◇ OpenCyber Academy
Mestrado · Capítulo 5 · Português

Capítulo 5 — Proposta e piloto

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 5 — Proposta e piloto

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX027.

flowchart TD
  N0["5.1 Conteúdo da proposta"]
  N1["5.2 Modelos"]
  N2["5.3 Protocolo do piloto"]
  N3["5.4 Travamento dos instrumentos"]
  N4["5.5 Seguir / não seguir"]
  N5["5.5b Disciplina com o sinal antecipado"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX027"]

Desenho lógico

flowchart LR
  N0["5.1 Conteúdo da proposta"]
  N1["5.2 Modelos"]
  N2["5.3 Protocolo do piloto"]
  N3["5.4 Travamento dos instrumentos"]
  N4["5.5 Seguir / não seguir"]
  N5["5.5b Disciplina com o sinal antecipado"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX027"]

[5.1 Conteúdo da proposta]
    |
    v
[5.2 Modelos]
    |
    v
[5.3 Protocolo do piloto]
    |
    v
[5.4 Travamento dos instrumentos]
    |
    v
[5.5 Seguir / não seguir]
    |
    v
[5.5b Disciplina com o sinal antecipado]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX027]

Objetivos de aprendizagem

Você vai (1) escrever uma proposta curta que seu orientador possa aprovar; (2) construir modelos de relatório para os dois braços; (3) conduzir um piloto com achados sintéticos; (4) estimar as taxas de conclusão e o esforço da auditoria das marcações; e (5) travar os instrumentos antes da coleta principal.

5.1 Conteúdo da proposta

Inclua pergunta, justificativa, desenho, medidas, ética, cronograma e riscos. Anexe a autorização para as avaliações sintéticas e os formulários de consentimento. Declare os limites de uso dual num parágrafo que seu orientador possa citar. Para Noah, a linha da pergunta diz: nos segmentos sintéticos da CBM, os achados marcados com ATT&CK atingem uma taxa de remediação em 30 dias maior que os achados apenas narrativos? O parágrafo do desenho nomeia a aleatorização entre achados na VLAN 40, com estratos de severidade e classe do ativo. A seção de riscos traz o esboço de planejamento do capítulo 3: se a conclusão narrativa ficar perto de 40%, detectar uma alta para 60% exige da ordem de 100 achados por braço, então um calendário de avaliações lento é, por si só, um risco para o cronograma.

5.2 Modelos

Campos do modelo narrativo: título, ativo, referência de evidência, impacto, recomendação. Modelo marcado: os mesmos, mais os IDs de técnica do ATT&CK e a tática correspondente. Os dois modelos proíbem explicitamente passos de exploração ou credenciais. Manter todos os outros campos idênticos é o que torna a comparação justa: se o modelo marcado também tivesse uma seção de impacto mais longa, qualquer diferença na remediação poderia vir desse texto extra, e não dos campos ATT&CK. Por isso Noah constrói o modelo marcado acrescentando campos ao narrativo, nunca o reescrevendo. A versão fixada do ATT&CK vai para o rodapé do modelo, para que um responsável pela remediação que abra um ticket meses depois veja as mesmas definições de técnica que o redator usou.

5.3 Protocolo do piloto

Gere 40 achados sintéticos a partir de uma avaliação de treinamento na VLAN 40; aleatorize; entregue os tickets; observe um sinal antecipado de 14 dias se os 30 dias ultrapassarem o calendário do período letivo; audite as marcações quanto à correção. Quarenta achados ficam muito abaixo dos cerca de 100 por braço necessários para a comparação principal, então o piloto não serve para responder à pergunta. Sua função é mostrar que a aleatorização produz braços equilibrados, que os tickets chegam ao sistema da CBM com a marca de formato registrada, que os responsáveis pela remediação conseguem ver os campos de marcação e que a auditoria das marcações flagra IDs de técnica incorretos. O sinal de 14 dias é apenas uma verificação antecipada da variância para refinar o esboço do tamanho da amostra, nunca um resultado preliminar.

5.4 Travamento dos instrumentos

Congele os modelos, a versão do ATT&CK, a definição de remediação e o código de aleatorização. Registre as versões no capítulo de métodos. Depois do travamento, mudanças exigem uma emenda aprovada pelo orientador. O travamento importa sobretudo para a definição de remediação. Se Noah decidisse, depois de ver os tickets do piloto, que um ticket fechado como risco aceito conta como remediado, ele poderia mover a taxa de 30 dias em qualquer dos braços. Com o travamento em vigor, uma mudança assim vira uma emenda que o orientador precisa aprovar e que o capítulo de métodos precisa relatar, para que os examinadores vejam se alguma regra mudou depois da chegada dos dados.

