Escopo, registro do caso e primeira decisão limitada

Semana 1, dia 5. Percorra o ensino e o marco resolvido antes de tentar os exercícios indicados. Compare o seu artefato com a resolução final só depois.

1.4 Escopo, autorização e segurança

Os laboratórios deste livro usam só registros sintéticos. No trabalho real, a autoridade de incidente vem de política organizacional, de um contrato, de deveres de emprego ou de aprovação escrita explícita. A autorização deve identificar os sistemas, as contas, os dados, a janela de tempo e as ações permitidas. Investigar o sistema de um parceiro, coletar dados pessoais, mudar direitos de acesso ou tirar um serviço de produção do ar pode exigir aprovação adicional.

Use a menor ação que responde à pergunta imediata. Ler uma cópia preparada de um log é diferente de alterar a fonte ao vivo. Exportar um conjunto de dados pode ampliar o número de pessoas com acesso. Uma captura de tela pode omitir o carimbo de tempo ou a consulta que a produziu. Quando a evidência puder importar mais tarde para decisões legais ou disciplinares, siga o procedimento da organização para tratamento de evidência e obtenha orientação especializada. Este curso introdutório ensina uma disciplina de registro; não certifica um processo forense.

Para o exercício da Harbor Library, o escopo permitido é uma tabela fictícia de oito registros neste capítulo. Quem estuda pode anotar, ordenar e raciocinar sobre a tabela. Não pode tentar contatar uma biblioteca real, sondar um domínio real nem testar uma conta real.

Escreva o escopo como uma fronteira executável

“Investigue o alerta” é vago demais para guiar uma prática segura. Um escopo útil de sala tem um objeto (R1–R8), uma operação permitida (ler, anotar e comparar), uma operação excluída (conectar-se a qualquer serviço ou conta reais), um limite de tempo (a sessão), um dono (o facilitador do curso ou quem estuda, para a cópia local) e uma condição de parada (os registros fornecidos não respondem à pergunta). Um plano real de resposta também precisa especificar a autoridade da organização e do sistema, o tratamento de dados e a rota de escalada. O escopo de sala é deliberadamente mais estreito.

Suponha que quem estuda queira investigar o dispositivo ou a origem da entrada associada à autenticação relatada de desk-a em R1. R1 identifica uma entrada bem-sucedida de conta, mas não fornece um dispositivo verificado, contexto de rede de origem nem identidade humana. O passo correto de sala é propor uma pergunta presa à autorização: “Administrador de identidade: se aprovado à parte, identifique a fonte estreita da entrada, o intervalo, os campos relevantes de dispositivo ou de sessão, o produtor e o fuso deles, e o método necessário para preservar e verificar esses detalhes.” Quem estuda não pode executar essa coleta a partir da tabela R1–R8 fornecida, e não pode acessar um sistema real de identidade com a força de um exercício de sala. R8 é uma fonte diferente: é um resumo de rede cujo detalhe de destino ausente impede uma afirmação sustentada sobre transferência de dados. O contexto de dispositivo ou sessão de R1 e a evidência de destino ausente em R8 não devem ser tratados como o mesmo campo nem como o mesmo pedido de custódia.

O escopo também afeta a força de uma conclusão. Se só R1–R8 estão no escopo, a frase “Não houve exfiltração” não tem suporte. R8 carece explicitamente de detalhe de destino, e quem estuda não tem registros adicionais de rede. Uma frase defensável é “O resumo de rede fornecido não permite uma conclusão sobre transferência de dados.” Isto não é escrita evasiva: diz ao próximo revisor exatamente que tipo de evidência falta.

1.5 O primeiro registro de incidente

Abra um registro antes de investigar a fundo. Um mínimo prático é:

Tabela da aula; deslize para ver todas as colunas →

Use UTC de forma consistente neste exercício. Se uma fonte usa outro fuso, retenha o carimbo original e registre a conversão, inclusive o deslocamento. Nunca reordene em silêncio eventos cujos relógios podem diferir. Dê a cada item de evidência um identificador, para que uma afirmação posterior possa citar a base.

Unidade de revisão da semana 1, número 5 — Reparar uma observação sem suporte sem apagar a evidência

Objetivo e correção de fonte

Revise uma alegação que excede a fonte, preservando a cronologia útil, a incerteza e o formato exato do exercício original.

Uma versão anterior do registro de exemplo na seção 1.5 dizia que duas edições de reserva seguiram uma entrada fora do horário ordinário. R1 fornece a hora de entrada 08:40; R3 e R4 fornecem as horas de edição 08:43 e 08:44. R6 relata treinamento agendado das 08:30 às 09:00. Nenhum desses registros define horário ordinário de funcionamento nem uma agenda aprovada de entrada. A cronologia tem suporte; a comparação com horário ordinário não tem.

Não substitua a afirmação sem suporte pelo oposto. O pacote também não prova que a entrada foi ordinária ou aprovada. Uma boa correção remove o qualificador sem suporte e mantém a pergunta aberta.

Observação corrigida da seção 1.5, como mostrada acima:

R1 registra uma entrada de conta da equipe às 08:40 UTC; R3 e R4 registram mudanças de reserva às 08:43 e 08:44 UTC. O horário ordinário de funcionamento e a autorização dessas mudanças não são fornecidos.

A prévia compartilhada da Rodada A agora identifica as aulas 01–05 dentro do capítulo 01. Essa correção não move os registros nem muda a fronteira de liberação. O exemplo introdutório hipotético da aula 01 ainda pode discutir o que um alerta de hora incomum poderia dizer; precisa permanecer visivelmente hipotético, e não um fato novo sobre R1.

