
Três erros são comuns: perguntas que apenas elogiam uma ferramenta; notas de literatura que copiam resumos; e medidas sem fonte de dados. Cada erro enfraquece a dissertação desde o início. Uma pergunta que apenas elogia uma ferramenta pressupõe a resposta e não pode ser falseada. Notas que copiam resumos perdem o método e os limites que decidem se uma fonte sustenta a sua alegação. Uma medida sem fonte de dados não pode ser coletada, por mais interessante que pareça, e o problema só aparece quando a coleta começa. Verifique os três pontos no seu primeiro capítulo antes que o orientador o leia.
Exercícios
- EX001 — Observação — Transforme a observação de Noah numa pergunta falseável. Rubrica: 3 = população, intervenção, medida; 2 = duas; 1 = vaga; 0 = nenhuma.
- EX002 — Nota — Escreva uma nota de cinco campos sobre o NIST SP 800-115. Rubrica: 3 = alegação, método, medida, limites, relevância; 2 = quatro; 1 = dois; 0 = nenhum.
- EX003 — Mapa — Posicione cinco fontes no mapa de trabalhos relacionados. Rubrica: 3 = cinco agrupadas; 2 = quatro; 1 = duas; 0 = nenhuma.
- EX004 — Medida — Justifique a conclusão da remediação em 30 dias. Rubrica: 3 = observável, com prazo, relevante; 2 = dois; 1 = um; 0 = nenhum.
- EX005 — Laboratório de inventário — Por que o public-web-portal fica acima do lab-jump-host? Rubrica: 3 = exposição/dados/raio de impacto; 2 = parcial; 1 = vaga; 0 = errada.
- EX006 — Lacuna — Enuncie a lacuna de Noah em três frases. Rubrica: 3 = trabalhos anteriores, lacuna, contribuição; 2 = dois; 1 = um; 0 = nenhum.
- EX007 — Semente ética — Liste duas restrições éticas já implícitas. Rubrica: 3 = apenas sintético, autorização; 2 = uma; 1 = vaga; 0 = nenhuma.
Síntese
Os hábitos de seminário e de literatura transformam a prática de red team em perguntas pesquisáveis com limites éticos.
Continue estudando — capítulo 01 de 08
← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →