Capítulo 9 — Comunicação, ética e relatórios
Mapa da aula
Aula 09 publicada. Mapa, exemplo, EX041.
flowchart TD
N0["9.1 Duas vozes"]
N1["9.2 Pressão"]
N2["9.3 Tratamento responsável"]
N3["9.4 Estrutura do relatório"]
N4["9.5 Linguagem de testes guiados por ameaças"]
N5["9.6 Observações positivas"]
N6["9.7 Recomendações claras"]
N7["9.8 Revisão antes do envio"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX041"]
Desenho lógico
flowchart LR
N0["9.1 Duas vozes"]
N1["9.2 Pressão"]
N2["9.3 Tratamento responsável"]
N3["9.4 Estrutura do relatório"]
N4["9.5 Linguagem de testes guiados por ameaças"]
N5["9.6 Observações positivas"]
N6["9.7 Recomendações claras"]
N7["9.8 Revisão antes do envio"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX041"]
[9.1 Duas vozes]
|
v
[9.2 Pressão]
|
v
[9.3 Tratamento responsável]
|
v
[9.4 Estrutura do relatório]
|
v
[9.5 Linguagem de testes guiados por ameaças]
|
v
[9.6 Observações positivas]
|
v
[9.7 Recomendações claras]
|
v
[9.8 Revisão antes do envio]
|
v
[Exemplo resolvido] --> [Exercício EX041]
Objetivos de aprendizagem
Você vai (1) escrever para executivos e para engenheiros; (2) lidar com pressão para esconder constatações; (3) aplicar a ética da divulgação responsável; (4) estruturar o relatório da HCU.
9.1 Duas vozes
Os executivos recebem risco, associados afetados, decisões e datas. Os engenheiros recebem reprodução, evidências e orientação de correção. Misturar as duas coisas produz um relatório que ninguém termina de ler. Leo escreve dois parágrafos para a constatação do cookie-flag, que compartilham os mesmos fatos. O parágrafo para o CISO trata do risco às sessões dos associados, pede uma única decisão, a data de 1º de novembro para a correção do cookie, e nomeia a equipe de segurança de aplicações como responsável. O parágrafo para a segurança de aplicações traz os passos de reprodução e a correção com Secure e HttpOnly, citando o cabeçalho de resposta da homologação e os atributos de Set-Cookie que estão faltando.
9.2 Pressão
Alguém pode pedir que uma constatação seja retirada antes de um exame. A resposta de Leo: as constatações ficam; os responsáveis podem acrescentar uma resposta da gestão. A ética vence a conveniência. Os pedidos costumam chegar nas semanas anteriores ao exame anual, quando os responsáveis temem um item aberto na lista dos examinadores. No exemplo resolvido, o pedido veio de um gerente de produto e dizia respeito à constatação de open redirect. Leo manteve a constatação, avisou o supervisor no mesmo dia e se ofereceu para colocar o plano de correção do gerente ao lado da constatação, como resposta da gestão. O registro escrito do pedido vai para as notas do engajamento, para que os examinadores vejam que a constatação sobreviveu à pressão; suavizar fatos sob pressão destrói a confiança quando os examinadores perguntam depois.
9.3 Tratamento responsável
Não publique constatações da HCU. Não as compartilhe com amigos. Bugs de fornecedores encontrados em software de terceiros seguem o caminho de divulgação do fornecedor somente com aprovação do CISO. As constatações da HCU ficam dentro do público acordado: a lista de distribuição do relatório nomeia o CISO, o responsável de produto do internet banking, a segurança de aplicações e a equipe de rede, e ninguém mais. Amigos e publicações públicas nunca são público. Se Leo encontrar um bug em um produto de fornecedor usado na HCU, ele para, registra o bug nas notas do ENG-440 com o produto e a versão e pergunta ao CISO antes de usar qualquer caminho de divulgação ao fornecedor.
9.4 Estrutura do relatório
Resumo executivo; escopo e métodos; constatações por severidade; observações positivas; plano de reteste; apêndices. O relatório do ENG-440 de Leo segue essa ordem para que o CISO leia primeiro o resumo e as decisões, enquanto os engenheiros abrem os apêndices em busca das evidências. O resumo executivo cabe em uma página e termina com as decisões que o CISO precisa tomar neste mês. Cada apêndice é referenciado pelo número da constatação, para que um engenheiro vá direto às evidências. Omitir as observações positivas ou o plano de reteste deixa os líderes sem equilíbrio ou sem próximo passo.