Trace o suporte no nível da frase

Uma frase pode misturar uma observação válida com um qualificador sem suporte. Um revisor não deve classificar a frase inteira como perfeitamente sustentada ou inteiramente inútil. Divida-a em proposições: uma entrada foi relatada; duas edições posteriores foram relatadas; a hora era incomum; as edições foram aprovadas; uma identidade humana foi estabelecida. As duas primeiras têm ponteiros no pacote; as outras precisam de evidência não fornecida ali.

Este método também impede que uma edição de estilo se torne uma mudança factual. Substituir “cancelamento registrado” por “cancelamento não autorizado” não é apenas formulação mais forte. Acrescenta uma decisão sobre permissão. Substituir “o frequentador relatou um problema” por “o serviço falhou” acrescenta verificação independente. Um registro útil de correção guarda a formulação original, o acréscimo sem suporte, a substituição estreita e a evidência necessária para revisitá-la.

A publicação NIST SP 800-61 Rev. 3 situa a resposta a incidentes dentro da gestão de risco de cibersegurança, e a publicação CSF 2.0 descreve resultados organizacionais de cibersegurança. Essas fontes fornecem contexto, não fatos da Harbor Library nem um modelo prescrito de redação. A correção de sete campos abaixo é raciocínio editorial original sobre o exercício fornecido.

Prática suplementar W1-R5

Objetivo: produzir um registro de abertura limitado pela evidência. Entradas: R1–R8, o contexto original da seção 1.5 HL-IR-001 e T-104, o marco de abertura das 09:00, e os requisitos do EX007. Artefato exigido: exatamente sete campos rotulados na ordem original: identificador do caso e hora de abertura; serviço; relator e fonte; sinal observado com ponteiros; avaliação e incerteza; escopo e autoridade; próxima pergunta, dono e revisão. Acrescente uma nota separada de uma frase que explique o qualificador de horário ordinário removido.

Restrições: não alegue entrevista concluída, coleta, restrição, decisão das 09:05, comprometimento confirmado ou restauração testada na abertura das 09:00. Mantenha o relato do frequentador distinto de dano verificado ao estado da reserva. Avaliação: um ponto para cada um: hora e contexto de fonte corretos, observação limitada, autorização e estado sem resolução explícitos, escopo permitido, e uma rota proposta de dono e revisão. Um formulário de sete campos que contém fatos sem suporte ainda precisa ser corrigido. Isto suplementa o EX007; não cria EX051. Resolução.

Rubrica: 3 = cinco pontos da fonte: hora e fonte, observação limitada, autorização e estado sem resolução, escopo permitido, e rota proposta de dono e revisão;; 2 = os sete campos existem, mas um fato sem suporte permanece;; 1 = responde, mas omite fonte, limite ou trata a abertura das 09:00 como decisão das 09:05;; 0 = nenhum.

Síntese da revisão

Uma boa correção estreita a alegação até a evidência sem apagar a evidência. A ausência de uma regra de horário de funcionamento estabelece um desconhecido, não um evento ordinário nem extraordinário.

1.6 Exemplo resolvido: uma entrada seguida de mudanças de reserva

Os registros sintéticos da seção 1.7 fornecem a única fonte de fatos do caso para este exemplo. R1 registra uma entrada de desk-a às 08:40 UTC, R3 uma mudança em B17 às 08:43, R4 um cancelamento de B18 às 08:44, e R5 um relato de frequentador às 08:48. A equipe pode dizer que a entrada precedeu ambas as edições e o relato. Ainda não pode dizer que a conta foi roubada, que qualquer das edições causou todo aspecto do relato, ou que dados foram exfiltrados. Um próximo passo seguro é preservar os identificadores relevantes de registro, perguntar ao responsável pelo serviço se as edições coincidem com trabalho agendado, e pedir contexto da conta da equipe por um canal autorizado. Conforme o procedimento organizacional e evidência nova, o líder do incidente pode então autorizar coleta adicional ou contenção.

A alternativa “desabilitar a conta imediatamente” tem um benefício possível se a conta está comprometida, mas pode interromper o trabalho da recepção e obscurecer se o membro da equipe está fazendo mudanças legítimas de forma ativa. A decisão correta depende de impacto, confiança, autoridade e alternativas disponíveis. Registre esse raciocínio em vez de apresentar um palpite como regra universal.

1.7 Um conjunto de dados de prática contido

Use só estes registros sintéticos para os exercícios. Eles estendem o exemplo resolvido; não são evidência de um evento real.

Tabela da aula; deslize para ver todas as colunas →

R6 é um motivo para conferir se as edições faziam parte do treinamento; não é prova de que faziam. R7 pode sustentar o planejamento de recuperação, mas não prova que uma restauração funciona. R8 não pode provar ausência de transferência de dados. A lição é ligar uma alegação à evidência que de fato a sustenta.

Uma leitura de três hipóteses dos mesmos registros

Comece com três explicações que são diferentes de forma significativa. H1: treinamento autorizado causou as mudanças de reserva. R6 torna isto plausível porque o treinamento estava agendado; R6 não identifica quais reservas deviam mudar. H2: alguém usou desk-a sem autorização. R1–R4 são compatíveis com isto, mas não contêm prova sobre quem controlava a sessão. H3: a visão do frequentador e o estado autoritativo da reserva diferem. R5 sugere uma discrepância visível ao usuário, mas R4 registra um cancelamento na auditoria da aplicação, portanto H3 não pode, sozinha, explicar toda observação. As três são hipóteses, e mais de uma condição contribuinte pode estar presente.

A próxima verificação deve ser escolhida pela capacidade de discriminar entre essas explicações a baixo custo e dentro do escopo. Perguntar ao responsável pelo treinamento se B17 e B18 estavam especificadas no plano de treinamento pode fortalecer ou enfraquecer H1. Comparar o estado autoritativo da reserva com a visão do frequentador pode testar H3. Revisar um registro estreito e aprovado de detalhe de identidade poderia fortalecer ou enfraquecer H2. O fato de uma verificação ser útil não autoriza, por si, coletar esse registro. Se a permissão ou o dado não está disponível, registre o limite e revisite a decisão com o dono do caso.

Tabela da aula; deslize para ver todas as colunas →

Isto é um exemplo de disciplina de evidência, não um veredito probabilístico. Com este conjunto pequeno de dados, nenhuma probabilidade numérica defensável de comprometimento pode ser calculada. Uma nota inventada a partir da intuição acrescentaria precisão aparente sem acrescentar evidência.

Deixe o resultado do serviço definir a pergunta de evidência

O título de um alerta diz a quem responde o que um detector notou. Não diz qual resultado de negócio está em risco. Para a Harbor Library, o resultado significativo é que moradores possam ver e reservar as salas de estudo pretendidas e que a equipe autorizada possa administrar reservas sem corromper a agenda em silêncio.

O mapa de serviço existente lista uma aplicação de reservas, um serviço de identidade da equipe, uma base de reservas, uma cópia noturna e uma central de atendimento. Cada um tem um propósito diferente de evidência. Um registro de identidade pode ajudar a investigar o contexto de autenticação de uma conta; uma auditoria da aplicação descreve uma operação relatada; uma verificação de estado autoritativo de reserva testa o que está armazenado agora; um tíquete da central registra uma experiência relatada de usuário; um monitor de cópia descreve um trabalho. Nenhum deve ser substituído por outro só porque o carimbo de tempo é conveniente.

Quem começa deve escrever uma frase de propósito da decisão antes de pedir evidência:

“Preciso determinar se B17 e B18 foram mudanças autorizadas de treinamento antes de recomendar uma restrição de acesso que poderia interromper o trabalho da recepção.”

Essa frase fixa o objeto relevante, o dano suspeito, a explicação alternativa e a decisão pendente. Também impede uma expansão injustificada para a lista de contatos do boletim, sem relação, ou para todas as contas de frequentadores.

Uma pergunta útil de evidência tem dois resultados, não um. Pergunte: “O que eu concluiria se o registro pedido confirma a hipótese, e o que eu concluiria se a contradiz?” Se nenhum dos resultados mudaria a decisão, o pedido pode não ser o melhor primeiro uso de tempo limitado. Isto é um teste de valor da decisão, não uma nota matemática.

Por exemplo, o treinamento agendado em R6 torna plausível uma explicação de operação aprovada, mas R6 não lista B17 nem B18 como tarefas aprovadas. Um pedido limitado da lista datada de tarefas poderia fortalecer ou enfraquecer essa explicação. Uma busca ampla de rede, em contraste, não pode substituir a autorização de tarefa que falta só porque poderia produzir mais dados.

Mantenha um registro de alegações com falseadores

Um registro tem um produtor, um evento relatado, um carimbo de tempo e um escopo. O analista acrescenta uma interpretação. Manter esses elementos separados impede um atalho lógico comum: substituir “esta fonte relata X” por “X aconteceu exatamente como eu imagino”.

Use um registro de alegações com cinco colunas:

Tabela da aula; deslize para ver todas as colunas →

A coluna “ponteiro direto” não transforma uma linha sintética em evidência autenticada de produção. Identifica a fonte exata dentro do exercício da qual uma afirmação foi extraída.

Uma conclusão crível também precisa de um falseador: uma observação que forçaria o autor a mudar a explicação atual. Se a única evidência aceitável é a que confirma a teoria favorecida, o analista não está realizando um teste significativo. Um plano aprovado de treinamento que exclui B18 enfraqueceria a explicação proposta de treinamento; um plano que inclui B18 a fortaleceria para essa edição, mas ainda não estabeleceria quem operou a sessão.

Quando a evidência está incompleta, “desconhecido” é um estado informativo. Identifica uma dependência inacabada entre pergunta e prova. Não deve ser mudado para “falso” só porque um campo ou registro falta. R8 ilustra isto diretamente: a ausência de detalhe de destino não é evidência de que não houve transferência.

Mantenha explícita a fronteira de informação das 09:05

Registros de incidente usam mais de um conceito de tempo. Um carimbo de evento descreve o que um produtor relatou. Uma hora de abertura do caso descreve quando o registro de resposta começou. Uma hora de decisão descreve quando informação e autoridade particulares foram usadas. Descoberta posterior não é acesso retroativo à evidência.

Neste exercício, os eventos de fonte R1–R8 têm carimbos entre 08:40 e 08:55 UTC, o caso abre às 09:00, e o primeiro marco de decisão é 09:05. Uma boa nota de decisão declara o conjunto de evidência disponível de forma tão explícita quanto o carimbo:

case=HL-IR-001; checkpoint=09:05 UTC; available=R1–R8; later sources=not released

Um revisor par pode agora perguntar se todo fato alegado estava disponível para quem decidiu. Um registro posterior com hora de evento anterior precisa permanecer excluído deste raciocínio das 09:05. Caso contrário, a revisão sofre de viés de retrospectiva: julgar uma ação anterior como se quem respondeu já conhecesse fatos recebidos depois.

Mantenha injeções hipotéticas em cartões separados. Se um treinador diz “imagine que outra edição acontece às 09:08”, quem estuda pode explicar como a decisão mudaria, mas não deve anexar em silêncio o evento imaginado a R1–R8. Restaurar a linha de base depois do contrafactual faz parte do exercício.

