OpenCyber Academy
Mestrado · Capítulo 8 · Português
Código do curso: OCA-176Capítulo 08: OCA-176-C008

Capítulo 8 — Revisão independente e defesa

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX045.

flowchart TD
  N0["8.1 Revisão independente"]
  N1["8.2 O formato da defesa"]
  N2["8.3 Perguntas prováveis"]
  N3["8.4 Responder bem"]
  N4["8.5 Devolver os resultados"]
  N5["8.6 Compartilhar com segurança"]
  N6["8.7 Depois"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX045"]

Desenho lógico

flowchart LR
  N0["8.1 Revisão independente"]
  N1["8.2 O formato da defesa"]
  N2["8.3 Perguntas prováveis"]
  N3["8.4 Responder bem"]
  N4["8.5 Devolver os resultados"]
  N5["8.6 Compartilhar com segurança"]
  N6["8.7 Depois"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX045"]

[8.1 Revisão independente]
    |
    v
[8.2 O formato da defesa]
    |
    v
[8.3 Perguntas prováveis]
    |
    v
[8.4 Responder bem]
    |
    v
[8.5 Devolver os resultados]
    |
    v
[8.6 Compartilhar com segurança]
    |
    v
[8.7 Depois]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX045]

Objetivos de aprendizagem

Você vai (1) providenciar uma revisão independente antes da entrega; (2) preparar uma defesa oral; (3) responder às perguntas dos examinadores; (4) devolver os resultados à organização anfitriã de forma responsável.

8.1 Revisão independente

Antes da entrega, uma analista de SOC de outra organização revisa o método e as recomendações, e um colega de mestrado reexecuta os scripts de análise a partir do pacote arquivado. O principal comentário da analista: "Seu processo de revisão das listas de permissão pressupõe um processo de mudanças maduro; SOCs menores podem não ter um." Tariq acrescenta um parágrafo que adapta a escala das recomendações. As duas revisões testam coisas diferentes. A reexecução do colega verifica que os scripts produzem, a partir do pacote, os números relatados. A analista externa verifica se as recomendações fazem sentido fora da Pelham. O comentário dela levou a uma mudança concreta, registrada no registro de mudanças ao lado do estreitamento da AL-07.

8.2 O formato da defesa

Uma apresentação de 20 minutos e 40 minutos de perguntas de dois examinadores. Os vinte minutos de Tariq seguem a dissertação: pergunta, desenho, os três resultados juntos, o caso da AL-07 e os limites. Ele mantém o intervalo bootstrap no mesmo slide da estimativa de 136.5, para que os examinadores vejam a incerteza junto com o número. Os quarenta minutos de perguntas são onde acontece a maior parte da avaliação, então ele prepara respostas para as perguntas que mais espera. Os dois examinadores leram o apêndice restrito com os nomes de hosts e contas.

8.3 Perguntas prováveis

"Por que não sortear?" "Como você sabe que o feriado afetou igualmente os dois grupos?" "Um evento suprimido em oito é muito ou pouco?" "Você implantaria essas listas de permissão em outra empresa de saneamento?" Cada pergunta mira uma escolha de desenho. O sorteio foi rejeitado porque o SOC queria as regras mais ruidosas corrigidas primeiro. O feriado é tratado pelo grupo de controle. A pergunta do um em oito testa se Tariq consegue dizer o que um resultado significa sem exagerá-lo. A última pergunta testa se ele entende o que em seu trabalho se transfere e o que é específico da Pelham.

8.4 Responder bem

Tariq responde de forma direta, dá a evidência e depois o limite. Sobre o "um em oito": "Neste exercício, foram 12,5% dos comportamentos injetados, mas os eventos foram poucos e escolhidos; a constatação importante é que uma entrada ampla podia esconder um uso indevido realista, e estreitá-la corrigiu esse caso." Sua resposta sobre a implantação em outro lugar segue o mesmo padrão: não as listas de permissão como estão, porque codificam os hosts e as contas da Pelham, mas o processo de entradas condicionais, revisão por pares e reprodução trimestral contra simulações autorizadas. Responder assim mostra aos examinadores que ele consegue separar os artefatos específicos da Pelham do método transferível.

