## Capítulo 8 — Um procedimento fraco ainda não é uma vulnerabilidade ### Objetivos de aprendizagem Ao final deste capítulo, você deve ser capaz de: 1. Usar “fraqueza” para o hábito do papel desatualizado sem promovê-lo a ataque. 2. Declarar a evidência extra que uma alegação de vulnerabilidade exigiria. 3. Recusar uma aula que trate uma limitação de sala de aula como um relatório de incidente. ### 8.1 As palavras não são intercambiáveis O [glossário do NIST Computer Security Resource Center](https://csrc.nist.gov/glossary/term/vulnerability) descreve uma vulnerabilidade como uma fraqueza que poderia ser explorada ou disparada por uma fonte de ameaça. Uma ameaça, no mesmo glossário, é uma circunstância ou um evento que poderia prejudicar operações ou ativos. Um incidente não é o mesmo substantivo que nenhum dos dois. O capítulo 1 já separou ameaça, vulnerabilidade, evento e risco. Este capítulo aplica essa separação à única falha que o livro de fato construiu: pessoas podem tratar uma impressão das 09:00 como se fosse a agenda ao vivo. Esse hábito é uma fraqueza no procedimento. O livro não exibiu um defeito num programa de reservas, um payload, uma conta roubada ou um morador prejudicado. Chamá-lo de vulnerabilidade só é justo se também dissermos “poderia ser disparado” como hipótese e, então, mostrarmos o disparo. Não podemos mostrá-lo. A biblioteca é fictícia, e a interrupção não tem causa medida. ### 8.2 Exemplo resolvido | Afirmação | Classe neste livro | Por quê | |---|---|---| | O papel das 09:00 omite uma reserva criada às 10:05 | Observação | Está na tabela sintética | | A equipe poderia confirmar a partir desse papel | Procedimento fraco | O exercício foi construído para que esse erro seja possível | | Um atacante derrubou a página de reservas | Não sustentado | Não há evidência, e o capítulo 4 proíbe o site ao vivo | | O software de reservas tem uma falha que um atacante poderia usar | Não estabelecido | Nenhum comportamento de programa foi testado | | A interrupção é um incidente de segurança | Não declarado | Nenhum responsável a definiu como tal, e a causa é desconhecida | A decisão útil é procedimental. Mantenha a regra de pendência, pare as edições a lápis e não nomeie pessoas que não estão no registro. Essas ações reduzem a fraqueza que o exercício pode demonstrar. Elas não encerram um incidente que nunca foi aberto. ### 8.3 O que uma aula posterior precisaria Um curso posterior, mais técnico, pode examinar uma falha de software quando tem um programa autorizado, uma entrada controlada e um resultado observado. Esta aula rápida para antes disso. Se um colega escreve “vulnerabilidade crítica, nota 9.1” no dossiê do capítulo 4, o número é a precisão falsa que o capítulo 4 já recusou, e o substantivo é a classe errada. O dossiê permanece um registro de quatro ações com rótulos sintéticos. ### Resumo do capítulo 8 O exercício da Harbor Library mostra um procedimento desatualizado e o dano que esse procedimento pode causar dentro da história: uma confirmação errada, uma divulgação ou um instantâneo arruinado. Não mostra uma falha explorável de produto nem um ataque. Use a palavra menor até a evidência crescer. ### Exercícios do capítulo 8 ### EX024 — Escolha a palavra menor - **Objetivo:** Classificar o problema do papel desatualizado sem inflá-lo. - **Entrada:** A nota de um colega diz: “A interrupção das 11:30 foi um incidente causado por uma vulnerabilidade crítica no site de reservas.” - **Condição segura:** Use só fatos dos capítulos 1–7. Não investigue um site real. - **Tarefa:** Substitua a nota por três frases: o que foi observado, que classe de problema o exercício sustenta e qual afirmação mais forte permanece não provada. - **Evidência esperada:** Três frases que um leitor possa conferir contra o livro. - *Rubrica:* 3 = a interrupção permanece sem explicação, a classe sustentada é um procedimento fraco e nem vulnerabilidade nem incidente são afirmados como fato;; 2 = nomeia o procedimento fraco e não afirma a causa, mas omite uma das negações;; 1 = afirma vulnerabilidade ou incidente como fato;; 0 = nenhuma. ### Continue estudando — capítulo 08 de 20 [← Capítulo 07](#ch-07) · [Índice de capítulos](../SUBJECTS.md) · [Capítulo 09 →](#ch-09) Continue para a próxima aula escrita. ## Worked answers ### EX024 — Resolução O exercício observou um papel das 09:00 que omitiu uma reserva sintética posterior, e uma visão de reserva descrita como indisponível, sem causa testada. A classe sustentada é um procedimento fraco de confirmação. Uma vulnerabilidade de software, um ataque e um incidente não estão provados: nenhuma falha de programa foi demonstrada, e nenhum responsável declarou um incidente.