1.8 Ateliê guiado de prontidão: preparar a primeira decisão

Este laboratório de papel e lápis transforma os oito registros fictícios num artefato reproduzível de caso. Não exige software, conexão de rede, conta, segredo nem pessoa real. Trabalhe a partir da tabela da seção 1.7 e das regras de papel e de escopo acima. As saídas são um cartão de serviço, um registro de evidência e um cartão de decisão. Mantenha os três artefatos juntos sob o identificador sintético de caso HL-IR-001.

Passo 1 — Defina o serviço e a autoridade. No cartão de serviço, nomeie o resultado de reserva de salas, as dependências de identidade e de base, o responsável pelo serviço a consultar e a pessoa que pode aprovar coleta de registro sob as regras do exercício. Marque o administrador de identidade como custodiante potencial de detalhes adicionais de entrada, não como fonte já consultada. Registre “só R1–R8 sintéticos” como a fronteira atual de evidência.

Passo 2 — Construa o registro de evidência. Copie os identificadores de registro e os horários UTC de R1, R3, R4, R5, R6, R7 e R8. Acrescente uma coluna rotulada “o que este item registra diretamente” e outra rotulada “o que ele não prova”. Por exemplo, R7 relata diretamente um trabalho de cópia concluído; não estabelece a agenda restaurada nem o tempo de recuperação. Não funda o relato do frequentador com a auditoria da aplicação num único fato sem qualificação.

Passo 3 — Defina um marco de decisão. No marco fictício das 09:05 UTC, proponha ou (A) preservar os registros fornecidos e verificar a explicação do treinamento antes de mudar o acesso, ou (B) pedir uma restrição temporária aprovada de desk-a. Para a opção escolhida, escreva o benefício esperado, o custo para o serviço, o papel aprovador, o resultado observável e a próxima hora de revisão. Registre também a opção rejeitada e a evidência que causaria reconsideração. Qualquer das escolhas pode ser defendida se premissas, urgência e autoridade estão declaradas; R1–R8 sozinhos não forçam uma resposta universal.

Passo 4 — Execute um contrafactual. Imagine que às 09:08 UTC um registro novo, fornecido e verificado, da aplicação mostra outra reserva editada depois da janela de treinamento agendada. Isto é uma injeção fictícia, não parte de R1–R8. Declare como mudaria a sua avaliação e qual aprovação você buscaria. Em seguida, remova a injeção e volte ao conjunto real de oito registros. Essa separação impede que um evento hipotético se torne em silêncio evidência do caso.

Evidência esperada: três artefatos rotulados com o identificador do caso, identificadores de fonte ao lado de toda afirmação factual, um estado explícito de causa não confirmada, um aprovador nomeado para qualquer ação disruptiva, e uma próxima hora de revisão. Um revisor deve conseguir reconstruir a ordem dos eventos e identificar quais afirmações foram observações, inferências ou propostas, sem perguntar ao autor.

Rubrica de avaliação: conceda um ponto para cada um: ponteiros exatos de evento e ordenação UTC, separação clara de fato e hipótese, autoridade e escopo atuais explícitos, comparação proporcional de opções, e um gatilho de revisão com dono. Uma nota de 5/5 mostra que o artefato está internamente completo para este exercício introdutório; não certifica competência de resposta a incidentes nem prova a causa do caso fictício. Um item omitido de escopo ou de aprovação precisa ser corrigido mesmo que os outros quatro pontos estejam presentes. Um exemplo resolvido aparece na seção final de respostas, depois de EX013.

Rubrica: 3 = 5/5 da fonte: ponteiros e ordem UTC, fato separado de hipótese, autoridade e escopo, comparação proporcional, e gatilho de revisão com dono;; 2 = quatro desses pontos, com escopo ou aprovação ainda a corrigir;; 1 = responde, mas omite fonte, limite ou autoridade;; 0 = nenhum.

1.9 Construa um portão de decisão a partir de evidência incompleta

Uma resposta inicial é uma série de decisões limitadas, não uma busca de certeza antes de alguém agir. No marco das 09:05 UTC, o analista da Harbor Library tem oito registros fornecidos, um intervalo de treinamento agendado e duas mudanças de reserva. Os registros não dizem quem controlava desk-a, se B17 e B18 eram tarefas autorizadas de treinamento, nem se uma cópia poderia de fato restaurar uma agenda correta. Esses desconhecidos pedem perguntas discriminantes, não respostas inventadas. O portão de decisão abaixo é um modelo original de ensino para este caso fictício. Ilustra os papéis, a autoridade e as práticas de revisão documentados no NIST SP 800-61 Rev. 3; não é uma escala de severidade prescrita pelo NIST.

Tabela da aula; deslize para ver todas as colunas →

Uma escolha defensável é preservar os registros fornecidos, perguntar ao responsável pelo treinamento sobre B17/B18 e reconvocar na hora de revisão. Isto evita uma interrupção imediata de serviço, mas aceita a possibilidade de uma edição adicional. Outra escolha defensável, se o responsável pelo serviço descreve um impacto alto de mudanças contínuas e os papéis aprovadores estão disponíveis, é buscar uma restrição temporária de conta com um fim definido e um modo de a equipe continuar o trabalho essencial. A recomendação do analista não é permissão para executar qualquer das mudanças. Um revisor deve perguntar que fato reverteria a escolha, quem pode autorizar a reversão, e com que rapidez o dano resultante pode ser observado.

Se o responsável pelo treinamento confirma que B17 e B18 estavam numa lista aprovada de tarefas, isso enfraquece a hipótese de que aquelas duas edições não eram autorizadas. Não prova a pessoa que controlava a sessão, nem resolve qualquer edição posterior B19 introduzida no módulo 2 da edição inglesa, ausente deste arquivo. Se a lista de tarefas exclui B18 e o responsável confirma que a lista está completa, a explicação de treinamento para B18 enfraquece. Se a lista não está disponível, a resposta é desconhecida, não “o treinamento foi descartado”. Esta distinção entre uma observação contraditória e uma observação ausente é fundamental para decisões responsáveis de incidente.

