Capítulo 3 — Prática autorizada e tratamento de evidências
Mapa da aula
Aula 03 publicada. Mapa, exemplo, EX011.
flowchart TD
N0["3.1 Autorização"]
N1["3.2 O mínimo necessário de evidências"]
N2["3.3 Armazenamento e rotulagem"]
N3["3.4 Constatações sensíveis"]
N4["3.5 Informações de fornecedores"]
N5["3.6 Caso resolvido"]
N6["3.7 Tarefa prática"]
N7["3.9 Retenção e exclusão"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX011"]
Desenho lógico
flowchart LR
N0["3.1 Autorização"]
N1["3.2 O mínimo necessário de evidências"]
N2["3.3 Armazenamento e rotulagem"]
N3["3.4 Constatações sensíveis"]
N4["3.5 Informações de fornecedores"]
N5["3.6 Caso resolvido"]
N6["3.7 Tarefa prática"]
N7["3.9 Retenção e exclusão"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX011"]
[3.1 Autorização]
|
v
[3.2 O mínimo necessário de evidências]
|
v
[3.3 Armazenamento e rotulagem]
|
v
[3.4 Constatações sensíveis]
|
v
[3.5 Informações de fornecedores]
|
v
[3.6 Caso resolvido]
|
v
[3.7 Tarefa prática]
|
v
[3.9 Retenção e exclusão]
|
v
[Exemplo resolvido] --> [Exercício EX011]
Objetivos de aprendizagem
Você vai (1) obter e respeitar a autorização por escrito; (2) coletar apenas as evidências necessárias; (3) guardar e rotular as evidências adequadamente; (4) tratar constatações sensíveis; e (5) trabalhar com informações confidenciais de fornecedores.
3.1 Autorização
Mesmo as atividades "inofensivas" — ler configurações, executar uma ferramenta de inventário, pedir logs — precisam de autorização por escrito do responsável pelo sistema, declarando sistemas, métodos, janela de tempo, tratamento dos dados e contatos. Os testes ativos que alteram a negociação são feitos apenas em laboratórios isolados, pela equipe técnica.
Na MTI, o ticket SEC-118 é o modelo: ele nomeia os servidores, o método somente leitura, as datas, o repositório e um contato. Guarde uma cópia de cada autorização com as evidências que ela produziu e interrompa o trabalho quando a janela se fechar, mesmo que a tarefa não tenha terminado.
3.2 O mínimo necessário de evidências
Colete o que responde à pergunta: nomes de algoritmos, versões, detalhes de certificados, datas. Não colete conteúdo de mensagens nem dados de clientes. Prefira exportações de configuração e resumos a capturas brutas.
Nos servidores SFTP das resseguradoras, isso significa uma exportação da versão do OpenSSH e das configurações de troca de chaves, e não amostras dos arquivos transferidos. Se uma equipe oferecer mais do que você precisa, recuse educadamente e registre que recusou. Menos evidências são mais fáceis de proteger e mais simples de apagar quando o programa terminar. Anote o que você escolheu não coletar.
3.3 Armazenamento e rotulagem
Guarde as evidências no repositório combinado, com rótulos: fonte, data, coletor, sistema, classificação. Restrinja o acesso; inventários de fraquezas são sensíveis. Mantenha um registro de quem acessou o quê.
Use os mesmos campos de rótulo em todos os itens, para que as buscas funcionem entre as fontes: uma exportação, um questionário e um resumo de logs devem todos mostrar quem os coletou e quando. Revise o registro de acessos todo mês e remova as pessoas que não precisam mais de acesso. Evidências que não podem ser rastreadas até uma fonte e uma data devem ser classificadas como U até que possam.
3.4 Constatações sensíveis
Se encontrar algo grave — uma chave privada exposta, um sistema sem patch com uma vulnerabilidade conhecida —, comunique imediatamente pelo processo de segurança; não investigue mais por conta própria.
Registre o que viu, quando e onde, e repasse ao contato de incidentes nomeado na sua autorização. Não copie uma chave descoberta nem teste se ela funciona; isso estaria fora da sua autorização e poderia danificar as evidências. Depois, anote no rastreador que o item aguarda o processo de segurança.
3.5 Informações de fornecedores
Os fornecedores podem compartilhar roteiros sob confidencialidade. Registre-os como declarações do fornecedor, respeite o acordo e não os encaminhe para fora do grupo de pessoas que precisam deles.
