Capítulo 12 — Portfólio de prática e revisão final

Capítulo 12 — Portfólio de prática e revisão final

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX056.

flowchart TD
  N0["12.1 Montando o portfólio"]
  N1["12.2 Tendências do rastreador"]
  N2["Laboratório — Tendências dos achados"]
  N3["12.3 Reflexão e próximos passos"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX056"]

Desenho lógico

flowchart LR
  N0["12.1 Montando o portfólio"]
  N1["12.2 Tendências do rastreador"]
  N2["Laboratório — Tendências dos achados"]
  N3["12.3 Reflexão e próximos passos"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX056"]

[12.1 Montando o portfólio]
    |
    v
[12.2 Tendências do rastreador]
    |
    v
[Laboratório — Tendências dos achados]
    |
    v
[12.3 Reflexão e próximos passos]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX056]

Objetivos de aprendizagem

Você vai (1) montar um portfólio de prática a partir de seis meses de trabalho; (2) resumir tendências dos achados com um script simples; (3) refletir sobre lacunas e planejar a continuidade do aprendizado.

12.1 Montando o portfólio

O portfólio de Dana reúne evidências do que ela sabe fazer: uma tabela de partes interessadas, um plano de testes baseado na autorização, o script de inventário e sua saída, um conjunto de declarações de verificação, a linha do tempo da chave exposta, um relatório mensal com classificações e a nota de encerramento do laboratório. Cada item é anonimizado, mantendo os nomes sintéticos da Bayside e removendo qualquer coisa real, e cada um tem uma breve nota explicando o que ela fez, o que aprendeu e o que faria de outra forma. Marcus explica que um portfólio mostra o discernimento melhor que uma lista de certificações, porque revela como ela lidou com situações incertas e confusas.

12.2 Tendências do rastreador

Para encerrar o programa, Dana resume seis meses de achados da Bayside. Ela escreve um script curto sobre uma exportação sintética do rastreador que conta os achados por categoria e por status e calcula a mediana de dias até o encerramento. O laboratório abaixo mostra o resultado: as questões de expiração e de cadeia foram as mais comuns, e a maioria foi encerrada em poucas semanas, enquanto um achado de chave fraca ficou aberto por mais tempo porque exigia a substituição de um servidor. As tendências dizem ao gerente da clínica onde investir, como na renovação automatizada, e dizem à Copperleaf onde seu fluxo de trabalho poderia melhorar.

Laboratório — Tendências dos achados

# Summarise a synthetic six-month findings export.
import collections, statistics
rows = [("expiry/chain", "closed", 6), ("expiry/chain", "closed", 11), ("expiry/chain", "closed", 4),
        ("expiry/chain", "closed", 19), ("weak key", "open", 142), ("legacy TLS", "closed", 33),
        ("legacy TLS", "in progress", 58), ("secret exposure", "closed", 2), ("password storage", "closed", 27)]
print("by category:", dict(collections.Counter(c for c, _, _ in rows).most_common()))
print("by status:", dict(collections.Counter(s for _, s, _ in rows)))
print("median days to close (closed only):", statistics.median(d for _, s, d in rows if s == "closed"))
print("oldest open:", max((d, c) for c, s, d in rows if s != "closed"))

Execute com python3 lab_trends.py. Saída verificada:

by category: {'expiry/chain': 4, 'legacy TLS': 2, 'weak key': 1, 'secret exposure': 1, 'password storage': 1}
by status: {'closed': 7, 'open': 1, 'in progress': 1}
median days to close (closed only): 11
oldest open: (142, 'weak key')

12.3 Reflexão e próximos passos

Na revisão final com Marcus, Dana lista o que faz com confiança: confirmar sinalizações, verificar o comportamento do HMAC e do TLS, escrever achados em linguagem simples e manusear evidências. Também lista lacunas: ainda não conduziu um incidente, depende de Marcus para as classificações de risco em casos incomuns e sabe pouco sobre a migração pós-quântica além do fato de que o NIST publicou as FIPS 203, 204 e 205 em 2024. Eles combinam um plano para estudar essas normas, acompanhar um líder de incidentes e assumir o ciclo mensal de um cliente. A reflexão honesta é a última habilidade profissional que o programa ensina.

Exemplo resolvido

Dana monta um portfólio de sete itens, executa o laboratório de tendências e combina um plano de aprendizado que cobre a liderança de incidentes e as normas pós-quânticas.

Caso sintético. O portfólio, a exportação do rastreador e a revisão são sintéticos; as FIPS 203, 204 e 205 são reais.

