Capítulo 5 — Alternativas de desenho para programas de avaliação | Pós-graduação Segurança ofensiva autorizada e equipe vermelha

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX021.

flowchart TD
  N0["5.1 Alternativas"]
  N1["5.2 Pontuação"]
  N2["5.3 Portfólio"]
  N3["5.5 Sensibilidade"]
  N4["5.6 Resultado"]
  N5["5.7 Narrativa"]
  N6["5.8 Líderes reservados a lápis"]
  N7["5.9 Calendário sombreado"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX021"]

Desenho lógico

flowchart LR
  N0["5.1 Alternativas"]
  N1["5.2 Pontuação"]
  N2["5.3 Portfólio"]
  N3["5.5 Sensibilidade"]
  N4["5.6 Resultado"]
  N5["5.7 Narrativa"]
  N6["5.8 Líderes reservados a lápis"]
  N7["5.9 Calendário sombreado"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX021"]

[5.1 Alternativas]
    |
    v
[5.2 Pontuação]
    |
    v
[5.3 Portfólio]
    |
    v
[5.5 Sensibilidade]
    |
    v
[5.6 Resultado]
    |
    v
[5.7 Narrativa]
    |
    v
[5.8 Líderes reservados a lápis]
    |
    v
[5.9 Calendário sombreado]
    |
    v
[Exemplo resolvido] --> [Exercício EX021]

Objetivos de aprendizagem

Você vai (1) gerar alternativas de programa; (2) pontuá-las em aprendizado, risco, custo e capacidade; (3) recomendar um portfólio; (4) documentar os não objetivos.

5.1 Alternativas

Amira escreve quatro alternativas para que os executivos vejam escolhas reais: A, apenas testes web trimestrais; B, apenas exercícios anuais guiados por ameaças; C, testes web trimestrais mais um exercício bienal guiado por ameaças; e D, teatro de varredura automatizada contínua. Ela não discute um pedido vago de "mais testes" enquanto ele não corresponder a uma dessas quatro, e um pedido que não corresponde é devolvido até que corresponda. A DEC-14 é o registro da escolha de C depois que A, B e D foram pontuadas. Escrever as alternativas lado a lado torna as opções rejeitadas tão visíveis quanto a escolhida, e é disso que um examinador futuro precisa.

5.2 Pontuação

Amira pontua cada alternativa em aprendizado de detecção, risco operacional, custo, capacidade da equipe e adequação ao examinador, cada critério de um a três. Os números brutos ficam visíveis, para que um diretor consiga recalcular a classificação à mão. D pontua alto em ruído e baixo em aprendizado. B vai bem em aprendizado, mas mal em capacidade da equipe, porque o trabalho anual guiado por ameaças exige dois ciclos completos do white team. C vence na Meridian Clearing House quando a capacidade é declarada com honestidade, e a planilha de pontuação anexada ao memorando de alternativas impede que a recomendação vire questão de gosto.

5.3 Portfólio

C costuma vencer em organizações como a MCH porque A sozinha treina pouco a detecção e B sozinha deixa passar as regressões comuns entre os anos de exercícios guiados por ameaças. A linguagem de portfólio significa a combinação de atividades, e não um único logotipo comprado nem um único engajamento milagroso. Amira continua mostrando as notas de A, B e D, para que os diretores entendam por que C venceu, em vez de aceitar a recomendação por confiança. Quando um diretor propõe mais tarde abandonar os testes web trimestrais para financiar um ano maior de exercícios guiados por ameaças, as mesmas notas mostram quanto aprendizado de detecção e quanta cobertura de regressões essa troca custaria.

5.4 Não objetivos

O memorando lista três não objetivos: nenhuma alegação de cobertura do SWIFT a partir dos testes web comuns; nenhuma demonstração pública de exploração; nenhuma hora extra não paga como plano de capacidade. Cada não objetivo corresponde a uma frase do catálogo sobre o que não pode ser alegado ou ao estatuto de ética, então nenhum deles é uma promessa nova inventada para o memorando. Amira os lê em voz alta no fim do memorando de alternativas, para que a hora extra não paga não vire discretamente o plano de capacidade. Antes de arquivar, ela confere cada recomendação com a escala de trabalho que os responsáveis de fato praticam; uma recomendação que só funciona se as pessoas trabalharem de madrugada não é executável.

5.5 Sensibilidade

Amira pontua de novo as alternativas sob choques, porque a recomendação deve continuar executável quando as condições pioram. Sua análise de sensibilidade reduz a capacidade pela metade e também dobra o custo dos fornecedores. Dobrar o custo dos fornecedores atinge mais a opção B, que contrata um provedor de exercícios guiados por ameaças todo ano, em vez de a cada dois anos. A opção C atual sobrevive à capacidade reduzida pela metade ao passar o exercício guiado por ameaças para cada três anos, com um líder do white team nomeado e uma data escrita. Se C desmoronasse sob os dois choques, ela nunca teria sido robusta; Amira recusa um plano que só funciona no melhor cenário.

