Capítulo 8 — Revisão independente e defesa
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX045.
flowchart TD
N0["8.1 Revisão independente"]
N1["8.2 Postura na defesa"]
N2["8.3 Desafios de uso dual"]
N3["8.4 Divulgação"]
N4["8.5 Encerrar o estágio"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX045"]
Desenho lógico
flowchart LR
N0["8.1 Revisão independente"]
N1["8.2 Postura na defesa"]
N2["8.3 Desafios de uso dual"]
N3["8.4 Divulgação"]
N4["8.5 Encerrar o estágio"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX045"]
[8.1 Revisão independente]
|
v
[8.2 Postura na defesa]
|
v
[8.3 Desafios de uso dual]
|
v
[8.4 Divulgação]
|
v
[8.5 Encerrar o estágio]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX045]
Objetivos de aprendizagem
Você vai (1) preparar os materiais para a revisão independente; (2) responder a perguntas de métodos e de ética na defesa; (3) lidar com desafios de uso dual; (4) planejar revisões e divulgação; e (5) encerrar o estágio de forma limpa.
8.1 Revisão independente
Compartilhe a dissertação, o apêndice sintético e o pacote de ética com um revisor interno que não tenha feito a orientação semanal. Peça que ele confira: o ajuste entre medida e alegação; o cegamento; a auditoria das marcações; e se alguma seção resvala para instruções de ataque. Escolher um revisor que não fez a orientação semanal importa porque um orientador semanal já aceitou o enquadramento de Noah. Um leitor novo tem mais chance de perceber, por exemplo, que a auditoria das marcações só chegou a 96% de concordância depois da revisão por uma segunda pessoa, e de perguntar quantas marcações estavam erradas antes dessa conferência. Os comentários escritos do revisor entram na trilha de resposta ao lado das respostas de Noah.
8.2 Postura na defesa
Abra com a pergunta, o desenho, o resultado primário e as condições. Espere perguntas sobre a aleatorização, o equilíbrio de severidade, o porquê dos segmentos sintéticos e o que falsearia o resultado. Leve uma folha-resumo de métodos de uma página. Para Noah, a abertura cabe em cerca de noventa segundos: a marcação ATT&CK aumenta a remediação em 30 dias nos segmentos sintéticos da CBM?; aleatorização estratificada por severidade e classe do ativo; 62% contra 44%, uma diferença de cerca de 18 pontos com um intervalo que exclui o zero; segmentos sintéticos de treinamento, responsáveis pela remediação voluntários e uma única organização. A folha-resumo acrescenta o que falsearia o resultado, como uma auditoria das marcações mostrando que marcações corretas não fizeram diferença.
8.3 Desafios de uso dual
Se pedirem para "mostrar como o achado foi explorado", recuse e mostre, em vez disso, os campos do modelo de relatório. Reafirme os limites da autorização e a divulgação coordenada de quaisquer problemas reais encontrados durante o estágio. Um pedido de detalhes de exploração numa defesa costuma ser um teste de julgamento, não um pedido de dados. A resposta de Noah tem quatro partes: ele recusa; mostra o modelo, que deliberadamente não tem campo para passos de exploração; explica que a autorização dele cobria apenas avaliações sintéticas de treinamento; e observa que qualquer problema real encontrado durante o estágio seguiria o caminho de divulgação coordenada da CBM, e não iria para uma dissertação.
8.4 Divulgação
Submeta um artigo curto a um evento de medição ou de fatores humanos, no estilo do SOUPS, se for apropriado; apresente internamente o resumo para profissionais; publique o apêndice sintético com hashes. Não publique materiais que identifiquem o cliente. Cada produto tem suas próprias exclusões. O artigo curto relata a comparação de 30 dias e seus limites, mas nenhum identificador da CBM. O resumo interno pode nomear equipes da CBM, porque fica dentro da CBM. O apêndice público contém apenas a exportação sintética, os scripts e os modelos, publicados com hashes para que leitores futuros confirmem que têm os mesmos arquivos que os examinadores conferiram.
"""ATT&CK-style coverage matrix over synthetic authorized techniques (names only)."""
# Synthetic engagement log: technique_id -> observed (True/False)
PLAN = ["T1046", "T1595", "T1082", "T1083", "T1059", "T1078", "T1021"]
OBSERVED = {"T1046", "T1595", "T1082", "T1083", "T1078"}
LABELS = {
"T1046": "Network Service Discovery",
"T1595": "Active Scanning",
"T1082": "System Information Discovery",
"T1083": "File and Directory Discovery",
"T1059": "Command and Scripting Interpreter",
"T1078": "Valid Accounts",
"T1021": "Remote Services",
}
covered = 0
for tid in PLAN:
hit = tid in OBSERVED
covered += hit
print(f"{tid} {LABELS[tid]:34} {'COVERED' if hit else 'PLANNED-NOT-SEEN'}")
print(f"coverage={covered}/{len(PLAN)} ({100*covered/len(PLAN):.0f}%)")
Saída esperada:
T1046 Network Service Discovery COVERED
T1595 Active Scanning COVERED
T1082 System Information Discovery COVERED
T1083 File and Directory Discovery COVERED
T1059 Command and Scripting Interpreter PLANNED-NOT-SEEN
T1078 Valid Accounts COVERED
T1021 Remote Services PLANNED-NOT-SEEN
coverage=5/7 (71%)
8.5 Encerrar o estágio
Devolva os acessos; confirme que apenas dados sintéticos permanecem no arquivo; agradeça aos responsáveis pela remediação; deixe os modelos de ticket se a CBM quiser ficar com eles. A linguagem de cobertura do laboratório vira um lembrete didático: os itens planejados e não vistos esperam o próximo plano autorizado. Encerrar de forma limpa faz parte da evidência de que o trabalho foi governado. Noah devolve as contas de avaliação no último dia, pede à CBM que confirme por escrito a remoção delas e confere que o arquivo guarda apenas tickets sintéticos. Oferecer os modelos marcados é opcional para a CBM; adotá-los no trabalho em produção exigiria autorização própria, como observa o exemplo resolvido abaixo.