Erros e limites

Seis meses de um único cliente são uma amostra pequena para tendências. Os portfólios precisam permanecer anonimizados e sintéticos quando compartilhados.

Exercícios

• EX056 — Por que um portfólio. Por que Marcus valoriza um portfólio mais que uma lista de certificações? Rubrica: 3 = mostra o discernimento em situações confusas e incertas;; 2 = discernimento;; 1 = igual;; 0 = nenhuma.

• EX057 — Categoria mais comum. Segundo o laboratório de tendências, que categoria teve mais achados? Rubrica: 3 = expiry/chain, como impresso na execução;; 2 = categoria;; 1 = errada;; 0 = nenhuma.

• EX058 — Aberto há mais tempo. Que achado ficou aberto por mais tempo, e por quê? Rubrica: 3 = o achado de chave fraca, que exigia a substituição de um servidor;; 2 = achado;; 1 = vago;; 0 = nenhuma.

• EX059 — Lacunas admitidas. Cite duas lacunas que Dana admite na revisão. Rubrica: 3 = duas entre: não conduziu incidentes, depende do mentor para classificações incomuns, pouco conhecimento de PQC;; 2 = uma;; 1 = vago;; 0 = nenhuma.

• EX060 — Normas PQC. Que normas pós-quânticas do NIST seu plano inclui? Rubrica: 3 = FIPS 203, 204 e 205;; 2 = duas;; 1 = vago;; 0 = nenhuma.

Síntese

Um portfólio, um resumo de tendências e uma reflexão honesta transformam seis meses de prática numa base profissional crível.

Continue estudando — aula 12 (capítulo 12 de 12)

← Capítulo 11 · Índice das aulas · Próximo curso pelo índice →

O índice aponta para o próximo curso do percurso de estudos.

Resoluções

Respostas-modelo para EX001–EX060. Dana Whitlock, Marcus Oyelaran, a Copperleaf Managed Services, o Bayside Dental Group e todos os números são sintéticos; as respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.

EX001. Executar verificações repetíveis, guardar evidências e explicar os achados ao cliente, sem inventar criptografia.

EX002. Não. Uma assinatura mostra quem assinou e que o conteúdo não mudou, mas qualquer pessoa ainda pode ler o conteúdo.

EX003. Um certificado expirado impede os pacientes de acessar o site de agendamento, e uma chave de cifração de disco perdida torna ilegíveis os dados de um notebook.

EX004. Um e-mail de phishing; ele mostra que uma criptografia forte não impede que pessoas sejam enganadas, então os achados precisam de contexto.

EX005. Porque um certificado expirado quebra o serviço e alarma os pacientes agora, enquanto uma cifra um pouco mais fraca tem pouco impacto prático.

EX006. Que o agendamento seja privado e que o site abra sem avisos de segurança.

EX007. Quem tem autoridade para aprovar uma mudança, e quem é tecnicamente capaz de executá-la.

EX008. Porque a agência controlava aquele certificado e ela não tinha identificado o fornecedor antes.

EX009. Alguns pacientes com celulares mais antigos veem um aviso de segurança ao agendar porque falta um arquivo que prova o certificado; a agência pode corrigir isso rapidamente.

EX010. Para um apêndice técnico dirigido à agência, para que o resumo continue legível sem perder fatos.

EX011. Porque só os donos deles podem autorizar testes; a assinatura da Bayside não cobre sistemas de terceiros.

EX012. Registrando as configurações de cifração da rotina de backup e restaurando um arquivo de teste sintético, em vez de qualquer prontuário.

EX013. Porque exportações de uma clínica são valiosas para atacantes, então a pasta é cifrada, tem acesso restrito e é apagada no prazo.

EX014. Não. Testá-las vai além da sua autorização; ela relata o caminho e o tipo e recomenda a rotação.

EX015. Lista o caminho do arquivo e os tipos de segredo com todos os valores ocultados, o que basta para justificar a rotação.

EX016. Uma assinatura pode ser conferida com uma chave pública que não consegue assinar, enquanto qualquer pessoa capaz de verificar um HMAC tem a chave compartilhada e poderia forjar tags.

EX017. Do certificado do servidor para sua intermediária e até uma raiz confiável, conferindo o nome e as datas de validade.

EX018. Os operacionais: certificados expirados, intermediárias ausentes, nomes errados e chaves privadas guardadas de forma aberta demais.

EX019. Cifração autenticada como o AES-GCM, com a chave armazenada separadamente da mídia de backup.

EX020. Uma assinatura digital, que os pacientes podem verificar com a chave pública ou o certificado da Bayside.

