Capítulo 1 — Fundamentos de segurança para profissionais
Mapa da aula
Aula 01 publicada. Mapa, exemplo, EX001.
flowchart TD
N0["1.1 Onde os testes ofensivos se encaixam"]
N1["1.2 CIA em uma cooperativa de crédito"]
N2["1.3 Menor privilégio e profundidade"]
N3["1.4 Referenciais que você vai citar"]
N4["1.5 O que os profissionais produzem"]
N5["1.6 Confiança dos associados"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX001"]
Desenho lógico
flowchart LR
N0["1.1 Onde os testes ofensivos se encaixam"]
N1["1.2 CIA em uma cooperativa de crédito"]
N2["1.3 Menor privilégio e profundidade"]
N3["1.4 Referenciais que você vai citar"]
N4["1.5 O que os profissionais produzem"]
N5["1.6 Confiança dos associados"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX001"]
[1.1 Onde os testes ofensivos se encaixam]
|
v
[1.2 CIA em uma cooperativa de crédito]
|
v
[1.3 Menor privilégio e profundidade]
|
v
[1.4 Referenciais que você vai citar]
|
v
[1.5 O que os profissionais produzem]
|
v
[1.6 Confiança dos associados]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX001]
Objetivos de aprendizagem
Você vai (1) situar a segurança ofensiva autorizada entre as outras práticas de segurança; (2) nomear confidencialidade, integridade e disponibilidade com exemplos de uma cooperativa de crédito; (3) explicar o menor privilégio e a defesa em profundidade; (4) listar os referenciais que este curso usa.
1.1 Onde os testes ofensivos se encaixam
O trabalho de segurança inclui arquitetura, monitoramento, resposta a incidentes e testes autorizados. Os testes encontram o que as outras práticas deixaram passar, sob permissão por escrito. Eles não substituem a aplicação de patches, o registro de logs nem o treinamento. Na HCU, o escopo do ENG-440 de Leo cobre a homologação do internet banking e a VPN da equipe, e as revisões dele ficam ao lado da aplicação de patches, dos logs e do treinamento, em vez de substituí-los. Quando aparece uma constatação, Leo ainda pergunta se a aplicação de patches ou o monitoramento deveriam tê-la detectado, para que os testes alimentem o endurecimento do dia a dia em vez de competir com ele. Um relatório limpo do ENG-440 continua deixando o trabalho com os atributos Secure e HttpOnly dos cookies para a equipe de segurança de aplicações e as lacunas de MFA para os responsáveis pela VPN.
1.2 CIA em uma cooperativa de crédito
A confidencialidade protege os dados das contas dos associados; a integridade protege saldos e instruções de transferência; a disponibilidade mantém o internet banking utilizável. Uma constatação é julgada pelo que ela ameaça, e, quando Leo classifica uma constatação, ele diz qual das três está em jogo. Um cookie de sessão sem Secure e HttpOnly ameaça a confidencialidade das sessões dos associados; uma senha de administrador compartilhada ameaça a integridade das mudanças; um teste que bloqueia contas ameaça a disponibilidade. O mesmo problema técnico pode atingir mais de uma, e o relatório deve dizer isso. O bloqueio de contas é o motivo pelo qual as ROE proíbem o password spraying: uma única execução descuidada no dia do pagamento poderia impedir os associados de acessar seus salários. A constatação sobre os atributos do cookie no ENG-440 é classificada principalmente pela confidencialidade, porque uma sessão roubada expõe a visão da conta de um associado.
1.3 Menor privilégio e profundidade
Contas e caminhos de rede devem permitir apenas o necessário. Várias camadas — rede, aplicação, identidade, monitoramento — fazem com que uma única falha não encerre a história. Os testadores procuram lugares onde faltam camadas. Na VPN da equipe, menor privilégio significa que cada administrador tem uma conta nominal em vez de um login compartilhado, e profundidade significa que uma senha roubada ainda enfrenta o MFA e o monitoramento. Leo procura lugares onde falta uma camada, como um caminho administrativo alcançável sem o jump host, porque é ali que uma única falha encerra a história.