Para tornar o portão reproduzível, um segundo analista deve conseguir ler a mesma tabela R1–R8, recuperar a mesma ordem de eventos, localizar o registro de suporte de cada alegação e ver o caminho de aprovação. Se o segundo analista não consegue dizer se uma frase é um fato fornecido, uma hipótese ou uma ação proposta, reescreva-a. O módulo 2 da edição inglesa acrescenta preservação de evidência e disciplina de hora de descoberta a este mesmo caso; os registros posteriores não devem ser importados para trás na decisão das 09:05.

Torne a primeira decisão uma passagem reproduzível

Uma passagem deve permitir a um segundo estudante responder a seis perguntas sem pedir ao analista original contexto não documentado:

• Qual serviço e qual decisão estão no escopo?
• Quais identificadores exatos de registro sustentam as observações atuais?
• Quais hipóteses permanecem vivas, e o que poderia desconfirmá-las?
• O que foi apenas proposto, em contraste com aprovado ou executado?
• Quem é dono da próxima pergunta ou ação?
• Qual prazo ou gatilho observado exige revisão renovada?

Compare dois exemplos.

Insuficiente: “Atividade suspeita de administrador. Provável violação. Em investigação.”

Revisável: “No marco fictício das 09:05 UTC de HL-IR-001, R1 mostra uma entrada de desk-a, R3 e R4 relatam edições de reserva, e R5 relata uma queixa de frequentador. R6 documenta treinamento agendado, mas não a lista autorizada de tarefas. O analista não identificou um ator humano nem estabeleceu comprometimento. Pede-se ao líder do incidente que aprove uma verificação limitada junto ao responsável pelo treinamento e que revise o impacto no serviço com o responsável até 09:15 UTC; nenhuma restrição real de acesso foi executada.”

A mensagem mais longa não é melhor só porque tem mais palavras. Cada cláusula responde a uma pergunta essencial para a próxima decisão. Uma passagem que confunde um pedido proposto com uma coleta concluída pode ser mais perigosa do que uma passagem breve que marca com clareza a evidência ausente.

O NIST SP 800-61 Revision 3 trata a resposta a incidentes como uma capacidade organizacional que envolve vários papéis e atividades. A passagem de seis perguntas acima é material instrucional original da OpenCyber Academy, não um formulário obrigatório do NIST.

1.10 Laboratório offline: revisão de alegações presa à evidência

Meta: Classificar alegações contra a liberação exata da Rodada A e demonstrar como uma fonte ausente muda uma afirmação sustentada de ensino sem mudar o incidente canônico.

Entradas: Os oito identificadores fictícios de registro, os carimbos e os tipos de fonte existentes, mais seis cartões de alegação de sala. Nenhuma observação nova de incidente é introduzida.

Ambiente: Python 3, só biblioteca padrão. A peça está em memória, não exige contas, não lê arquivos e não faz pedidos de rede.

Antes de executar: Preveja quais alegações podem relatar com exatidão o conteúdo de registro fornecido, quais permanecem hipóteses, quais excedem a semântica da fonte, e quais referenciam um registro não liberado. Em particular, não trate “conteúdo de registro disponível” como “evento real autenticado”.

events = [
    ("R1", "08:40", "identity", "desk-a sign-in"),
    ("R2", "08:42", "application", "dashboard opened"),
    ("R3", "08:43", "application", "B17 moved"),
    ("R4", "08:44", "application", "B18 cancelled"),
    ("R5", "08:48", "helpdesk", "patron report"),
    ("R6", "08:50", "staff_calendar", "training scheduled"),
    ("R7", "08:52", "backup_monitor", "job completed"),
    ("R8", "08:55", "network_summary", "destination detail absent"),
]

assert len(events) == len({row[0] for row in events})
assert [row[1] for row in events] == sorted(row[1] for row in events)

available = {row[0] for row in events}

# Each card is an analytical claim, not another R-series event.
claims = [
    ("C01", {"R1"}, "record"),
    ("C02", {"R3", "R4", "R6"}, "hypothesis"),
    ("C03", {"R1", "R3"}, "actor"),
    ("C04", {"R7"}, "restore"),
    ("C05", {"R8"}, "no_transfer"),
    ("C06", {"R9"}, "record"),
]

def classify(refs, kind, released):
    if not refs <= released:
        return "NOT_IN_RELEASE"
    if kind == "record":
        return "RECORD_CONTENT_ONLY"
    if kind == "hypothesis":
        return "HYPOTHESIS_ONLY"
    return "NOT_ESTABLISHED"

for name, refs, kind in claims:
    print(name, classify(refs, kind, available))

# Negative test: make a temporary incomplete copy of Round A.
# This is not a deletion of canonical R6.
without_r6 = available - {"R6"}
print(
    "NEGATIVE_R6_MISSING",
    classify(claims[1][1], claims[1][2], without_r6),
)
print("EVENTS_IN_ROUND_A", len(events))

Saída exata esperada

C01 RECORD_CONTENT_ONLY
C02 HYPOTHESIS_ONLY
C03 NOT_ESTABLISHED
C04 NOT_ESTABLISHED
C05 NOT_ESTABLISHED
C06 NOT_IN_RELEASE
NEGATIVE_R6_MISSING NOT_IN_RELEASE
EVENTS_IN_ROUND_A 8

Interpretação resolvida

C01: R1 está disponível. Quem estuda pode relatar que o registro sintético de identidade afirma uma entrada bem-sucedida de desk-a. A saída não é uma autenticação independente do registro nem uma atribuição humana.

