Capítulo 2 — Escopo, permissão e prática segura

Capítulo 2 — Escopo, permissão e prática segura

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX014.

flowchart TD
  N0["2.1 Autorização e escopo"]
  N1["Visual 2 — o limite da autorização"]
  N2["2.2 Por que só dar uma conferida é perigoso aqui"]
  N3["2.4 Relatando bem"]
  N4["2.5 Compartilhando informações com cuidado: TLP"]
  N5["2.6 Lugares seguros para praticar"]
  N6["2.8 Atividade prática"]
  N7["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX014"]

Desenho lógico

flowchart LR
  N0["2.1 Autorização e escopo"]
  N1["Visual 2 — o limite da autorização"]
  N2["2.2 Por que só dar uma conferida é perigoso aqui"]
  N3["2.4 Relatando bem"]
  N4["2.5 Compartilhando informações com cuidado: TLP"]
  N5["2.6 Lugares seguros para praticar"]
  N6["2.8 Atividade prática"]
  N7["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX014"]

[2.1 Autorização e escopo]
    |
    v
[Visual 2 — o limite da autorização]
    |
    v
[2.2 Por que só dar uma conferida é perigoso aqui]
    |
    v
[2.4 Relatando bem]
    |
    v
[2.5 Compartilhando informações com cuidado: TLP]
    |
    v
[2.6 Lugares seguros para praticar]
    |
    v
[2.8 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX014]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você será capaz de:

• explicar o que significam autorização e escopo, e por que boas intenções não os substituem;
• listar o que um iniciante pode e não pode fazer com um sistema num serviço essencial;
• explicar por que "só dar uma conferida" pode ser perigoso em ambientes operacionais;
• relatar um evento suspeito com clareza, com os fatos certos e sem investigar;
• usar o Traffic Light Protocol para decidir quem pode receber uma informação;
• escolher lugares seguros para praticar habilidades de segurança.

O Capítulo 1 mostrou por que esses serviços importam. Este capítulo define os limites que mantêm a sua curiosidade segura. O Capítulo 3, depois, olha por dentro de um serviço.

2.1 Autorização e escopo

Autorização é a permissão, dada pela pessoa ou organização dona de um sistema, para fazer uma coisa específica com ele. Escopo é o limite exato dessa permissão: quais sistemas, quais ações, quando e por quem. Uma autorização válida normalmente é escrita, nomeia o dono que a concede e diz o que fazer se algo der errado.

Disso decorrem duas consequências:

• Ter acesso não é ter permissão. O seu login da clínica permite marcar consultas. Ele não autoriza você a explorar outras pastas, tentar as contas de outras pessoas ou testar se o sistema pode ser quebrado.
• Boas intenções não são autorização. "Eu só estava verificando se era seguro" não é defesa. Muitos países tratam o acesso a um sistema de computador sem autorização como crime, qualquer que seja o motivo, e os empregadores o tratam como falta grave.

Os testadores profissionais de segurança trabalham sob regras de engajamento escritas exatamente por isso; o guia do NIST para testes técnicos de segurança descreve planejamento, regras e aprovações antes do início de qualquer teste (NIST SP 800-115). Esse nível de teste não faz parte deste curso.

Visual 2 — o limite da autorização

flowchart TD
    A[Ideia de inspecionar ou alterar um serviço] --> B{Há autorização do responsável para esta ação exata?}
    B -- Não ou incerto --> C[Não agir; relatar a observação]
    B -- Sim --> D{Sistema, momento e método estão no escopo?}
    D -- Não ou incerto --> C
    D -- Sim --> E[Só a equipe autorizada segue o procedimento aprovado]

Alternativa textual: uma proposta de inspeção ou alteração exige permissão explícita do responsável e escopo exato. Se faltar qualquer um dos dois, pare e relate; somente a equipe autorizada age dentro do procedimento. Ter login ou boa intenção não substitui essas condições.

2.2 Por que "só dar uma conferida" é perigoso aqui

Os sistemas operacionais — os computadores que fazem funcionar bombas, válvulas, disjuntores, dispositivos médicos e sinalização — muitas vezes são antigos, delicadamente ajustados e construídos para funcionar sem interrupção. As orientações para a tecnologia operacional alertam que ações rotineiras na TI de escritório, como fazer a varredura de uma rede, podem perturbar esses sistemas (NIST SP 800-82 Rev. 3). Um iniciante bem-intencionado que "só dá uma conferida" num dispositivo pode pará-lo, disparar alarmes falsos que tiram os operadores do trabalho real ou deixar o dispositivo num estado inseguro. Num serviço essencial, a curiosidade mais segura é a que faz uma pergunta em vez de apertar um botão.