1.4 Referenciais que você vai citar
NIST SP 800-115 para planejar avaliações; PTES para as etapas do engajamento; OWASP WSTG para verificações web; MITRE ATT&CK para os nomes de técnicas; TIBER-EU e CBEST para testes guiados por ameaças no setor financeiro. Cada referência responde a uma pergunta diferente, por isso Leo cita a que corresponde à decisão que está sendo registrada. Ele abre primeiro o OWASP WSTG para os testes de aplicação web na homologação do internet banking, o PTES para as etapas do engajamento e o NIST SP 800-115 quando planeja que tipo de avaliação a HCU precisa. O ATT&CK fornece nomes de técnicas como T1078 Valid Accounts para o SOC. TIBER-EU e CBEST só importam se a HCU vier a patrocinar um teste guiado por ameaças.
1.5 O que os profissionais produzem
Os profissionais produzem planos com escopo definido, constatações validadas, relatórios claros e correções verificadas — não pilhas de ruído de scanner sem confirmação. A primeira semana de Leo entrega um plano com escopo para o internet banking e a VPN, e não um despejo de scanner. Mais adiante, ele vai produzir constatações validadas, um relatório claro para o CISO e para os engenheiros e correções verificadas com evidências de reteste. Essas quatro entregas são o que o CISO e os examinadores conseguem auditar. O ruído de ferramenta sem confirmação fica fora do relatório, para que os responsáveis atuem sobre o que é real; ruído de scanner sem validação desperdiça o tempo de quem corrige e esconde os problemas que importam para os associados.
1.6 Confiança dos associados
Os associados confiam à HCU seus salários e economias. Um teste descuidado que bloqueia contas ou vaza um extrato destrói essa confiança mais rápido do que a maioria das constatações técnicas. Todo método que Leo propõe precisa responder: que dano aos associados isto pode causar se der errado, e como evitamos isso? Essa pergunta molda as ROE: homologação primeiro, nada de password spraying, parar se dados de associados aparecerem inesperadamente. Uma transferência de dia de pagamento bloqueada ou um extrato vazado prejudicariam associados que nunca escolheram fazer parte de um teste, por isso a prevenção é escrita nos métodos e nas condições de parada antes que qualquer pacote saia.
Exemplo resolvido (HCU sintética)
Leo Okonkwo entra na equipe de segurança da HCU. Sua primeira semana é um mapa: o internet banking e a VPN da equipe estão na próxima revisão autorizada; o núcleo bancário AS/400 está fora do escopo. Ele fixa as perguntas de CIA acima da mesa.
Caso sintético — Harborline Credit Union (HCU). A cooperativa de crédito, Leo Okonkwo e todos os números foram inventados para fins didáticos.
Erros e limites
Políticas e leis locais variam; siga a autorização da HCU e a sua jurisdição. Este livro nunca autoriza testes em sistemas reais.
Exercícios
- EX001 — Três práticas. Cite três práticas de segurança além dos testes autorizados. Rubrica: 3 = três entre arquitetura, monitoramento, resposta a incidentes, aplicação de patches, treinamento; 2 = duas; 1 = uma; 0 = nada.
- EX002 — Associação CIA. Associe: extratos de associados vazados; valor de transferência alterado; internet banking fora do ar. Rubrica: 3 = C, I, A; 2 = dois; 1 = um; 0 = nada.
- EX003 — Menor privilégio. Dê um exemplo de menor privilégio em uma cooperativa de crédito. Rubrica: 3 = conta/caminho concreto limitado ao necessário; 2 = vago; 1 = errado; 0 = nada.
- EX004 — Defesa em profundidade. Por que um único firewall não basta? Rubrica: 3 = outras camadas podem falhar de forma independente; aplicação/identidade/monitoramento continuam necessários; 2 = parcial; 1 = ele basta; 0 = nada.
- EX005 — Escolha de referencial. Qual fonte Leo abriria primeiro para estruturar um teste de aplicação web? Rubrica: 3 = OWASP WSTG; 2 = ATT&CK; 1 = só CBEST; 0 = nada.
Síntese
Os testes autorizados ficam ao lado das outras práticas; CIA, menor privilégio e referenciais públicos moldam todo engajamento.
Continue estudando — capítulo 01 de 12
← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →