Capítulo 8 — Análise supervisionada de casos
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX036.
flowchart TD
N0["8.1 O dossiê do caso"]
N1["8.2 Fatos versus suposições"]
N2["8.3 Próximos passos dentro das ROE"]
N3["8.4 Escalonamento"]
N4["8.5 Rótulo do ATT&CK"]
N5["8.6 Escrever para o dossiê do caso"]
N6["8.7 Hora de escalar"]
N7["8.8 Colaboração com o SOC no caso"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX036"]
Desenho lógico
flowchart LR
N0["8.1 O dossiê do caso"]
N1["8.2 Fatos versus suposições"]
N2["8.3 Próximos passos dentro das ROE"]
N3["8.4 Escalonamento"]
N4["8.5 Rótulo do ATT&CK"]
N5["8.6 Escrever para o dossiê do caso"]
N6["8.7 Hora de escalar"]
N7["8.8 Colaboração com o SOC no caso"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX036"]
[8.1 O dossiê do caso]
|
v
[8.2 Fatos versus suposições]
|
v
[8.3 Próximos passos dentro das ROE]
|
v
[8.4 Escalonamento]
|
v
[8.5 Rótulo do ATT&CK]
|
v
[8.6 Escrever para o dossiê do caso]
|
v
[8.7 Hora de escalar]
|
v
[8.8 Colaboração com o SOC no caso]
|
v
[Exemplo resolvido] --> [Exercício EX036]
Objetivos de aprendizagem
Você vai (1) analisar um dossiê de caso sintético da HCU; (2) separar fatos de suposições; (3) propor os próximos passos autorizados; (4) escalar quando necessário.
8.1 O dossiê do caso
Um pacote sintético contém: um trecho das ROE, três constatações validadas, o registro de atividades e uma nota de que um funcionário reutilizou a senha da VPN em um e-mail pessoal (relatado pelo próprio funcionário). O pacote é rotulado ENG-440 e guardado no cofre, e registra fatos, suposições e ações em linhas rotuladas. A nota sobre a reutilização de senha é marcada como relatada pelo funcionário, e não como algo que Leo descobriu mexendo no e-mail pessoal, que continua fora do escopo. O relatório vai para o CISO como uma questão de conscientização da equipe, porque a reutilização envolve contas fora do engajamento.
8.2 Fatos versus suposições
Fato: a reutilização de senha foi relatada. Suposição: um atacante já tem a senha. Leo rotula as suposições com clareza: seu dossiê diz Fato para o relato e Suposição para qualquer afirmação de que um atacante já tem a senha. As suposições podem orientar os próximos passos, mas nunca são escritas como constatações confirmadas. A linha de Suposições da nota do caso diz que ainda não há nenhuma sobre abuso externo, que é tudo o que as evidências sustentam. Se a revisão de logs do SOC mostrar mais tarde sessões incomuns na VPN, a suposição pode passar a Fato, com o trecho do log anexado.
8.3 Próximos passos dentro das ROE
Forçar a redefinição da senha da VPN dessa conta; verificar os logs da VPN em busca de sessões incomuns; não tocar no e-mail pessoal (fora do escopo). Leo solicita a redefinição da senha da VPN dessa conta e pede ao SOC que verifique os logs em busca de sessões incomuns. O pedido de redefinição passa por um ticket da central de serviços de TI vinculado ao ENG-440, para que a linha do tempo fique em um só lugar. O e-mail pessoal está fora do escopo, por isso ele não contata o provedor nem pede os logs dessa caixa de entrada. O funcionário que relatou a reutilização troca ele mesmo a senha pessoal; a HCU nunca toca nessa conta.
8.4 Escalonamento
O risco de exposição de dados de associados e a reutilização de senhas em serviços pessoais vão para o CISO no mesmo dia. O escalonamento no mesmo dia dá ao CISO tempo para ordenar redefinições de senha da VPN e comunicações antes que o risco se espalhe para além do caso de reutilização relatado pelo funcionário; esperar a reunião semanal de constatações seria lento demais para uma exposição de dados de associados. O CISO recebe a nota por telefone e por e-mail antes do fim do expediente. Leo escala com uma linha do tempo de uma página com os fatos, as suposições rotuladas como suposições e a próxima ação segura, e não apenas com frustração.
8.5 Rótulo do ATT&CK
A reutilização de senha que permite acesso à VPN corresponde a T1078 Valid Accounts na busca de detecções do SOC. Leo acrescenta T1078 à nota do caso para que o SOC possa pesquisar com um nome comum. O rótulo descreve o comportamento; ele não prova que um atacante externo esteve envolvido. O SOC usa o nome da técnica para puxar suas detecções de T1078 já existentes para a VPN, em vez de escrever novas às pressas. Se a busca não encontrar nada, o relatório diz que não foram vistas sessões incomuns no período revisado, e não que a conta nunca foi usada indevidamente.
8.6 Escrever para o dossiê do caso
As notas de caso usam registros de horário, identificadores de ticket e os rótulos Fato/Suposição/Ação. Uma narrativa livre serve para o resumo, mas são as linhas rotuladas que o CISO e os auditores conseguem percorrer em um minuto durante um incidente. Durante o incidente de reutilização de senha, cada linha rotulada começa com um registro de horário e o identificador do ticket ENG-440, para que o CISO ordene fatos, suposições e ações de relance, sem ler antes uma longa narrativa. Leo ainda escreve um resumo curto para quem precisa da história; ele tem três ou quatro frases e fica acima das linhas rotuladas, nunca no lugar delas.
8.7 Hora de escalar
Leo usa uma regra simples: se fundos de associados, dados pessoais em grande escala ou sistemas de segurança física puderem ser afetados, escale em até uma hora. Itens de menor impacto seguem o processo normal de constatações. A reutilização de senha que poderia abrir a VPN entra nessa regra de uma hora, porque dados de associados poderiam vir em seguida. O relógio começa quando Leo lê o relato do funcionário, e a ligação para o CISO é registrada com o horário em relação a esse início. O banner desatualizado de baixo impacto na homologação entra no relatório do ENG-440 com o prazo normal da equipe de segurança de aplicações, e não no telefone do CISO.
8.8 Colaboração com o SOC no caso
Leo compartilha a técnica do ATT&CK e o identificador da conta com o SOC, para que ele possa fazer a busca, mas não cola dados pessoais de associados no ticket. As consultas de busca usam o identificador da conta da VPN e o período do ENG-440. O ticket do SOC contém o identificador da conta, o período e T1078, e nada que identifique um associado: nomes, documentos de identidade e números completos de conta ficam fora do ticket do SOC e das capturas de tela de chat. As capturas de tela da busca são recortadas às colunas de sessão antes de entrarem no cofre.
Exemplo resolvido (HCU sintética)
A nota de caso de Leo: "Fatos: relato de funcionário sobre a senha da VPN reutilizada no e-mail pessoal; constatações F1–F3 validadas. Suposições: ainda nenhuma sobre abuso externo. Ações: redefinição de senha, revisão de logs, briefing ao CISO. Fora do escopo: conteúdo do e-mail pessoal."
Caso sintético — Harborline Credit Union (HCU). A cooperativa de crédito, Leo Okonkwo e todos os números foram inventados para fins didáticos.
Erros e limites
Políticas e leis locais variam; siga a autorização da HCU e a sua jurisdição. Este livro nunca autoriza testes em sistemas reais.
Exercícios
- EX036 — Extrair fatos. Liste dois fatos do dossiê do caso. Rubrica: 3 = dois itens claramente factuais; 2 = um; 1 = suposição tratada como fato; 0 = nada.
- EX037 — Rótulo de suposição. Reescreva "os atacantes com certeza têm a senha" como uma suposição rotulada. Rubrica: 3 = incerteza rotulada; 2 = parcial; 1 = continua categórica; 0 = nada.
- EX038 — Ação fora do escopo. Por que não ler o e-mail pessoal do funcionário? Rubrica: 3 = fora do escopo / sem autorização / privacidade; 2 = parcial; 1 = deveria ler; 0 = nada.
- EX039 — Escalar no mesmo dia. O que dispara o escalonamento ao CISO no mesmo dia neste caso? Rubrica: 3 = risco da reutilização de credenciais para a VPN/serviços dos associados; 2 = parcial; 1 = vago; 0 = nada.
- EX040 — ATT&CK. Qual nome de técnica ajuda o SOC a buscar detecções para este caso? Rubrica: 3 = T1078 Valid Accounts; 2 = só o nome; 1 = errado; 0 = nada.
Síntese
O trabalho de caso separa fatos de suposições, age apenas dentro do escopo e escala o risco real no mesmo dia.
Continue estudando — capítulo 08 de 12
← Capítulo 07 (rascunho) · Índice de capítulos do curso · Capítulo 09 (rascunho) →