8.6 Exemplo resolvido (caso sintético da CBM)
Na defesa, perguntam a Noah se a marcação ATT&CK apenas marca achados que já estavam bem escritos. Ele aponta a aleatorização estratificada e a auditoria das marcações e aceita que o confundimento residual é uma limitação. Ele recusa um pedido de detalhes de exploração e mostra que o modelo não tem campo para passos de exploração. A CBM adota os modelos marcados para as avaliações de treinamento, enquanto aguarda um piloto em produção sob autorização separada. A resposta à pergunta sobre confundimento é honesta: a aleatorização e a auditoria o reduzem, mas não conseguem eliminá-lo.
8.7 Erros e limites
Três erros são comuns: defesas que exageram o impacto em empresas em produção; compartilhar detalhes de vulnerabilidades reais no apêndice público; e deixar acessos privilegiados ativos depois do estágio. Cada erro desfaz o cuidado anterior. Exagerar o impacto em empresas em produção vai além de segmentos sintéticos de treinamento e de uma única organização. Detalhes de vulnerabilidades reais num apêndice público transformam a pesquisa num recurso de ataque. Acessos privilegiados deixados ativos depois do estágio são um risco para a CBM, e é por isso que Noah devolve as contas e pede confirmação por escrito. Verifique os três pontos no plano de defesa e de encerramento.
Exercícios
- EX045 — Pedido de revisão. Escreva quatro perguntas para o revisor independente. Rubrica: 3 = quatro pertinentes; 2 = três; 1 = uma; 0 = nenhuma.
- EX046 — Abertura. Escreva uma abertura de defesa de 90 segundos. Rubrica: 3 = pergunta, desenho, resultado, condições; 2 = três; 1 = vaga; 0 = nenhuma.
- EX047 — Recusar. Responda a "mostre a exploração" em quatro frases. Rubrica: 3 = recusa, demonstração do modelo, ética, CVD; 2 = três; 1 = atende ao pedido; 0 = nenhuma.
- EX048 — Divulgação. Planeje dois produtos com exclusões. Rubrica: 3 = ambos com exclusões; 2 = um; 1 = vaga; 0 = nenhuma.
- EX049 — Cobertura. Como os itens planejados e não vistos orientam o trabalho autorizado futuro? Rubrica: 3 = backlog sob autorização; 2 = parcial; 1 = ação por conta própria; 0 = nenhuma.
- EX050 — Encerramento. Liste cinco passos de encerramento do estágio. Rubrica: 3 = cinco pertinentes; 2 = três; 1 = um; 0 = nenhum.
Síntese
A revisão independente e a defesa testam se as suas alegações, a sua ética e os seus artefatos se sustentam sem você na sala — e se você deixa a organização anfitriã mais segura e mais organizada do que a encontrou.
Continue estudando — capítulo 08 de 08
← Capítulo 07 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →
Resoluções
Respostas-modelo para EX001–EX050. A Cedar Bridge Mutual, Noah Kim e todos os seus números são sintéticos. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. Nos segmentos sintéticos da CBM, os achados marcados com ATT&CK têm uma taxa de remediação em 30 dias maior que os achados apenas narrativos?
EX002. Alegação: as avaliações precisam de planejamento até o relato. Método: orientação de processo. Medida: aderência qualitativa ao processo. Limites: não é um manual detalhado de exploração. Relevância: estrutura as avaliações de origem de Noah.
EX003. Metodologia: PTES, NIST 800-115. Guiados por ameaças: TIBER-EU, CBEST. Casos web: WSTG. Crítica à pontuação: arXiv:2010.06377. Vocabulário: ATT&CK.
EX004. Ela é visível nos tickets, tem prazo definido e está ligada à ação do defensor — ao contrário de alegações vagas de "risco reduzido".
EX005. Maior exposição, sensibilidade dos dados e raio de impacto (9 contra 4).
EX006. Existem orientações de relato; existem estudos de remediação; poucos comparam marcações ATT&CK com texto narrativo quanto à conclusão.
EX007. Apenas segmentos sintéticos; autorização por escrito para as avaliações que geram os dados.