9.5 Linguagem de testes guiados por ameaças
Se a HCU vier a patrocinar um teste no estilo CBEST ou TIBER-EU, os relatórios também descreverão cenários e lacunas de detecção, ainda sem publicar detalhes de exploração. Os relatórios atuais de Leo ficam dentro da revisão web e de VPN da HCU. A linha de escopo do relatório do ENG-440 diz revisão de configuração web e de VPN, palavra por palavra como nas ROE assinadas, para que os examinadores que leem as notas de método não vejam um exercício guiado por ameaças que a HCU não patrocinou. Chamar o ENG-440 de guiado por ameaças também implicaria trabalho de inteligência e um white team que a HCU nunca organizou. Leo mantém a linguagem do CBEST e do TIBER-EU fora do ENG-440 até que o CISO financie esse programa separadamente.
9.6 Observações positivas
Os relatórios também devem registrar o que funcionou: MFA nos logins da equipe na VPN, resposta rápida do SOC à mensagem de início, isolamento limpo da homologação. As observações positivas mostram equilíbrio e dizem aos líderes quais investimentos estão dando retorno; líderes que só veem falhas não conseguem dizer quais investimentos manter. Leo limita a observação sobre a VPN aos logins comuns da equipe, porque a constatação da senha de administrador compartilhada mostra que o caminho administrativo ainda não exigia um segundo fator. Cada observação positiva traz evidências, como o tempo que o SOC levou para confirmar a mensagem de início. Manter a homologação isolada é um investimento que o CISO consegue defender na época do orçamento, porque o relatório mostra que ele se sustentou.
9.7 Recomendações claras
A recomendação de cada constatação nomeia uma mudança concreta, o papel do responsável e uma data sugerida. "Melhorar a segurança" não é recomendação; "configurar Secure e HttpOnly no cookie de sessão da aplicação de internet banking até 1º de novembro, responsável: segurança de aplicações" é. Linhas vagas do tipo "melhorar a segurança" são reescritas antes de o relatório sair da equipe, e cada linha reescrita nomeia o responsável e a mudança, para que os tickets possam ser abertos sem uma reunião de decodificação. O ticket aberto a partir da linha do cookie é o T-15, que só ficou pronto para fechamento depois que o responsável e a verificação que o lab_ticket apontou como ausentes foram preenchidos.
9.8 Revisão antes do envio
Um colega lê o resumo executivo em busca de linguagem de culpa, decisões ausentes e jargão não explicado. Essa revisão leva cerca de dez minutos e acontece antes de o resumo chegar ao CISO. Detectar linguagem de culpa, decisões ausentes e jargão antes do envio evita reescrever tudo na véspera de uma reunião com os examinadores. O revisor é alguém de fora do ENG-440, para que o resumo seja lido por uma pessoa que não acompanhou os testes. Os comentários entram no rascunho como alterações controladas, e Leo resolve cada um antes de o relatório sair da equipe.
Exemplo resolvido (HCU sintética)
Um gerente de produto pede a Leo que retire a constatação de open redirect até depois do exame. Leo recusa, oferece-se para incluir o plano de correção do gerente ao lado da constatação e informa o supervisor.
Caso sintético — Harborline Credit Union (HCU). A cooperativa de crédito, Leo Okonkwo e todos os números foram inventados para fins didáticos.
Erros e limites
Políticas e leis locais variam; siga a autorização da HCU e a sua jurisdição. Este livro nunca autoriza testes em sistemas reais.
Exercícios
- EX041 — Frase executiva. Escreva uma frase executiva sobre o open redirect no internet banking. Rubrica: 3 = risco aos associados + pedido de decisão; 2 = parcial; 1 = só jargão; 0 = nada.
- EX042 — Detalhe para engenheiros. De quais três pontos técnicos os engenheiros precisam? Rubrica: 3 = reprodução, referência às evidências, orientação de correção; 2 = dois; 1 = um; 0 = nada.
- EX043 — Pedido de retirada. Como Leo responde a um pedido para retirar uma constatação? Rubrica: 3 = recusa; oferece resposta da gestão; avisa o supervisor; 2 = recusa; 1 = retira; 0 = nada.
- EX044 — Blog público. Leo pode escrever em um blog sobre as constatações da HCU depois do teste? Rubrica: 3 = não; são confidenciais nos termos do acordo; 2 = não; 1 = sim, anonimizadas à vontade; 0 = nada.
- EX045 — Ordem do relatório. Ordene: apêndices, resumo executivo, constatações. Rubrica: 3 = resumo, constatações, apêndices; 2 = parcial; 1 = errado; 0 = nada.
Síntese
Diga a verdade na voz certa; nunca retire constatações sob pressão; mantenha os resultados dentro do acordo.
Continue estudando — capítulo 09 de 12
← Capítulo 08 (rascunho) · Índice de capítulos do curso · Capítulo 10 (rascunho) →