◇ OpenCyber Academy
Profissionalizante · Capítulo 4 · Português

Capítulo 4 — Métodos centrais

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 4 — Métodos centrais

Mapa da aula

Aula 04 publicada. Mapa, exemplo, EX016.

flowchart TD
  N0["4.1 A espinha dorsal do PTES"]
  N1["4.2 Descoberta versus validação"]
  N2["4.3 Exploração restrita"]
  N3["4.4 Associar métodos às ROE"]
  N4["4.5 Modelagem de ameaças leve"]
  N5["4.7 O relatório como etapa do método"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX016"]

Desenho lógico

flowchart LR
  N0["4.1 A espinha dorsal do PTES"]
  N1["4.2 Descoberta versus validação"]
  N2["4.3 Exploração restrita"]
  N3["4.4 Associar métodos às ROE"]
  N4["4.5 Modelagem de ameaças leve"]
  N5["4.7 O relatório como etapa do método"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX016"]

[4.1 A espinha dorsal do PTES]
    |
    v
[4.2 Descoberta versus validação]
    |
    v
[4.3 Exploração restrita]
    |
    v
[4.4 Associar métodos às ROE]
    |
    v
[4.5 Modelagem de ameaças leve]
    |
    v
[4.7 O relatório como etapa do método]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX016]

Objetivos de aprendizagem

Você vai (1) descrever as etapas do PTES em ordem; (2) separar descoberta de validação; (3) explicar por que a exploração é opcional e restrita; (4) escolher métodos compatíveis com as ROE da HCU.

4.1 A espinha dorsal do PTES

As etapas do PTES dão uma ordem comum: pré-engajamento (definição de escopo), coleta de inteligência, modelagem de ameaças, análise de vulnerabilidades, exploração, pós-exploração e relatório. As ROE atuais da HCU permitem análise e testes web autenticados, não exploração ampla. Por isso, a tabela de métodos de Leo para na coleta de inteligência, na análise de vulnerabilidades e nos testes web autenticados na homologação, e marca cada etapa do PTES como permitida, não permitida ou fora do escopo, para que o CISO veja onde o ENG-440 termina. Exploração e pós-exploração ficam fora do plano até que as ROE sejam reescritas e assinadas de novo; avançar porque uma ferramenta facilitou quebraria a confiança do SOC. Usar os nomes do PTES ajuda o CISO e as empresas externas a compartilhar um único vocabulário.

4.2 Descoberta versus validação

A descoberta lista problemas possíveis; a validação os confirma com evidências dentro das regras. A saída de uma ferramenta, sozinha, é descoberta. Uma configuração incorreta confirmada, com captura de tela e impacto de negócio, é uma constatação. Um outdated-banner com confiança 0.7 é descoberta até que Leo confirme a versão, a exposição e o impacto com evidências; ele compara o banner com o boletim do fornecedor para aquela versão antes de decidir se aquilo chega a ser uma constatação. Só então ele vira uma constatação, com severidade e recomendação. No laboratório do capítulo 5, um FLOOR de 0.6 mantém open-redirect em 0.9, outdated-banner em 0.7 e cookie-flag em 0.85, mas, sem evidência e sem declaração de impacto, um item continua fora da lista de constatações.

4.3 Exploração restrita

Se as ROE vierem a permitir a demonstração de uma falha, use o menor passo que mostre o impacto, em contas acordadas, com parada se algo inesperado acontecer. Este curso continua sem ensinar desenvolvimento de exploits. Se a HCU vier a permitir uma prova de impacto, Leo usa uma conta de teste acordada que contém apenas dados sintéticos, para que uma prova nunca mostre o saldo de um associado real. Ele dá o menor passo que mostra o problema e não inventa passos além das ROE. Um bloqueio de conta, um vazamento de dados ou um host que não seja de homologação provoca parada imediata e uma ligação para o contato de emergência.

4.4 Associar métodos às ROE

O plano de Leo associa cada método a uma linha das ROE. O que não estiver associado fica de fora. As verificações autenticadas do WSTG na homologação correspondem aos métodos permitidos e aos sistemas no escopo. O password spraying não tem linha, então fica de fora; ele também correria o risco de bloquear contas reais de associados na semana do pagamento, o que é um dos motivos pelos quais as ROE o omitem. As sondagens ao AS/400 têm uma linha de exclusão, então ficam de fora. Cada linha da tabela de métodos de Leo traz a cláusula das ROE em que se apoia, para que um revisor confira a associação linha por linha. Métodos não associados não ganham uma execução de teste; eles esperam uma atualização por escrito das ROE, e o ENG-440 não ganha pontos extras por criatividade fora da tabela.

4.5 Modelagem de ameaças leve

Mesmo sem um cenário completo de red team, nomeie os atores prováveis (senha de associado roubada, phishing contra a equipe), para que as verificações se concentrem no que importa para a HCU. No internet banking, esses são os atores que Leo nomeia. Esse foco direciona as verificações para o tratamento de sessões, a política de senhas e o MFA da VPN, em vez de peculiaridades obscuras de protocolo que nenhum ator provável usaria contra a HCU. O uso indevido por pessoas internas e os ataques ao AS/400 ficam fora deste modelo leve porque o ENG-440 não pode testá-los. Nomear essas exclusões no modelo permite que o relatório explique por que uma verificação estava ou não no escopo quando os examinadores perguntarem.

4.6 Limites da coleta de inteligência

O OSINT sobre a HCU fica restrito a páginas públicas e documentos publicados. Raspar fóruns de associados, comprar dados vazados ou se passar por funcionários está fora, a menos que as ROE permitam explicitamente um cenário de engenharia social — o que as ROE atuais da HCU não fazem. A coleta de Leo se limita ao site público da HCU e aos documentos publicados que qualquer pessoa consegue abrir sem entrar no internet banking. Comprar dados vazados ou raspar fóruns de associados reuniria inteligência fora das ROE e poderia expor pessoas reais. Ele não faz coleta em ritmos que pareçam abuso e registra o que coletou. Se algum dia for necessário um cenário de engenharia social, ele terá sua própria aprovação por escrito.

4.7 O relatório como etapa do método

O PTES termina com o relatório porque constatações que nunca chegam aos responsáveis não mudam nada. Leo reserva tempo para a redação e a revisão dentro da janela do engajamento, em vez de tratar o relatório como hora extra não paga depois dos testes. No ENG-440, ele bloqueia a última parte da janela de sábado para redação e revisão por pares, e os testes que avançam sobre esse tempo reservado são interrompidos, em vez de espremer a revisão. Se a redação passar do tempo, a validação inacabada vira uma lacuna explícita no relatório, e não uma alegação silenciosa de cobertura total. Constatações que ficam só nas anotações dele até segunda-feira não ajudam ninguém antes do exame; o relatório é uma etapa do método com relógio, não um detalhe posterior.

Exemplo resolvido (HCU sintética)

A tabela de métodos de Leo: OSINT em páginas públicas da HCU (permitido); verificações autenticadas do WSTG na homologação do internet banking (permitido); password spraying (proibido); sondagens ao AS/400 (fora do escopo).

Caso sintético — Harborline Credit Union (HCU). A cooperativa de crédito, Leo Okonkwo e todos os números foram inventados para fins didáticos.

Erros e limites

Políticas e leis locais variam; siga a autorização da HCU e a sua jurisdição. Este livro nunca autoriza testes em sistemas reais.

Exercícios

Síntese

Os métodos seguem a ordem do PTES e as ROE; a descoberta só vira constatação depois de evidências validadas.

Continue estudando — capítulo 04 de 12

← Capítulo 03 (rascunho) · Índice de capítulos do curso · Capítulo 05 (rascunho) →