EX008. Fases, ênfase no escopo, limites (sem supervisão guiada por ameaças), reaproveitamento no planejamento de engajamentos.
EX009. Coloque-as no próximo plano autorizado — não teste por conta própria.
EX010. Título SYN-005; ativo: conta de serviço do AD do laboratório; impacto: concentração de privilégios; referência de evidência: hash da captura de tela do laboratório; recomendação: remover o DA da conta de serviço; sem passos de exploração.
EX011. Serviços financeiros críticos que precisam de cenários guiados por inteligência sob supervisão regulatória.
EX012. Maior: a qualidade das marcações não é medida. Menor: definir a versão do ATT&CK.
EX013. Casos concretos de teste web para aplicações web autorizadas; o ATT&CK é um vocabulário do adversário, não um manual de procedimentos web.
EX014. Dano de uso dual, ética do curso e risco jurídico — os seminários ensinam crítica, não armas.
EX015. Entre achados: mais poder estatístico, exige a marca de formato. Entre engajamentos: mais simples, com confundidores temporais.
EX016. Autorização; dados sintéticos; consentimento; nenhum texto de exploração; condições de parada.
EX017. Fechado com evidência de verificação anexada e não reaberto em até 30 dias; conferido por um avaliador cego à hipótese.
EX018. Segurança primeiro; dados vindos de um trabalho que continuou de forma insegura estariam contaminados e seriam antiéticos.
EX019. Pressupõe 40%→60%; precisa da variância do piloto; pode ser pesado para um período letivo — divida a coleta em fases.
EX020. Finalidade; metadados de tickets usados; desistência voluntária; contato do orientador.
EX021. Clareza; desequilíbrio de severidade; Hawthorne; redação melhor de modo geral.
EX022. Estratifique a aleatorização por severidade×classe do ativo.
EX023. Precisão ≈0,161, então a maioria das marcas de "urgente" é falsa nessa prevalência — discipline os rótulos de urgência.
EX024. Pontuações únicas carecem de validade; compare, em vez disso, resultados concretos de remediação.
EX025. Não revele qual formato a hipótese espera que vença; descreva ambos como modelos-padrão.
EX026. "Relatórios marcados reduzem violações" — os dados de tickets não conseguem sustentar isso.
EX027. Pergunta; justificativa; desenho; medidas; ética; cronograma; riscos; anexos.
EX028. Título, ativo, referência de evidência, impacto, recomendação, IDs de técnica, tática — sem passos de exploração.
EX029. Host da lista de negação 10.20.0.1; porta 3389 fora do escopo; 8.8.8.8 fora do CIDR.
EX030. Erro de medição — acrescente a revisão por uma segunda pessoa e relate a concordância.
EX031. Autorização válida; marcações visíveis; marca de formato armazenada; instrumentos travados.
EX032. Não seguir até que a interface mostre as marcações sem etapas ocultas.
EX033. Os responsáveis pela remediação e qualquer pessoa que avalie a remediação.
EX034. Nos segmentos sintéticos da CBM, 62% de 110 achados marcados contra 44% de 108 achados narrativos foram remediados em 30 dias (intervalo da diferença excluindo o 0).
EX035. Os intervalos mostram magnitude e incerteza; valores-p sozinhos escondem ambas.
EX036. Exclusão de infraestrutura pré-registrada, relatada nas limitações.
EX037. Apenas exploratório — não é a alegação confirmatória.
EX038. Janelas de avaliação; exportações; reconstrução da VLAN; renovações da autorização.
EX039. Introdução; fundamentação; trabalhos relacionados; métodos; resultados; discussão; ética; limitações; conclusão; apêndices.
EX040. SYN-003, TLS desatualizado no admin interno — alta (pontuação 13) segundo a planilha de pontuação; referência de evidência; recomendar a atualização do TLS; sem passos de exploração do handshake.
EX041. Apenas sintético; uma única empresa; voluntários; erros de marcação; janela de 30 dias; nenhuma alegação sobre violações.
EX042. Investigar, restaurar a partir de uma cópia confiável, recalcular o hash e então submeter.
EX043. Campos; auditoria das marcações; métrica de 30 dias; lista de não alegações.
EX044. O CBEST é guiado por inteligência, com supervisão regulatória sobre empresas financeiras em produção — população e controles diferentes.
EX045. Ajuste entre medida e alegação? O cegamento se manteve? A auditoria das marcações foi adequada? Houve algum resvalo para instruções de ataque?
EX046. "Comparei achados marcados com ATT&CK e achados narrativos em segmentos sintéticos; a remediação em 30 dias foi de 62% contra 44%, com cerca de 110 achados por braço, sob autorização."
EX047. "Não vou mostrar uma exploração. Aqui está o modelo, que não tem campo para passos de exploração. A ética proíbe procedimentos de ataque. Problemas reais seguem pela divulgação coordenada."
EX048. Artigo curto (sem IDs do cliente); resumo interno (sem detalhes públicos de vulnerabilidades).
EX049. Acrescente-os ao próximo backlog autorizado, com permissão.
EX050. Devolver os acessos; confirmar o escopo dos dados; agradecer à equipe; deixar os modelos; revogar os tokens.