Capítulo 5 — Arquitetura e engenharia de segurança: ferramentas e interpretação

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX021.

flowchart TD
  N0["5.1 Ferramentas disponíveis"]
  N1["5.2 Interpretar a saída"]
  N2["5.3 Leituras equivocadas comuns"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX021"]

Desenho lógico

flowchart LR
  N0["5.1 Ferramentas disponíveis"]
  N1["5.2 Interpretar a saída"]
  N2["5.3 Leituras equivocadas comuns"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX021"]

[5.1 Ferramentas disponíveis]
    |
    v
[5.2 Interpretar a saída]
    |
    v
[5.3 Leituras equivocadas comuns]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX021]

Objetivos de aprendizagem

Você vai (1) usar ferramentas simples para examinar acessos e configurações; (2) interpretar corretamente a saída das ferramentas; (3) evitar leituras equivocadas comuns.

5.1 Ferramentas disponíveis

Owen não precisa de ferramentas avançadas para começar. Ele usa os relatórios administrativos do provedor de identidade, a página de recomendações de segurança do provedor de nuvem, a exportação de usuários do portal de fornecedores e uma planilha. Kwame também lhe dá acesso somente de leitura ao scanner de vulnerabilidades que a Thornbury já roda todo mês contra seus serviços públicos. Ines o incentiva a aprender o que as ferramentas existentes conseguem mostrar antes de pedir novas, porque as organizações muitas vezes já possuem capacidades que ninguém tem tempo de usar bem. Ele lista cada ferramenta, seu responsável e o acesso que tem a ela.

5.2 Interpretar a saída

O scanner relata quarenta achados no portal do inquilino. A primeira reação de Owen é alarme, mas ele lê cada um. A maioria é informativa, como os banners de versão do servidor. Dois são classificados como altos: uma biblioteca desatualizada e uma configuração fraca de TLS num antigo subdomínio de teste que ainda aponta para um servidor ativo. Ele confirma com o desenvolvedor que o subdomínio de teste não é usado e pede que seja removido. Interpretar significa conferir o que cada achado de fato significa no contexto, em vez de contar achados ou confiar apenas nos rótulos de severidade.

5.3 Leituras equivocadas comuns

Owen reúne as leituras equivocadas que quase fez. Uma página de nuvem mostrando uma secure score alta não significa que os dados dos inquilinos estejam seguros; ela mede configurações contra uma lista do fornecedor. Um relatório de identidade sem logins arriscados pode refletir um recurso desligado. Um scanner sem achados num servidor pode significar que ele não conseguiu alcançá-lo. Para cada ferramenta, ele anota o que ela mede, o que ela não consegue ver e como confirmar um resultado surpreendente. Esse hábito torna seus relatórios posteriores muito mais confiáveis.

Exemplo resolvido

Owen usa as ferramentas existentes, interpreta quarenta achados do scanner para encontrar dois problemas reais e registra as leituras equivocadas comuns de três ferramentas.

Caso sintético. As ferramentas e os achados são sintéticos.

Erros e limites

Os rótulos de severidade são genéricos. As lacunas de cobertura das ferramentas passam despercebidas com facilidade.

Exercícios

• EX021 — Capacidade existente. Por que aprender primeiro as ferramentas existentes?

  Mostrar critérios de avaliação

  Rubrica: 3 = as organizações muitas vezes possuem capacidades não usadas;; 2 = já possuídas;; 1 = vago;; 0 = nenhuma.

• EX022 — Achados reais. Que dois achados do scanner importavam?

  Mostrar critérios de avaliação

  Rubrica: 3 = uma biblioteca desatualizada e TLS fraco num antigo subdomínio de teste ativo;; 2 = dois;; 1 = vago;; 0 = nenhuma.

• EX023 — Secure score. O que uma secure score alta na nuvem não significa?

  Mostrar critérios de avaliação

  Rubrica: 3 = que os dados dos inquilinos estejam seguros;; 2 = não é segurança;; 1 = seguro;; 0 = nenhuma.

• EX024 — Varredura vazia. O que pode significar nenhum achado num servidor?

  Mostrar critérios de avaliação

  Rubrica: 3 = o scanner não conseguiu alcançá-lo;; 2 = alcançabilidade;; 1 = seguro;; 0 = nenhuma.

• EX025 — Anotações das ferramentas. Que três coisas Owen registra para cada ferramenta?

  Mostrar critérios de avaliação

  Rubrica: 3 = o que mede, o que não consegue ver, como confirmar surpresas;; 2 = duas;; 1 = vago;; 0 = nenhuma.

Síntese

A saída das ferramentas precisa ser interpretada no contexto, com notas claras sobre o que cada ferramenta mede e o que deixa passar.