EX021. Expiração em até 30 dias, chaves RSA abaixo de 2048 bits, assinaturas SHA-1 e aceitação de TLS 1.0 ou 1.1.

EX022. Quatro endpoints foram sinalizados e um, a API do portal, estava limpo.

EX023. Porque a impressora fica num segmento isolado acessível apenas pelo servidor, então a exposição é limitada, embora a sinalização seja verdadeira.

EX024. Reproduzindo-a com openssl s_client ou openssl x509 e conferindo ela mesma o valor.

EX025. Mina a confiança em todos os outros achados, então o ruído precisa ser filtrado primeiro.

EX026. Para identificar qualquer certificado publicamente confiável emitido para os domínios da Bayside que o inventário não conhece.

EX027. Só depois que Dana testou de novo e confirmou a correção, e não apenas pela palavra do dono.

EX028. A agência tinha corrigido a cadeia num dos servidores com balanceamento de carga, mas o outro ainda omitia a intermediária.

EX029. A equipe de desktops da Copperleaf, que gerencia os notebooks da clínica.

EX030. Porque um fornecedor que entende por que a mudança importa costuma agir mais cedo e com mais cuidado.

EX031. Mensagens com mais de cinco minutos, 300 segundos, são rejeitadas como possíveis replays.

EX032. Foi rejeitada, porque o HMAC recalculado deixou de corresponder à tag.

EX033. Executando openssl s_client com a opção -tls1_1 e confirmando que o handshake é recusado.

EX034. Ela a registra como não testada e explica por quê, em vez de presumir que corresponde aos outros endpoints.

EX035. Palavras como seguro e conforme, porque afirmam mais garantia do que um teste específico oferece.

EX036. Que estava comprometida, já que ninguém podia provar que não tinha sido copiada e substituí-la custa pouco.

EX037. Cerca de quarenta horas, de sexta-feira às 18:42 até a remoção no domingo às 10:15.

EX038. Porque um atacante que tem a chave pode se passar pelo site usando o certificado existente, sem que apareça nenhum certificado novo.

EX039. Outras pessoas podem já ter cópias, e o histórico do repositório ainda pode conter a chave.

EX040. Implantar uma nova chave e um novo certificado, revogar o certificado antigo e rotacionar os outros segredos, acrescentando varredura de segredos.

EX041. Porque só depois que os achados estão confirmados o sumário pode declarar com precisão o que importa e o que decidir.

EX042. A fraqueza é real, mas um atacante precisaria antes de acesso à rede da equipe, o que reduz a probabilidade.

EX043. Que achados semelhantes em clientes diferentes receberam classificações semelhantes, mantendo o serviço consistente.

EX044. Exatamente como qualquer outro achado, com as mesmas evidências e classificação, porque a honestidade é o serviço.

EX045. Deve passar pela divulgação coordenada ao fornecedor por meio da Copperleaf, em vez de ser publicada abertamente.

EX046. É rápido, então os palpites são baratos, e sem salt senhas idênticas dão hashes idênticos.

EX047. Seus valores armazenados diferiram porque cada um tinha um salt aleatório próprio.

EX048. Na contagem de iterações do laboratório, o PBKDF2 custou mais de 10.000 vezes mais por palpite do que um único SHA-256, como a execução imprimiu.

EX049. Não prova que o código de produção da agência está correto; esse código precisa de sua própria revisão.

EX050. Endpoints com balanceamento de carga devem ser testados uma vez para cada servidor de backend.

EX051. A configuração do servidor, porque os riscos da renovação estão nos caminhos, na ordem da cadeia e no recarregamento, não no conteúdo das páginas.

EX052. Ela instalou a cadeia de certificados na ordem errada e observou o cliente falhar.

EX053. Doze minutos no total, incluindo dois minutos de risco durante o recarregamento.

EX054. Para que ninguém possa mais tarde emitir certificados em que uma máquina que ainda tenha a raiz de laboratório confiaria.

EX055. Conferir explicitamente a ordem da cadeia de certificados antes de recarregar o servidor.

EX056. Porque mostra como Dana de fato raciocinou e agiu em situações reais e incertas.

EX057. As questões de expiração e de cadeia (expiry/chain) tiveram mais achados, como a execução mostrou.

EX058. A chave RSA fraca no servidor da clínica, porque corrigi-la exigia substituir o servidor.

EX059. Ela não conduziu um incidente e sabe pouco sobre a migração pós-quântica além das publicações FIPS de 2024.

EX060. FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA), publicadas em 2024.