5.6 Resultado

O resultado é um memorando de alternativas de duas páginas com a tabela de pontuação, os não objetivos, o resultado da sensibilidade e um gráfico de calendário. O gráfico sombreia os meses de preparação — coleta de inteligência, briefing do white team e aprovação do cenário, cada um em um tom diferente —, e não apenas a semana de execução. Certa vez, a área financeira financiou só a semana de execução e foi surpreendida pelo tempo de preparação da inteligência; as células sombreadas acabaram com essa surpresa. A última linha do memorando nomeia o CISO como responsável pela recomendação e a próxima revisão do catálogo como sua data de expiração. Amira não envia um memorando sem o gráfico de calendário, porque os executivos aprovariam um programa para o qual não reservaram pessoas.

5.7 Narrativa

Amira lê os não objetivos no início de cada oficina de alternativas, para que o brainstorming não reintroduza discretamente a opção teatral D, e de novo no fim, para que ninguém saia achando que a hora extra vai salvar o plano. Um memorando sem análise de sensibilidade está incompleto. Quando a capacidade cai pela metade, passar o exercício guiado por ameaças para cada três anos mantém um líder do white team nomeado e uma data escrita, em vez de um desejo. A própria mudança é arquivada como emenda a uma DEC, para que a alteração da cadência seja assumida da mesma forma que a escolha original de C.

5.8 Líderes reservados a lápis

O exercício guiado por ameaças a cada três anos continua tendo um líder do white team reservado a lápis com dois anos de antecedência; o lápis vence o desejo. Nomear o líder tão cedo dá ao white team tempo para organizar substitutos antes da data do exercício, e substitutos organizados em cima da hora viram o heroísmo que o estatuto de ética proíbe. Amira põe o nome no gráfico de calendário, e não apenas em um e-mail. O nome reservado é conferido em cada revisão do catálogo, e qualquer troca de pessoa é registrada como emenda a uma DEC. É assim que a Meridian Clearing House mantém executável o exercício guiado por ameaças a cada três anos.

5.9 Calendário sombreado

Cada mês de preparação sombreado no gráfico de calendário de Amira traz as iniciais do membro do white team reservado para ele, de modo que os executivos veem a carga real da equipe e as lacunas de cobertura aparecem como células em branco. Quando uma célula continua em branco, Amira leva a lacuna ao líder do white team antes de o mês começar, em vez de descobri-la na semana de execução. Ela reimprime o calendário depois de cada DEC que muda a cadência e guarda o hash do PDF ao lado da DEC-14, para que a versão aprovada por um diretor possa ser distinguida das revisões posteriores.

Exemplo resolvido (MCH sintética)

O memorando de Amira escolhe C, mostra um calendário de dois anos e lista D como rejeitada por gerar falsa garantia.

Caso sintético — Meridian Clearing House (MCH). A organização de compensação, Amira Hassan e todos os números foram inventados para fins didáticos.

Erros e limites

Testes guiados por ameaças e de sistemas de compensação exigem autorização jurídica especializada. Este livro só usa casos sintéticos e não traz código de exploração nem roteiro de ataque ao mercado.

Exercícios

EX021 — Por que não D. Por que rejeitar o teatro de varredura contínua?
Mostrar critérios de avaliação
Rubrica: 3 = ruído sem aprendizado / falsa garantia; 2 = parcial; 1 = é a melhor; 0 = nada.
EX022 — Por que C. Por que C costuma vencer?
Mostrar critérios de avaliação
Rubrica: 3 = regressões + aprendizado periódico guiado por ameaças; 2 = parcial; 1 = é a mais barata; 0 = nada.
EX023 — Exemplo de não objetivo. Dê um não objetivo do programa da MCH.
Mostrar critérios de avaliação
Rubrica: 3 = nenhuma alegação sobre o SWIFT a partir de testes web / nenhuma exploração pública / nenhuma hora extra como capacidade; 2 = parcial; 1 = vago; 0 = nada.
EX024 — Sensibilidade. Qual choque de capacidade o memorando deve testar?
Mostrar critérios de avaliação
Rubrica: 3 = capacidade reduzida pela metade / choque semelhante; 2 = parcial; 1 = vago; 0 = nada.
EX025 — Calendário. Que artefato ajuda os executivos a aprovar C?
Mostrar critérios de avaliação
Rubrica: 3 = gráfico de calendário de dois anos; 2 = parcial; 1 = jargão; 0 = nada.

Síntese

O desenho de programas é um portfólio pontuado com não objetivos, e não um único logotipo comprado.

Continue estudando — capítulo 05 de 12

← Capítulo 04 (rascunho) · Índice de capítulos do curso · Capítulo 06 (rascunho) →