Capítulo 2 — Prática atual em segurança ofensiva autorizada
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX006.
flowchart TD
N0["2.1 Panorama da prática"]
N1["2.2 Especificidades dos testes guiados por ameaças"]
N2["2.3 SP 800-115 e PTES"]
N3["2.4 Crítica a fornecedores"]
N4["2.5 Catálogo da MCH"]
N5["2.6 Atualidade"]
N6["2.7 Narrativa"]
N7["2.8 Riscos do arquivo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX006"]
Desenho lógico
flowchart LR
N0["2.1 Panorama da prática"]
N1["2.2 Especificidades dos testes guiados por ameaças"]
N2["2.3 SP 800-115 e PTES"]
N3["2.4 Crítica a fornecedores"]
N4["2.5 Catálogo da MCH"]
N5["2.6 Atualidade"]
N6["2.7 Narrativa"]
N7["2.8 Riscos do arquivo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX006"]
[2.1 Panorama da prática]
|
v
[2.2 Especificidades dos testes guiados por ameaças]
|
v
[2.3 SP 800-115 e PTES]
|
v
[2.4 Crítica a fornecedores]
|
v
[2.5 Catálogo da MCH]
|
v
[2.6 Atualidade]
|
v
[2.7 Narrativa]
|
v
[2.8 Riscos do arquivo]
|
v
[Exemplo resolvido] --> [Exercício EX006]
Objetivos de aprendizagem
Você vai (1) mapear os referenciais da prática atual; (2) situar o TIBER-EU e o CBEST entre testes mais leves; (3) criticar as promessas de fornecedores; (4) manter honesto o catálogo da MCH.
2.1 Panorama da prática
As organizações combinam gestão de vulnerabilidades, testes periódicos de aplicações web que seguem os temas do OWASP WSTG, exercícios de purple team e exercícios ocasionais guiados por ameaças sob regras do TIBER-EU ou semelhantes às do CBEST. Os nomes não são intercambiáveis, e nomes errados geram expectativas erradas sobre o aprendizado de detecção e a cobertura dos sistemas adjacentes ao SWIFT. O catálogo de Amira lista essas quatro atividades como linhas separadas, com alegações separadas. Chamar todas de red team é a forma pela qual os conselhos ouvem uma garantia sobre o SWIFT que nunca foi comprada, por isso ela corrige o vocabulário em cada reunião de planejamento até que os nomes fiquem separados em todas as notas de planejamento.
2.2 Especificidades dos testes guiados por ameaças
O TIBER-EU e o CBEST enfatizam cenários guiados por inteligência, controle pelo white team e aprendizado para detecção e resposta — e não a maximização do número de achados. Quando os executivos dizem "é só fazer pentest em tudo", Amira abre os guias públicos e mostra essas três expectativas; segundo eles, uma semana de varredura não é um programa guiado por ameaças. A linguagem das RFPs dela pede inteligência, desenho do white team e aprendizado de detecção, e não uma meta de número de achados, que é pontuada como teatro. Fornecedores que não conseguem descrever o desenho do white team saem da lista curta, e assim a Meridian Clearing House não compra uma varredura fantasiada de trabalho guiado por ameaças.
2.3 SP 800-115 e PTES
O NIST SP 800-115 e o PTES continuam sendo a espinha dorsal para planejar os tipos de avaliação e as etapas do engajamento. Os programas guiados por ameaças ficam por cima dessa disciplina de escopo, e não no lugar dela: autorização escrita, inclusões, exclusões e condições de parada continuam obrigatórias mesmo quando o cenário é guiado por inteligência e bienal. Pular o escopo porque o exercício é especial é como acontecem sondagens fora do escopo. Apoiar-se nessa espinha dorsal é o que permite a Amira manter os sistemas adjacentes ao SWIFT fora dos testes comuns e, ainda assim, conduzir um cenário bienal sob controle do white team. Por isso, as próprias ROE do cenário bienal nomeiam explicitamente a exclusão adjacente ao SWIFT.
2.4 Crítica a fornecedores
Fornecedores que prometem "red team completo em uma semana" sem inteligência, sem white team e sem metas de detecção estão vendendo uma varredura com teatro. A pontuação das RFPs de Amira pergunta quem atua como white team, quais metas de detecção serão medidas e como a inteligência molda os cenários; essas três respostas separam uma oferta real de um slogan. Ela já rejeitou uma proposta de red team completo em uma semana sem fase de inteligência e registrou o motivo no catálogo. Cada motivo de rejeição fica ali, para que o próximo comprador da Meridian Clearing House consiga ver o padrão das propostas de varredura com teatro.