C02: R3, R4 e R6 estão todos disponíveis. A explicação de treinamento pode ser formulada como hipótese, mas a entrada de calendário não autoriza as edições específicas. O código não avalia se a hipótese é verdadeira.

C03: Existem registros de conta e de aplicação, mas a identidade do ator não está estabelecida. Nenhum campo na liberação fornecida identifica o humano que opera a sessão.

C04: A conclusão relatada do trabalho de cópia não pode ser convertida num resultado provado de restauração. Nenhuma restauração foi executada nesta peça.

C05: R8 omite detalhe de destino. Uma alegação de que nenhuma transferência ocorreu excederia a fonte.

C06: A alegação referencia R9, fora da liberação da Rodada A. O código de propósito não fornece conteúdo para R9; o registro futuro não deve influenciar a avaliação das 09:05.

Teste negativo: Remover R6 de um conjunto temporário faz o cartão de hipótese de treinamento carecer de uma das fontes referenciadas. O resultado muda para NOT_IN_RELEASE para a variante temporária. Nenhum evento histórico nem o registro canônico R6 mudou.

Validação, modos de falha e limites

As duas primeiras asserções detectam identificadores duplicados ou carimbos impressos fora de ordem nesta peça literal. Não verificam a sincronização de sistemas reais independentes. O algoritmo confere de propósito a disponibilidade da fonte e uma classe simplificada de alegação; não faz análise semântica de narrativas de incidente, verificações de integridade criptográfica, verificações de autorização nem verificação independente de fonte.

Quem obtém a saída esperada reproduziu a lógica declarada de sala, não provou que a Harbor Library viveu um incidente. Quem edita a entrada Python precisa preservar a transcrição original e rotular a execução alterada como variante.

Artefato exigido: Entregue (a) a transcrição exata, (b) um registro de alegações de seis linhas com identificador de evidência, formulação sustentada e limitação, e (c) um relatório de diferença de duas frases para o teste negativo. Aprovação só quando todos os fatos originais da Rodada A permanecem inalterados, achados sem suporte permanecem bloqueados e a remoção hipotética de fonte não é representada como perda real de evidência.

Rubrica: 3 = transcrição exata, seis linhas com limite, e o teste negativo sem representar perda real de R6;; 2 = a transcrição coincide, mas uma alegação sem suporte passa;; 1 = responde, mas omite fonte, limite ou trata conteúdo de registro como evento autenticado;; 0 = nenhum.

1.10a A prontidão depende de evidência autorizada, não de um inventário verde

Objetivo de aprendizagem: Para o marco inicial R1–R8 da Harbor Library, distinguir uma capacidade operacional, um dono de decisão, uma rota autorizada de evidência e um ensaio demonstrado. Cada item tem uma fonte diferente e uma falha possível diferente. Quem responde em início de estudo deve conseguir identificar o próximo pedido seguro sem inventar uma coleta concluída.

Uma afirmação de que o provedor de identidade retém logs detalhados de sessão descreve uma capacidade possível de fonte. O pedido do líder do incidente para examinar um intervalo limitado descreve intenção. A permissão do dono adequado de identidade ou de dados é autorização. Um recibo de exportação ligado à fonte e uma verificação repetível seriam evidência de recuperação executada. Nenhum cria automaticamente o seguinte. Um console disponível não é permissão para inspecionar frequentadores sem relação, e um tíquete que pede uma exportação não é o objeto exportado.

Desenhe um caminho de dependência de quatro arestas: pergunta de negócio → autoridade → produtor e seleção → resultado verificado. Para cada aresta, identifique a decisão que falharia se a aresta estivesse ausente. Na Rodada A, a pergunta relevante é se as edições de reserva R3/R4 pertencem a uma tarefa permitida de treinamento; R6 torna o treinamento plausível, mas não prova aprovação nem identifica o humano. Um analista que não estabeleceu o relógio e a semântica de retenção de uma fonte não pode afirmar um prazo particular e seguro de coleta. Quem responde e não verificou a delegação de emergência não pode atribuir autoridade a qualquer colega que tenha credenciais de acesso.

Exemplo resolvido contrastivo A: Um ambiente permitido de treinamento expõe um fluxo consultável de auditoria de reservas, mas o custodiante alternativo não foi nomeado. A fonte tecnicamente disponível não está operacionalmente pronta para coleta autorizada fora do expediente. Acompanhamento correto: pedir ao líder do incidente que localize e verifique uma rota delegada válida; registrar perguntas sem resposta de aprovação e de acesso à fonte. Acompanhamento errado: executar a consulta com as credenciais de outra pessoa porque o incidente parece urgente.

Exemplo resolvido contrastivo B: O responsável e a rota de acesso à fonte estão aprovados, mas um teste inofensivo e agendado de reserva não produz um identificador estável de pedido. Aqui a permissão está presente, mas a cobertura de correlação falha. A próxima ação é um teste estreito de produtor e de campo, e uma pergunta de correção ao responsável pela aplicação. Seria incorreto descrever todos os eventos como coletados, ou identificar o operador de uma reserva usando só carimbos próximos. Nenhum dos exemplos é um fato novo de caso da série R.

O NIST SP 800-61 Rev. 3 trata preparação e resposta a incidentes como atividades ligadas de gestão de risco. O NIST SP 800-84 distingue exercícios de discussão de testes medidos de componente. O classificador original de aprendizagem a seguir é apenas uma peça de sala em memória, não um verificador de fonte ou de aprovação.