Guarde-os com acesso restrito, como a MTI fez com o roteiro sob NDA, e classifique as alegações que eles contêm como D até serem observadas. Ao resumir para os executivos, refira-se a um roteiro pela sua data e situação, sem citar detalhes confidenciais. Se um fornecedor pedir que o seu roteiro seja apagado, siga o acordo e anote a exclusão no registro de evidências.
3.6 Caso resolvido
O coordenador da MTI pede exportações de configuração dos servidores SFTP das resseguradoras (nome no inventário: insurer-sftp). A autorização (ticket SEC-118) cobre exportação somente leitura, de 1 a 15 de outubro, resultados guardados no repositório de evidências de segurança, contato: o líder de infraestrutura. A exportação mostra a versão do OpenSSH e as configurações de troca de chaves; nenhum conteúdo de arquivo é tocado. O roteiro de um fornecedor recebido sob NDA é guardado com acesso restrito e rotulado como "declaração do fornecedor, confidencial".
Repare no que fez isso funcionar: o escopo era estreito, o método era somente leitura, a janela tinha data de término e o contato foi nomeado com antecedência. O roteiro foi útil, mas permaneceu confidencial. Os dois itens podem ser rastreados depois pelos seus rótulos.
3.7 Tarefa prática
Escreva um pedido de autorização e um rótulo de evidência para uma atividade de inventário.
Escolha um tipo real de atividade, como uma exportação de certificados da AC interna da MTI. O pedido deve nomear sistemas, método, janela de tempo, armazenamento, tratamento dos dados e um contato, como o SEC-118. O rótulo deve informar fonte, data, coletor, sistema e classificação. Pergunte a um colega se um responsável pelo sistema conseguiria aprovar o seu pedido sem fazer uma única pergunta de acompanhamento. Depois revise o pedido uma vez e guarde as duas versões para mostrar o que você melhorou.
3.8 Erros comuns e limites
- Coletar mais dados do que o necessário.
- Evidências sem rótulos.
- Compartilhar amplamente os roteiros dos fornecedores.
Cada erro tem um custo. O excesso de dados aumenta o que precisa ser protegido e depois apagado. Evidências sem rótulo não sustentam uma classificação nem podem ser rastreadas numa auditoria, então o trabalho precisa ser repetido. Um roteiro compartilhado além do acordo pode violar um NDA e prejudicar a relação com o fornecedor, da qual dependem vários itens do rastreador da MTI. Confira cada evidência quanto aos três antes de arquivá-la. Corrija-os antes de arquivar.
3.9 Retenção e exclusão
As evidências têm o seu próprio tempo de vida. Combine por quanto tempo as exportações de inventário, os questionários e os logs são mantidos — normalmente pela duração do programa mais um período de auditoria — e apague-os com segurança depois, mantendo apenas os resultados agregados e os registros de decisão. Registre as exclusões no registro de evidências. Manter as exportações brutas para sempre aumenta o dano se o repositório for comprometido, porque um mapa completo das fraquezas criptográficas de uma organização é valioso para os atacantes.
Quando alguém deixar o fluxo de trabalho, remova prontamente o seu acesso ao repositório de evidências e revise o que a pessoa podia ver; as revisões de acesso fazem parte do tratamento de evidências, não são um detalhe posterior.
Exercícios
- EX011 — Elementos da autorização. Liste cinco elementos de uma autorização por escrito. Rubrica: 3 = sistemas, métodos, janela, tratamento dos dados, contatos.
- EX012 — Mínimo de evidências. Para um inventário de SFTP, liste três coisas a coletar e duas a não coletar. Rubrica: 3 = listas justificadas.
- EX013 — Rótulo. Escreva um rótulo de evidência para a exportação do SFTP. Rubrica: 3 = fonte, data, coletor, sistema, classificação.
- EX014 — Constatação grave. O que você faz quando encontra uma chave privada numa exportação? Rubrica: 3 = parar, comunicar, não usar, documentar.
- EX015 — Roteiro sob NDA. Como você registra e compartilha um roteiro de fornecedor sob NDA? Rubrica: 3 = rótulo de declaração do fornecedor, acesso restrito, necessidade de saber.
Síntese
Um tratamento de evidências autorizado, mínimo e bem rotulado protege a organização, os seus clientes e os seus fornecedores, e mantém o fluxo de trabalho confiável.
Continue estudando — capítulo 03 de 12
← Capítulo 02 · Índice de capítulos do curso · Capítulo 04 →
Siga para a próxima lição escrita.