2.5 Catálogo da MCH
Um catálogo vivo associa cada atividade ao que ela pode e não pode alegar. Os testes web trimestrais comuns não podem alegar a segurança do SWIFT; um exercício bienal guiado por ameaças não pode alegar cobertura contínua de cada mudança na web. A honestidade aqui impede que questionários de seguro e slides do conselho exagerem a garantia da Meridian Clearing House. Uma linha do catálogo sem a frase do que não pode alegar está incompleta, e Amira não deixa uma linha assim entrar em um material do conselho. Ela também bloqueia, nos materiais do conselho, linguagem que invente alegações proibidas por uma linha completa, mesmo quando o texto vem de um patrocinador sênior.
2.6 Atualidade
Amira revisa o catálogo duas vezes por ano diante das novas edições dos referenciais. As revisões detectam novas edições do ATT&CK, do WSTG, do TIBER-EU e do CBEST e riscam slogans aposentados de fornecedores que ainda estão em materiais antigos do conselho. Um catálogo que nunca é atualizado vira um museu da bravata do ano anterior. Ela data cada revisão e arquiva o índice de riscos, para que slogans aposentados não sejam colados de materiais antigos em materiais novos. A atualidade é um controle agendado, com data no calendário, e não a esperança de que alguém perceba uma alegação vencida antes que um comitê a perceba.
2.7 Narrativa
As revisões do catálogo recebem uma vez por ano um fornecedor de red team como crítico convidado. Amira pede que ele ataque as frases do que não pode ser alegado: se ele puder dizer honestamente que um teste web trimestral prova a segurança do SWIFT, a frase é fraca demais. O convidado do ano passado não conseguiu quebrar as frases; ainda assim, ela tornou um adjetivo mais preciso. Ela convida um fornecedor diferente a cada ano, para que a crítica não fique capturada. As revisões de atualidade também caçam slogans aposentados de fornecedores que persistem em materiais antigos do conselho e os riscam no índice do arquivo.
2.8 Riscos do arquivo
Os riscos feitos em materiais antigos ficam ligados ao registro de alterações do catálogo, para que os revisores vejam qual alegação foi suavizada e por quê; esquecer a história é como a bravata volta à linguagem do conselho. A reescrita de "estamos em conformidade com o CBEST" para um exercício inspirado no CBEST, com prazo definido e exclusões adjacentes ao SWIFT, é o exemplo resolvido, e as duas versões ficam no arquivo. Quando um diretor perguntou por que "em conformidade" sumiu do slide de 2025, o link do registro de alterações respondeu à pergunta sem reunião. Cada entrada do registro de alterações anota a data, a redação antiga e o revisor que aprovou a nova redação.
Exemplo resolvido (MCH sintética)
Amira reescreve um slide do conselho de "estamos em conformidade com o CBEST" para "concluímos um exercício inspirado no CBEST em 2025; os testes trimestrais comuns excluem os sistemas adjacentes ao SWIFT, conforme o catálogo".
Caso sintético — Meridian Clearing House (MCH). A organização de compensação, Amira Hassan e todos os números foram inventados para fins didáticos.
Erros e limites
Testes guiados por ameaças e de sistemas de compensação exigem autorização jurídica especializada. Este livro só usa casos sintéticos e não traz código de exploração nem roteiro de ataque ao mercado.
Exercícios
- EX006 — Não intercambiáveis. Por que não chamar todo teste de red team? Rubrica: 3 = profundidade, inteligência e metas de detecção diferentes; 2 = parcial; 1 = são iguais; 0 = nada.
- EX007 — Ênfase dos testes guiados por ameaças. Cite duas ênfases dos testes no estilo do TIBER-EU/CBEST. Rubrica: 3 = cenários guiados por inteligência e aprendizado de detecção e resposta (white team); 2 = uma; 1 = volume de achados; 0 = nada.
- EX008 — Pergunta da RFP. Dê uma pergunta de RFP que elimine o teatro. Rubrica: 3 = pergunta pelo white team, pelos objetivos de aprendizado ou pela inteligência; 2 = parcial; 1 = apenas o menor preço; 0 = nada.
- EX009 — O que não pode alegar. O que um catálogo precisa declarar além do que os testes fazem? Rubrica: 3 = o que eles não podem alegar; 2 = parcial; 1 = logotipos; 0 = nada.
- EX010 — Reescrita do slide. O que estava errado em "estamos em conformidade com o CBEST"? Rubrica: 3 = alegação exagerada / imprecisa; 2 = parcial; 1 = diz que nada estava errado; 0 = sem resposta.
Síntese
A prática atual é um catálogo de atividades nomeadas com honestidade, e não um único jargão da moda.
Continue estudando — capítulo 02 de 12
← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →