Capítulo 12 — Portfólio de prática e revisão final
Mapa da aula
Aula 12 publicada. Mapa, exemplo, EX056.
flowchart TD
N0["12.1 Conteúdo do portfólio"]
N1["12.2 Apresentação"]
N2["12.3 Lacunas"]
N3["12.4 Regras permanentes"]
N4["12.5 Passagem de bastão"]
N5["12.6 Integridade do portfólio"]
N6["12.7 Formação continuada"]
N7["12.8 Reafirmação de segurança na capa do portfólio"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX056"]
Desenho lógico
flowchart LR
N0["12.1 Conteúdo do portfólio"]
N1["12.2 Apresentação"]
N2["12.3 Lacunas"]
N3["12.4 Regras permanentes"]
N4["12.5 Passagem de bastão"]
N5["12.6 Integridade do portfólio"]
N6["12.7 Formação continuada"]
N7["12.8 Reafirmação de segurança na capa do portfólio"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX056"]
[12.1 Conteúdo do portfólio]
|
v
[12.2 Apresentação]
|
v
[12.3 Lacunas]
|
v
[12.4 Regras permanentes]
|
v
[12.5 Passagem de bastão]
|
v
[12.6 Integridade do portfólio]
|
v
[12.7 Formação continuada]
|
v
[12.8 Reafirmação de segurança na capa do portfólio]
|
v
[Exemplo resolvido] --> [Exercício EX056]
Objetivos de aprendizagem
Você vai (1) montar um portfólio com os artefatos deste curso; (2) apresentá-lo a um supervisor; (3) identificar lacunas para o próximo curso; (4) reafirmar as regras de segurança permanentes.
12.1 Conteúdo do portfólio
Resultado da checklist das ROE; saída da verificação de escopo; lista de constatações filtrada; um parágrafo executivo de constatação; um parágrafo de constatação para engenheiros; captura de tela da higiene dos tickets; reflexão do laboratório supervisionado. Cada artefato é um que Leo produziu neste curso, com datas. Junto com eles, o portfólio contém o plano com escopo, as constatações validadas com hashes das evidências, o relatório no estilo do ENG-440 e as notas de reteste. Juntos, eles mostram que ele sabe definir escopo, filtrar, escrever para dois públicos, acompanhar correções e refletir — as entregas do profissional descritas no capítulo 1. Apenas dados sintéticos de associados; identificadores reais nunca entram no pacote.
12.2 Apresentação
Dez minutos: contexto da HCU, como você se manteve no escopo, as duas principais constatações, o plano de verificação e o que você ainda não vai fazer sozinho. A apresentação ao CISO começa pelas decisões necessárias e depois passa ao método e aos apêndices de evidências. Leo pratica uma versão de dez minutos para que a urgência do dia de pagamento não force um despejo cheio de jargão que enterre o responsável e o prazo do cookie-flag. Seus dez minutos terminam com o que ele ainda não vai fazer sozinho, como conduzir um cenário guiado por ameaças. A honestidade sobre os limites faz parte da apresentação, e não é uma nota de rodapé.
12.3 Lacunas
Leo registra que ainda não conduziu um cenário guiado por ameaças (no estilo CBEST/TIBER) nem uma passagem completa pelo WSTG — temas de cursos mais longos. Essas lacunas entram no plano de desenvolvimento dele, ao lado do portfólio. Cursos mais longos e prática supervisionada as fecham; reivindicá-las agora deturparia sua prontidão. Os limites da própria HCU, a exclusão do AS/400 e a ausência de um exercício guiado por ameaças, são escritos no portfólio como limites assumidos, e não escondidos, para que os examinadores não inventem uma cobertura que não vão encontrar nas ROE. Nomear as lacunas mostra julgamento.
12.4 Regras permanentes
Sem autorização, não há teste. Nada de código de exploração em sistemas reais. Parar significa parar. As evidências permanecem controladas. Leo imprime essas quatro linhas na capa do portfólio e na primeira página de toda pasta de engajamento; elas são as regras permanentes quando a pressão aumenta antes de um exame. A capa também reafirma as regras das ROE sem as quais Leo não começa: homologação primeiro, nada de password spraying, parar se dados de associados aparecerem inesperadamente e apagar em até 30 dias. Ela traz ainda a regra do contato de emergência, porque esse campo vazio quase deu início à primeira janela de Leo, e ele continua sem começar enquanto o campo emergency_contact não estiver preenchido.
12.5 Passagem de bastão
Guarde o portfólio no registro de treinamento da HCU, para que o próximo supervisor veja evidências, e não apenas uma marca de conclusão. Uma marca de conclusão sem artefatos obriga o próximo supervisor a redescobrir os pontos fortes e as lacunas de Leo; o registro de treinamento deve se abrir para as evidências. A passagem para o próximo analista inclui o caminho no cofre, a situação dos tickets abertos T-15 e T-18 e o campo de contato de emergência agora preenchido. Um e-mail sozinho não é passagem de bastão e deixa o próximo analista adivinhando, por isso uma demonstração guiada do ambiente de jump é agendada antes de Leo se afastar.
12.6 Integridade do portfólio
Os artefatos do portfólio precisam ser os que Leo realmente produziu neste curso, com datas. Substituí-los por amostras bem acabadas tiradas da internet deturpa a habilidade e é tratado como desonestidade acadêmica; relatórios de exemplo baixados, por mais bem acabados que sejam, não são evidência da habilidade de Leo, e examinadores que pedirem que ele explique um artefato que não escreveu vão perceber. A integridade do portfólio também significa hashes nos arquivos de evidência e um registro de alterações quando uma constatação é atualizada depois da revisão por pares. Edições discretas depois da assinatura são recusadas; o CISO vê o mesmo pacote que o colega revisou.
12.7 Formação continuada
Depois da aceitação, Leo agenda uma habilidade para aprofundar a cada mês — neste trimestre, o gerenciamento de sessões do OWASP WSTG na homologação, sob autorização — e a registra ao lado do portfólio, para que o progresso fique visível nas revisões. A formação continuada de Leo também inclui atualizações do WSTG e revisões da técnica T1078 do ATT&CK, registradas ao lado do portfólio para que os examinadores vejam que ele está atualizado. Palestras em conferências que publicariam caminhos específicos da HCU ficam fora da lista de formação continuada de propósito. A habilidade do mês é escolhida entre as lacunas do plano de desenvolvimento dele, de modo que uma passagem completa pelo WSTG é construída uma área por vez.
12.8 Reafirmação de segurança na capa do portfólio
A primeira página do portfólio de Leo declara: nenhum sistema real foi testado neste curso; todos os laboratórios usaram dados sintéticos; código de exploração não foi usado nem solicitado. Quem abre o portfólio vê primeiro esse limite de segurança: apenas laboratórios sintéticos, nenhuma varredura ao vivo na HCU, nenhum código de exploração. Essa reafirmação protege Leo e a HCU se o arquivo for compartilhado com um novo supervisor ou examinador. A capa também reafirma que os testes encontram, sob permissão por escrito, o que a aplicação de patches, os logs e o treinamento deixaram passar, e que um relatório limpo ainda deixa o endurecimento do dia a dia para as equipes de produto e de rede. A linguagem de segurança não é um apêndice; é a primeira página.
Exemplo resolvido (HCU sintética)
Leo apresenta; o supervisor aceita o portfólio com uma ação: acrescentar o quase erro do contato de emergência à página de integração da equipe. Link do próximo curso: Segurança de IA (043).
Caso sintético — Harborline Credit Union (HCU). A cooperativa de crédito, Leo Okonkwo e todos os números foram inventados para fins didáticos.
Erros e limites
Políticas e leis locais variam; siga a autorização da HCU e a sua jurisdição. Este livro nunca autoriza testes em sistemas reais.
Exercícios
- EX056 — Artefatos do portfólio. Liste cinco artefatos do portfólio. Rubrica: 3 = cinco da lista de conteúdo; 2 = três; 1 = um; 0 = nada.
- EX057 — O que a apresentação precisa dizer. O que Leo precisa dizer sobre o escopo na apresentação? Rubrica: 3 = como ele se manteve no escopo / exclusões / pausar para perguntar; 2 = parcial; 1 = pular o assunto; 0 = nada.
- EX058 — Honestidade sobre lacunas. Por que listar lacunas no portfólio? Rubrica: 3 = mostra os limites; orienta o próximo treinamento; gera confiança; 2 = parcial; 1 = esconder as lacunas; 0 = nada.
- EX059 — Regra permanente. Enuncie a regra permanente sobre código de exploração. Rubrica: 3 = nunca em sistemas reais / não ensinado para uso fora da política de laboratório autorizado; 2 = parcial; 1 = tudo bem se tiver cuidado; 0 = nada.
- EX060 — Próximo curso. Qual é o número e o tema do próximo curso? Rubrica: 3 = 043 Segurança de IA; 2 = IA; 1 = errado; 0 = nada.
Síntese
Um portfólio prova a prática autorizada; as lacunas e as regras de segurança acompanham você até o próximo curso.
Continue estudando — capítulo 12 de 12
← Capítulo 11 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →
Resoluções
Respostas-modelo para EX001–EX060. A Harborline Credit Union, Leo Okonkwo e todos os números são sintéticos. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. Arquitetura, monitoramento de segurança e resposta a incidentes (aplicação de patches e treinamento da equipe também contam).
EX002. Confidencialidade; integridade; disponibilidade.
EX003. Uma conta de caixa que consegue consultar saldos, mas não consegue aprovar transferências acima de um valor definido.
EX004. Atacantes que contornam ou abusam de um caminho permitido ainda enfrentam verificações na aplicação, controles de identidade e monitoramento; a falha de uma camada não deveria expor tudo.
EX005. OWASP Web Security Testing Guide — ele é organizado em torno de casos de teste de aplicações web.
EX006. Internet banking, VPN da equipe, e-mail, site para associados e o núcleo bancário AS/400.
EX007. Ele é o sistema de registro dos saldos; erros de teste poderiam parar as agências, por isso exige um trabalho especializado e cuidadosamente controlado, se chegar a ser testado.
EX008. O CISO autoriza; o responsável de produto do internet banking aceita o risco residual desse serviço.
EX009. A janela de horário, os endereços de origem e quais métodos podem parecer ataques, para que os analistas distingam o teste autorizado de um incidente real.
EX010. Não. A processadora de cartões é uma organização separada; seus sistemas precisam da autorização por escrito dela própria.
EX011. MISSING: emergency_contact — ele bloqueia o kickoff até que o CISO forneça um contato e a checklist passe.
EX012. complete
EX013. Mascarar o número da conta, para que a constatação continue demonstrável sem expor o identificador do associado.
EX014. Não. As evidências ficam no repositório aprovado, sob as regras de acesso do acordo.
EX015. "2026-10-18 09:12 Leo Okonkwo exportou a configuração da VPN do jump host JUMP-1 sob o ticket ENG-440; armazenada em evidence/ENG-440/vpn.txt."
EX016. Pré-engajamento, análise de vulnerabilidades, exploração, relatório.
EX017. É descoberta até que alguém a confirme, registre evidências e explique o impacto dentro das ROE.
EX018. Ele pode bloquear contas de associados ou da equipe e interromper o serviço; está fora da lista de métodos permitidos.
EX019. Demonstrar o efeito de segurança com a menor ação necessária e parar — sem acessar sistemas ou dados adicionais.
EX020. Permitido em "testes web autenticados" contra o sistema de homologação do internet banking, que está no escopo.
EX021. Mantém 3 de 5; descarta dir-listing e trace-method.
EX022. open-redirect (0.9) e cookie-flag (0.85); outdated-banner (0.7) é descartado.
EX023. Um scanner relata listagem de diretório, mas o servidor de homologação devolve uma página de login para esse caminho quando verificado com uma conta autorizada.
EX024. Uma falha de controle de acesso em uma página de transferência que nenhum scanner verifica, porque exige uma sessão válida de associado e etapas de negócio.
EX025. "OWASP ZAP 2.15, perfil de varredura de API 'HCU-staging-auth', executado em 2026-10-18 por Leo Okonkwo."