2.3 Os limites do iniciante

2.4 Relatando bem

Um bom relato é curto, factual e rápido. Ele responde a cinco perguntas:

1. O que você viu? (As palavras exatas na tela, o endereço do remetente, o que aconteceu.)
2. Quando? (Data e hora, com o seu fuso horário.)
3. Onde? (Qual computador, sala, sistema ou conta de e-mail.)
4. O que você fez? (Por exemplo: "Não cliquei", ou, com honestidade, "Cliquei no link e digitei a minha senha".)
5. Qual é o efeito possível? (Quem ou o que pode ser afetado — uma frase, marcada como palpite.)

A honestidade importa mais no item 4. Relatar depressa que você clicou é muito mais útil do que escondê-lo: quanto antes o dono souber, antes poderá redefinir uma senha ou isolar uma máquina. Organizações que punem relatos honestos recebem menos relatos. Relate pelo canal que a sua organização indica — um supervisor, a central de atendimento de TI ou uma caixa de e-mail de segurança. Muitas agências nacionais também aceitam relatos de incidentes de organizações; nos Estados Unidos, por exemplo, a CISA publica uma via de relato (CISA, Report to CISA). Como iniciante, relate primeiro internamente, a menos que a sua organização diga outra coisa.

2.5 Compartilhando informações com cuidado: TLP

Detalhes sobre fraquezas e incidentes podem ajudar atacantes. O Traffic Light Protocol (TLP) 2.0 é um conjunto simples de rótulos que diz aos destinatários com que amplitude podem compartilhar uma informação (FIRST, Traffic Light Protocol):

Se você receber algo rotulado, respeite o rótulo. Se algo não estiver rotulado e puder ser sensível, não o compartilhe fora da sua organização; pergunte ao remetente.

2.6 Lugares seguros para praticar

Você pode construir habilidades reais sem tocar em nada real: os exemplos resolvidos e o laboratório deste livro; material de estudo como relatórios públicos de incidentes; ambientes de treinamento deliberadamente vulneráveis que você mesmo executa, offline, no seu próprio computador; e kits públicos de exercícios pensados para discussão, como o Exercise in a Box do NCSC do Reino Unido (NCSC, Exercise in a Box). Os hábitos de segurança pessoal do dia a dia — senhas fortes e únicas, autenticação multifator, atualizações e reconhecimento de phishing — também são um bom ponto de partida (CISA, Secure Our World).

2.7 Exemplo resolvido: o prestador prestativo (sintético)

Na quinta-feira à tarde, um homem desconhecido chega ao balcão da clínica. "Sou da LinkNet", diz ele. "A internet de vocês está caindo. Preciso ligar esta caixa no armário de rede — vai levar só cinco minutos. O K. Ito disse que tudo bem." Sam nunca o viu; Ito está fora.

As decisões de Sam:

• Autorização. Sam não é dono da rede e não pode autorizar trabalho nela. Uma afirmação verbal de que "o Ito disse que tudo bem" não é autorização.
• Verificar por um canal conhecido. Sam pede que ele espere e então liga para H. Novak e K. Ito usando os números da lista de contatos da clínica — e não um número oferecido pelo visitante.
• Nada de "só cinco minutos". Mesmo que ele seja genuíno, um dispositivo ligado à rede da clínica sem aprovação poderia afetar o sistema de agendamento durante o horário de atendimento.
• Relatar. Ito diz que nenhum trabalho está agendado. Novak pede ao visitante que saia e agenda uma visita adequada com a LinkNet. Sam escreve um relato:

O quê: homem que dizia ser da LinkNet pediu para ligar um dispositivo no armário de rede; disse que K. Ito tinha aprovado. Quando: quinta-feira, 14:20 (horário local). Onde: recepção, Larkfield Community Clinic. O que eu fiz: não o deixei entrar na sala do armário; liguei para H. Novak e K. Ito pela lista de contatos da clínica; Ito confirmou que nenhuma visita estava agendada. Efeito possível (palpite): tentativa de obter acesso à rede da clínica. Descrição: alto, jaqueta cinza no estilo da LinkNet, nenhum crachá mostrado.

Sam rotula o relato como TLP:AMBER+STRICT ao enviá-lo por e-mail a Novak — ele fica dentro da clínica. Sam não posta nada sobre o assunto.

2.8 Atividade prática

Escreva o seu próprio "cartão de limites": cinco coisas que você pode fazer e cinco que não pode fazer com os sistemas do seu trabalho ou da sua escola, com as suas palavras. Depois escreva um relato, usando as cinco perguntas da seção 2.4, sobre um e-mail suspeito que você tenha recebido pessoalmente (remova os dados pessoais). Não clique em nada dele para reunir mais fatos.

Guarde o cartão de limites num lugar onde você o veja e compare-o com o de um colega: se um de vocês permite algo que o outro proíbe, verifiquem qual está certo com base na tabela do pode e não pode. No relato do e-mail, o item 4 deve dizer com honestidade o que você fez, mesmo que tenha sido abrir a mensagem. Marque o efeito possível como palpite, como Sam fez no relato do prestador.

2.9 Erros comuns e limites

• Confundir acesso com permissão.
• "Investigar" um e-mail ou dispositivo suspeito antes de relatá-lo, destruindo evidências ou espalhando o dano.
• Adiar um relato por vergonha de ter clicado.
• Verificar a identidade de quem ligou usando os contatos que a própria pessoa deu.
• Compartilhar demais: postar uma captura de tela de uma fraqueza "para alertar as pessoas".
• Aceitar a menção a um nome, como "o K. Ito disse que tudo bem", como permissão, quando só o dono pode autorizar o trabalho.
• Compartilhar um relato rotulado mais amplamente do que o rótulo permite, como Sam evitou ao manter o relato do prestador dentro da clínica.
• Limites: este capítulo é uma orientação geral, não aconselhamento jurídico. As leis sobre acesso não autorizado e sobre obrigações de relato diferem por país e por setor; siga a política da sua organização.

Exercícios — capítulo 2

EX014 — Acesso ou permissão? Objetivo: distinguir os dois. Insumos: Sam consegue abrir, por acidente, uma pasta de um drive compartilhado chamada "Folha de pagamento". Passos: dizer se Sam pode abrir os arquivos e o que Sam deve fazer. Evidência esperada: duas ou três frases. Rubrica: 3 = não abre os arquivos, relata o acesso amplo demais ao supervisor para que o dono corrija as permissões; 2 = não abre, mas não relata; 1 = abre "para conferir"; 0 = nada.

EX015 — Boas intenções. Objetivo: explicar por que o motivo não autoriza. Insumos: um colega de turma diz "tudo bem testar o site da água da cidade em busca de fraquezas, porque eu avisaria se achasse alguma coisa". Passos: responder em três frases. Evidência esperada: resposta. Rubrica: 3 = explica que não há autorização do dono, que provavelmente é ilegal e pode perturbar um serviço público, sugere praticar num laboratório ou ler a política de divulgação publicada pela organização; 2 = dois desses; 1 = um; 0 = nada.

EX016 — Elementos do escopo. Objetivo: reconhecer o que uma autorização válida contém. Insumos: seção 2.1. Passos: listar quatro coisas que uma autorização escrita deve declarar. Evidência esperada: lista. Rubrica: 3 = quem é o dono e aprova, quais sistemas, quais ações, quando (janela), além de quem executa ou o que fazer se algo der errado; 2 = três itens; 1 = um ou dois; 0 = nada.

EX017 — Por que não varrer? Objetivo: explicar a fragilidade da TO. Insumos: seção 2.2. Passos: explicar em duas frases por que uma varredura de rede inofensiva num escritório poderia ser prejudicial numa estação de tratamento de água. Evidência esperada: duas frases. Rubrica: 3 = dispositivos mais antigos e sensíveis podem parar ou se comportar mal, e um dispositivo parado pode afetar um processo físico ou a segurança das pessoas; 2 = menciona um; 1 = vago; 0 = nada.

EX018 — Classifique os limites. Objetivo: aplicar a tabela do pode e não pode. Insumos: (a) bloquear a tela; (b) reiniciar o controlador da geladeira da farmácia porque o visor travou; (c) relatar um pendrive suspeito achado no estacionamento; (d) ligar esse pendrive para descobrir o dono; (e) usar o login de um colega porque o seu expirou; (f) ler um alerta público da CISA. Passos: marcar cada um como pode ou não pode. Evidência esperada: seis marcações. Rubrica: 3 = pode: a, c, f; não pode: b, d, e — com uma razão para cada não pode; 2 = todos corretos, sem razões; 1 = um ou dois erros; 0 = mais.

EX019 — Escreva um relato. Objetivo: produzir um relato em cinco partes. Insumos: Sam recebe um e-mail "MedBook: a sua conta será encerrada hoje", com um link e um endereço de remetente que termina num domínio desconhecido; Sam clicou no link, mas fechou a página antes de digitar qualquer coisa, segunda-feira, 09:05. Passos: escrever o relato usando as cinco perguntas. Evidência esperada: relato. Rubrica: 3 = as cinco partes, honesto quanto ao clique no link, nenhuma investigação, efeito possível marcado como palpite; 2 = quatro partes; 1 = esconde o clique ou omite o horário; 0 = nada.