8.5 Devolver os resultados

A Pelham recebe um relatório-resumo, a política de listas de permissão estreitada e o script de reprodução. Tariq apresenta os resultados primeiro aos analistas e, na semana seguinte, aos gestores, com o mesmo relatório-resumo, para que as pessoas que fizeram o trabalho ouçam os resultados primeiro. O script de reprodução permite que a Pelham repita o teste da AL-07 em todas as entradas a cada trimestre, sem Tariq. Apresentar primeiro aos analistas também é prático: são eles que mantêm as listas de permissão no dia a dia e que vão perceber se as entradas estreitadas ainda removem o ruído rotineiro.

8.6 Compartilhar com segurança

A dissertação pública omite nomes de hosts, nomes de contas e detalhes da lógica das regras que ajudariam um atacante a escapar das detecções da Pelham; esses dados ficam num apêndice restrito para os examinadores. A regra é a mesma que Tariq aplicou aos próprios dados: compartilhar o método, não os meios de evasão. Um leitor do texto público fica sabendo que uma entrada ampla de host e conta escondeu o uso indevido de uma conta de aplicação de patches e como o estreitamento o corrigiu, sem saber qual host, qual conta ou qual lógica de regra permitiria a um atacante repetir isso na Pelham.

8.7 Depois

As correções dos examinadores são acompanhadas e concluídas; o pacote arquivado recebe a etiqueta da versão final. A etiqueta final liga o pacote à versão aprovada pelos examinadores, de modo que os scripts, as contagens e o registro de mudanças que alguém baixar depois coincidam exatamente com os números da dissertação. A Pelham recebe a mesma versão etiquetada do script de reprodução. As correções são listadas numa tabela curta com o comentário do examinador, a mudança feita e a página, que entra no pacote com a etiqueta final. Se uma correção mudou algum número, os scripts são reexecutados e a nova saída é arquivada ao lado da antiga.

Exemplo resolvido

Diante da pergunta "Você implantaria essas listas de permissão em outro lugar?", Tariq responde: "Não como estão — elas codificam os hosts e as contas da Pelham. Eu implantaria o processo: entradas condicionais, revisão por pares e reprodução trimestral contra simulações autorizadas."

Caso sintético. A revisão e a defesa são inventadas.

Erros e limites

Restringir detalhes protege a organização anfitriã, mas limita a reprodutibilidade; o pacote arquivado explica o que foi retido e por quê.

Exercícios

Síntese

Revisão independente, respostas diretas com seus limites e uma devolução e um compartilhamento responsáveis completam um projeto de mestrado.

Continue estudando — capítulo 08 de 08

← Capítulo 07 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →

Respostas comentadas

EX045. Que o processo de revisão pressupõe um processo de mudanças maduro, que SOCs pequenos podem não ter; Tariq acrescentou um parágrafo adaptando as recomendações ao tamanho do SOC.

EX046. Por que não sortear? O feriado afetou igualmente os dois grupos? Um evento suprimido em oito é muito?

EX047. Ele disse que foram 12,5% de poucos eventos escolhidos de propósito, e que a verdadeira lição era que uma entrada ampla escondeu um uso indevido realista até ser estreitada.

EX048. Um relatório-resumo, a política de listas de permissão estreitada e o script de reprodução; os analistas foram informados antes dos gestores.

EX049. Nomes de hosts, nomes de contas e a lógica detalhada das regras, que poderiam ajudar alguém a escapar das detecções da Pelham.

EX050. Elas foram construídas em torno dos próprios hosts e contas da Pelham; o que se transfere é o método de entradas condicionais, revisadas e testadas por reprodução.