Ensaio offline R1X — o primeiro elo de prontidão sem suporte

Rode em Python 3 isolado. As entradas são inventadas e reiniciadas entre linhas. Não há arquivos, chamadas de rede, credenciais nem mudanças reais de sistema.

def ready(owner, alternate, source_route, receipt):
    if owner is None:
        return "HOLD_OWNER_UNNAMED"
    if alternate is None:
        return "ESCALATION_ROUTE_UNVERIFIED"
    if source_route is None:
        return "COLLECTION_ROUTE_UNVERIFIED"
    if receipt is None:
        return "REHEARSAL_NOT_EXECUTED"
    return "FIXTURE_DECLARED_REHEARSAL_ONLY"

cases = [
    ("C01_SCOPE", "service_owner", None, "source", None),
    ("OWNER_UNKNOWN", None, "approved_alternate", "source", None),
    ("NO_SOURCE", "service_owner", "approved_alternate", None, None),
    ("NO_TEST", "service_owner", "approved_alternate", "source", None),
    ("TOY_PASS", "service_owner", "approved_alternate", "source", "synthetic"),
]
for name, *fields in cases:
    print(name, ready(*fields))

Saída Python reproduzida de forma independente e exata:

C01_SCOPE ESCALATION_ROUTE_UNVERIFIED
OWNER_UNKNOWN HOLD_OWNER_UNNAMED
NO_SOURCE COLLECTION_ROUTE_UNVERIFIED
NO_TEST REHEARSAL_NOT_EXECUTED
TOY_PASS FIXTURE_DECLARED_REHEARSAL_ONLY

Teste adversarial: Substitua a cadeia final de TOY_PASS por None; a saída torna-se REHEARSAL_NOT_EXECUTED. Por outro lado, o literal arbitrário "synthetic" alcança um rótulo favorável de peça sem um recibo real de custódia. Assim, o código ensina distinções de estado, mas não pode autenticar um produtor real nem uma aprovação.

Prática e critério: Entregue as cinco linhas de saída, um mapa de dependência e de dono, e uma passagem de duas frases que explique um substituto autorizado ausente. O crédito completo exige a fronteira de liberação R1–R8, um teste observável de treinamento e a diferença entre evidência proposta, aprovada e de fato coletada. R9 não pode ser usado na Rodada A só porque a hora do evento de fonte é anterior à revisão das 09:05.

Rubrica: 3 = cinco linhas exatas, mapa de dono, fronteira R1–R8, teste observável, e diferença entre proposto, aprovado e coletado;; 2 = as cinco linhas coincidem, mas a passagem trata credencial de acesso como autoridade;; 1 = responde, mas omite fonte, limite ou usa R9 na Rodada A;; 0 = nenhum.

Síntese: A prontidão exige uma resposta governada pelo responsável a uma pergunta limitada, não um rótulo verde de painel. O módulo 2 da edição inglesa, ausente deste arquivo, testará as decisões de fonte, de relógio e de coleta. Este adendo não cria nenhum registro novo de incidente da Harbor Library.

1.11 Erros comuns e síntese do capítulo

• Confundir suspeita com confirmação. Use uma hipótese e declare o que a confirmaria ou a enfraqueceria.
• Pular o responsável pelo serviço. Uma ação tecnicamente plausível pode causar dano evitável aos usuários.
• Perder a linha do tempo. Registre carimbos da fonte, fuso e hora de coleta.
• Ampliar o escopo em silêncio. Pergunte antes de coletar ou mudar sistemas fora da autoridade.
• Tratar um estado de cópia como um teste de restauração. Uma execução bem-sucedida de cópia é um fato, não uma garantia de recuperação.
• Tratar uma ausência em logs incompletos como evidência de ausência. Declare o limite da coleta.

Prontidão é a capacidade de responder, sob pressão, quem é dono do serviço, quem pode aprovar uma decisão, onde evidência confiável pode ser encontrada, e como uma decisão será revista. Este capítulo prepara o trabalho de triagem de alertas e de preservação de evidência do módulo 2 da edição inglesa. Esse módulo não está neste manuscrito.

Marco resolvido

Às 09:05 o caso contém só R1–R8. Um cartão de decisão pode recomendar uma verificação restrita com o dono, a alternativa e o gatilho de revisão das 09:15; não deve relatar uma entrevista, uma exportação ou uma mudança de serviço como executada até existir um registro separado de execução.

Prática — Aula 05

EX004 — Fronteira de escopo

Objetivo: aplicar uma fronteira de autorização a uma próxima ação tentadora. Entradas: a declaração de escopo da seção 1.4 e R1–R8. Saída: uma decisão curta de escopo com ação proposta, objetos e operações permitidos, motivo da rejeição, alternativa contida, e condição de parada ou de escalada. Quem estuda quer buscar num site público real de biblioteca um nome de conta correspondente. Explique o que os oito registros fornecidos permitem em vez disso, e escreva um pedido hipotético do detalhe adicional se ele importasse ao caso. Uma nota 2 exclui explicitamente acesso a site real e nomeia o aprovador responsável de qualquer escopo ampliado futuro.

Tarefa suplementar AR1 (depois do artefato exigido):

Verificação adicional: Na decisão curta existente de escopo que rejeita uma busca em biblioteca do mundo real, declare o que quem estuda precisaria ver numa aprovação autoritativa, atual e presa ao escopo antes de qualquer coleta nova futura poder sequer ser proposta ao custodiante designado. Use AR1 para nomear uma falha de registro obsoleto ou de escopo excessivo de objetos como um exemplo separado de prontidão, não como fato do incidente.

Critério de crédito completo: Mantenha os objetos permitidos originais, o motivo de rejeitar acesso a site real, a alternativa contida e a condição de parada ou escalada. Uma delegação expirada ou um caminho de confirmação não verificado precisa bloquear a coleta adicional proposta. Nenhum resultado AR1 simulado e válido concede permissão sobre um site real.

Resolução: EX004 no apêndice final.