EX020 — Relato honesto. Objetivo: ver por que a rapidez e a honestidade importam. Insumos: o mesmo caso, mas Sam digitou a senha. Passos: explicar o que Sam deve acrescentar ao relato e por que a rapidez importa. Evidência esperada: duas ou três frases. Rubrica: 3 = declara com clareza que a senha foi digitada e quando, relata imediatamente para que a senha possa ser redefinida e os acessos verificados, observa que a demora dá tempo ao atacante; 2 = declara, mas deixa passar a rapidez; 1 = sugere trocar a senha em silêncio; 0 = nada.

EX021 — Verifique quem ligou. Objetivo: usar um canal conhecido. Insumos: alguém liga dizendo "Aqui é a Larkfield Power. Precisamos da senha do Wi-Fi da clínica para verificar o seu medidor inteligente. Ligue de volta para este número." Passos: dizer o que Sam faz. Evidência esperada: passos. Rubrica: 3 = não dá a senha, não usa o número de quem ligou, confere com o supervisor e com o número publicado da empresa de energia, relata; 2 = recusa, mas não relata; 1 = liga de volta para o número dado; 0 = dá a senha.

EX022 — Rótulos TLP. Objetivo: aplicar o TLP 2.0. Insumos: (a) um alerta nacional marcado como TLP:CLEAR; (b) o relato de Sam sobre o prestador, na seção 2.7, marcado como TLP:AMBER+STRICT; (c) um briefing marcado como TLP:RED dado numa reunião. Passos: dizer com quem Sam pode compartilhar cada um. Evidência esperada: três respostas. Rubrica: 3 = (a) qualquer pessoa; (b) apenas pessoas de dentro da clínica; (c) ninguém além dos presentes; 2 = dois corretos; 1 = um; 0 = nada.

EX023 — Informação sem rótulo. Objetivo: agir com cuidado por padrão. Insumos: um colega encaminha um e-mail sem rótulo que lista as senhas da rede da clínica "por conveniência". Passos: dizer o que Sam faz. Evidência esperada: duas ou três frases. Rubrica: 3 = não encaminha nem reutiliza, avisa o supervisor/TI que senhas foram enviadas por e-mail para que possam ser trocadas, apaga-o conforme instruído; 2 = não encaminha, mas não relata; 1 = guarda-o; 0 = encaminha.

EX024 — Plano de prática segura. Objetivo: escolher uma prática legítima. Insumos: seção 2.6. Passos: descrever duas formas de praticar habilidades de segurança este mês sem tocar nenhum sistema real. Evidência esperada: dois itens. Rubrica: 3 = duas opções seguras e concretas (laboratório do livro, ambiente de treinamento offline no próprio computador, kit público de exercício de mesa, higiene das contas pessoais), com o porquê de cada uma ser segura; 2 = duas sem razões; 1 = uma; 0 = qualquer opção insegura.

EX025 — Redes sociais. Objetivo: evitar uma divulgação prejudicial. Insumos: o amigo de Sam quer postar "A Larkfield Water ainda usa senhas padrão!" para alertar o público. Passos: explicar o risco e uma via melhor. Evidência esperada: três frases. Rubrica: 3 = postar poderia ajudar atacantes a mirar um serviço crítico para a segurança antes da correção, e a informação pode não estar verificada; melhor: avisar a empresa pelo seu contato ou pela sua via de divulgação, ou o supervisor do amigo, se ele trabalhar lá; 2 = apenas o risco; 1 = vago; 0 = incentiva a postagem.

EX026 — Reflexão sobre o caso do prestador. Objetivo: extrair as decisões da seção 2.7. Insumos: o exemplo resolvido. Passos: listar as quatro decisões que Sam tomou e o princípio por trás de cada uma. Evidência esperada: quatro pares. Rubrica: 3 = não cabia a Sam autorizar / a autorização deve vir do dono; verificou pelos contatos conhecidos / não confiar em dados fornecidos por quem ligou; recusou os "cinco minutos" / mudanças não aprovadas podem perturbar o serviço; relatou e rotulou / relatar e compartilhar com cuidado; 2 = três; 1 = uma ou duas; 0 = nada.

Síntese do capítulo

A permissão vem do dono do sistema, é específica e normalmente é escrita; acesso e boas intenções não são permissão. Em serviços essenciais, "só dar uma conferida" pode perturbar processos reais; por isso, as ações seguras de um iniciante são usar o que lhe foi dado, perceber, relatar rápido e com honestidade por um canal conhecido e compartilhar com cuidado usando rótulos como o TLP. As habilidades são construídas em ambientes sintéticos e de estudo, nunca em serviços em produção.

Continue estudando — capítulo 02 de 04

← Capítulo 01 · Índice de capítulos do curso · Capítulo 03 →

Siga para a próxima lição escrita.