EX026. Identificador do engajamento, sistemas no escopo, janela de horário e um contato acessível do testador.
EX027. "09:12 staging.examplebank.test — verificação de expiração de sessão do WSTG — cookie persistiu após o logout — evidência E14."
EX028. Confirmar que se trata do ENG-440, compartilhar a janela das ROE e o ticket e reduzir o ritmo ou pausar se o SOC pedir.
EX029. Pausar os testes desse nome, perguntar ao responsável de produto ou ao CISO e continuar só depois de uma decisão de escopo registrada.
EX030. Parar no horário, registrar a verificação inacabada e agendá-la apenas dentro de uma nova janela autorizada.
EX031. Colocar os destinos de redirecionamento em lista de permissões ou remover os redirecionamentos controlados pelo usuário.
EX032. Restringir as interfaces administrativas da VPN à rede do jump host e exigir MFA enquanto as senhas compartilhadas são substituídas por senhas únicas.
EX033. Depois que o responsável declara que a correção foi implantada e dentro da janela de reteste registrada no ticket.
EX034. Não. A verificação exige as evidências do reteste de Leo, não apenas um e-mail.
EX035. Não. O reteste fica nas constatações acordadas, a menos que uma extensão de escopo por escrito diga o contrário.
EX036. As ROE excluem o e-mail pessoal; um funcionário relatou ter reutilizado a senha da VPN no e-mail pessoal.
EX037. "Suposição (não confirmada): a senha também pode ser conhecida por outras pessoas se o e-mail pessoal tiver sido comprometido; ainda não há evidência nos logs da HCU."
EX038. O e-mail pessoal está fora da autorização da HCU e dos limites de privacidade; a HCU pode redefinir as próprias credenciais de VPN sem lê-lo.
EX039. Uma senha de VPN exposta fora da HCU poderia permitir que alguém alcançasse serviços da equipe; esse risco precisa de visibilidade imediata do CISO.
EX040. T1078 Valid Accounts.
EX041. "O internet banking pode enviar associados para sites controlados por atacantes depois do login; pedimos aprovação para corrigir em até sete dias."
EX042. Passos de reprodução, referência às evidências e orientação concreta de correção.
EX043. Recusar a remoção, oferecer-se para incluir uma resposta da gestão ao lado da constatação e informar o supervisor sobre o pedido.
EX044. Não. Os resultados do engajamento são confidenciais nos termos do acordo, a menos que a HCU autorize explicitamente uma divulgação pública.
EX045. Resumo executivo, depois as constatações, depois os apêndices.
EX046. closed-ready: 2
EX047. INCOMPLETE: owner,verified (faltam o responsável e a verificação).
EX048. O responsável mudou? Que bloqueio está em aberto? A constatação foi mal compreendida?
EX049. Ela recompensa o registro de ruído e pune a validação cuidadosa; a severidade e a qualidade do fechamento importam mais.
EX050. Tornar obrigatórios os campos de responsável, prazo e verificação antes que um ticket saia da triagem.
EX051. Prontidão da autorização, resultado do filtro de descoberta e higiene da correção.
EX052. Exclusões presentes; contato de emergência presente; métodos compatíveis com as ROE.
EX053. Exclusões ausentes, contato de emergência ausente ou qualquer alvo fora do escopo no plano.
EX054. Ela nomeia um quase erro específico, o que o detectou e um comportamento concreto para a próxima vez.
EX055. A autorização de sala de aula cobre apenas exercícios sintéticos; uma varredura ao vivo exige ROE próprias e colocaria serviços reais em risco.
EX056. Resultado da checklist das ROE, saída da verificação de escopo, constatações filtradas, parágrafo executivo, parágrafo para engenheiros (os tickets e a reflexão também contam).
EX057. Como ele se manteve dentro das ROE, incluindo as exclusões e pelo menos um exemplo de pausar para perguntar.
EX058. Limites honestos orientam o próximo curso e mostram ao supervisor o que ainda não deve ser atribuído sem supervisão.
EX059. Nunca usar código de exploração contra sistemas reais; este curso não o fornece.
EX060. Curso 043: segurança de IA.