Rubrica: 3 = nota 2 da fonte: exclui acesso a site real, nomeia o aprovador de escopo ampliado, e uma delegação expirada bloqueia coleta adicional;; 2 = a rejeição existe, mas o aprovador ou a condição de parada falta;; 1 = responde à pergunta, mas omite fonte, limite ou trata um site alcançável como autoridade;; 0 = nenhum.

EX007 — Registro mínimo de incidente

Objetivo: abrir um caso que outro analista possa continuar. Entradas: R1–R8 e o marco de abertura das 09:00. Saída: exatamente sete campos rotulados: identificador do caso e hora de abertura; serviço; relator e fonte; sinal observado com identificadores de registro; avaliação atual e incerteza; escopo e autoridade permitidos; próxima pergunta, dono e hora de revisão. Detalhes relacionados podem compartilhar um campo. Uma nota 2 retém o contexto T-104 da central, da seção 1.5, distingue o relato de um estado de reserva conferido de forma independente, e não alega que a decisão posterior das 09:05 já estava executada às 09:00.

Extensão de linha de base de comportamento: Mantenha exatamente sete campos de abertura. No campo existente de incerteza, note que uma edição registrada e um relato de frequentador não estabelecem o estado atual correto de reserva aprovado pelo responsável. Não importe a peça BSL1 separada nem uma decisão posterior.

Resolução: EX007 no apêndice final.

Rubrica: 3 = nota 2 da fonte: sete campos, contexto T-104, relato distinto de estado conferido, e decisão das 09:05 ainda não executada às 09:00;; 2 = os sete campos existem, mas o relato é tratado como estado verificado;; 1 = responde à pergunta, mas omite fonte, limite, autoridade ou hora;; 0 = nenhum.

EX009 — Alternativas de decisão

Objetivo: justificar uma decisão proporcional das 09:05 sob incerteza. Entradas: R1–R8 e o portão da seção 1.9. Saída: uma matriz de opções com duas linhas para (A) buscar uma restrição temporária de desk-a e (B) preservar R1–R8, perguntar ao responsável pelo treinamento e revisar antes da restrição. Registre, para cada uma, benefício esperado, custo possível de serviço ou de atraso, aprovador, sucesso ou falha observável e um gatilho de revisão às 09:15. Escolha uma de forma provisória e explique que evidência nova a reverteria. Uma nota 2 identifica uma aprovação separada para a restrição e não descreve qualquer dos riscos como evento já observado.

Extensão: Acrescente um falseador e uma verificação negativa de negócio às duas opções originais. Declare qual observação faria quem estuda reconsiderar uma decisão de esperar, e qual observação indicaria que uma restrição de conta interrompeu trabalho legítimo.

Para crédito completo: Uma resposta de 2 pontos exige estados distintos de aprovação, execução e verificação, não apenas uma opção preferida.

Tarefa suplementar PATH1 (depois do artefato exigido):

Requisito adicional: Mantenha ambas as opções originais das 09:05 e as aprovações delas. Acrescente um contrafactual claramente marcado: se um teste futuro autorizado encontrasse edições da equipe prejudicadas, mas a recepção manual de pedidos possível, identifique a única promessa ao usuário que permanece permitida e uma que é proibida. Não substitua a decisão original de evidência nem invente um item novo da série R.

Tarefa suplementar AR1 (depois do artefato exigido):

Verificação adicional: Mantenha a matriz original de duas opções das 09:05, a evidência só de R1–R8 e os gatilhos de revisão. Para a opção de restrição, acrescente uma pergunta de preparação anterior ao incidente: se o responsável pelo serviço ou o substituto permitido não pudesse ser verificado pelo registro atual, o analista ainda teria autoridade para impor a restrição? Explique a resposta segura sem importar as pessoas fictícias do AR1 nem o ensaio de setembro como resultado do caso.

Critério de crédito completo: Recomendação e aprovação permanecem separadas; nenhuma resposta ausente é tratada como permissão. A opção provisória escolhida continua justificada pela evidência disponível do caso, não por um responsável expirado fabricado às 09:05.

Resolução: EX009 no apêndice final.

Rubrica: 3 = nota 2 da fonte: duas opções, aprovação separada da restrição, riscos não tratados como eventos observados, e silêncio distinto de permissão;; 2 = a matriz existe, mas recomendação e aprovação se confundem;; 1 = responde à pergunta, mas omite fonte, limite, autoridade ou o gatilho das 09:15;; 0 = nenhum.

EX012 — Registro de prática

Objetivo: tornar auditável uma decisão limitada. Entradas: R1–R8, o marco fictício das 09:05 e a matriz de autoridade da seção 1.3. Saída: um registro de decisão com hora, ação, motivo com identificadores de fonte, papel aprovador, papel executor, escopo da cópia de evidência, alternativa rejeitada, próxima hora de revisão e gatilho de reversão. O cenário concede permissão de sala para a cópia limitada; não descreva uma exportação de produção. Uma nota 2 declara a pergunta ao responsável pelo serviço como pendente até ser respondida e preserva a incerteza sobre o controle da conta.

Extensão: Registre um estado explícito para cada atividade: proposed, approved classroom analysis, performed classroom copy se de fato feita, ou not performed. Deixe a resposta proposta do responsável pelo treinamento pendente até ser fornecida.

Para crédito completo: Uma resposta de 2 pontos nunca relata um pedido hipotético como entrevista concluída nem como coleta de evidência de produção.

Resolução: EX012 no apêndice final.

Rubrica: 3 = nota 2 da fonte: registro com papéis, escopo de cópia de sala, pergunta ao responsável pendente, e incerteza sobre o controle da conta;; 2 = o registro existe, mas um pedido hipotético aparece como entrevista ou coleta feita;; 1 = responde à pergunta, mas omite fonte, limite, autoridade ou descreve exportação de produção;; 0 = nenhum.