5.5 Seguir / não seguir

Siga se a autorização se mantiver, se os modelos forem utilizáveis na interface de tickets e se o formato for registrado em cada ticket. Não siga, ou redesenhe, se os responsáveis pela remediação não conseguirem ver as marcações sem abrir um campo oculto. A condição do campo oculto não é cosmética. Se os responsáveis pela remediação precisarem clicar num painel recolhido para ver os IDs de técnica, muitos tickets marcados seriam, na prática, lidos como tickets narrativos, e o estudo compararia dois braços que parecem iguais para quem faz o trabalho. Um "não seguir" aqui custa semanas; seguir adiante custaria a validade da dissertação inteira.

"""Check proposed engagement targets against a written scope (synthetic)."""
SCOPE_CIDRS = [("10.20.0.0", 16), ("192.168.50.0", 24)]  # inclusive synthetic ranges
SCOPE_PORTS = {22, 80, 443, 8080}
DENY_HOSTS = {"10.20.0.1", "192.168.50.1"}  # out-of-scope infra

def ip_int(s):
    a,b,c,d = map(int, s.split("."))
    return (a<<24)|(b<<16)|(c<<8)|d

def in_cidr(ip, net, bits):
    mask = (0xFFFFFFFF << (32-bits)) & 0xFFFFFFFF
    return (ip_int(ip) & mask) == (ip_int(net) & mask)

def check(host, port):
    reasons = []
    if host in DENY_HOSTS:
        reasons.append("deny-list")
    if not any(in_cidr(host, n, b) for n,b in SCOPE_CIDRS):
        reasons.append("outside-cidr")
    if port not in SCOPE_PORTS:
        reasons.append("port-not-in-scope")
    return ("ALLOW" if not reasons else "DENY"), reasons

tests = [
    ("10.20.1.10", 443),
    ("10.20.0.1", 443),
    ("192.168.50.20", 22),
    ("192.168.50.20", 3389),
    ("8.8.8.8", 80),
    ("192.168.1.10", 80),
]
for h,p in tests:
    v, r = check(h,p)
    print(f"target={h}:{p} decision={v} reasons={','.join(r) or '-'}")

Saída esperada:

target=10.20.1.10:443 decision=ALLOW reasons=-
target=10.20.0.1:443 decision=DENY reasons=deny-list
target=192.168.50.20:22 decision=ALLOW reasons=-
target=192.168.50.20:3389 decision=DENY reasons=port-not-in-scope
target=8.8.8.8:80 decision=DENY reasons=outside-cidr
target=192.168.1.10:80 decision=DENY reasons=outside-cidr

5.5b Disciplina com o sinal antecipado

Um sinal antecipado de 14 dias pode orientar a logística, mas não deve reescrever a medida primária de 30 dias. Se você o relatar, rotule-o como exploratório. A alegação confirmatória da dissertação continua sendo a comparação pré-registrada da conclusão em 30 dias. No piloto de Noah, o sinal de 14 dias, de 10 em 20 respostas antecipadas no braço marcado contra 6 em 20 no narrativo, é usado apenas para refinar o esboço do tamanho da amostra. Ele nunca é relatado como resultado preliminar. Se o resultado de 30 dias do estudo principal for diferente, a alegação confirmatória fica com o resultado de 30 dias. Mantenha o rótulo de exploratório em cada tabela.

5.6 Exemplo resolvido (caso sintético da CBM)

Sinal antecipado do piloto: 10/20 respostas antecipadas no braço marcado contra 6/20 no narrativo. Auditoria das marcações: 2/20 marcações erradas — Noah acrescenta uma conferência das marcações por uma segunda pessoa. As regras do laboratório de escopo continuam no runbook de avaliação: hosts da lista de negação e portas fora do escopo nunca entram nos dados do estudo. O piloto cumpriu seu propósito: a aleatorização, a entrega e a marca de formato funcionaram, e a auditoria das marcações encontrou cedo um problema. Duas marcações erradas em vinte são uma taxa de erro de 10%, o suficiente para embaçar uma diferença entre os braços, então Noah acrescenta uma conferência por uma segunda pessoa antes da coleta principal. Os números de resposta antecipada orientam a logística, não as conclusões.

5.7 Erros e limites

Três erros são comuns: pilotos em produção; mudar os modelos no meio do estudo principal; e pular a auditoria das marcações. Cada erro prejudica o estudo principal. Pilotos em sistemas de produção rompem a autorização e expõem dados reais. Mudar os modelos durante o estudo principal significa que as duas metades dos dados medem coisas diferentes, e o travamento dos instrumentos existe para impedir isso. Pular a auditoria das marcações deixa IDs de técnica errados sem detecção, como mostraram as 2 em 20 do piloto. Verifique os três pontos no plano do piloto antes da decisão de seguir. A decisão de seguir de Noah lista cada um.

Exercícios

Síntese

A proposta e o piloto transformam uma pergunta em instrumentos travados e num portão realista de seguir / não seguir.

Continue estudando — capítulo 05 de 08

← Capítulo 04 (rascunho) · Índice de capítulos do curso · Capítulo 06 (rascunho) →