Capítulo 1 — O que é a segurança ofensiva autorizada

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 Teste autorizado, não invasão por diversão"]
  N1["1.2 Por que as organizações pagam por isso"]
  N2["1.3 O que este curso não vai ensinar"]
  N3["1.4 Quem diz sim"]
  N4["1.5 Uma linguagem comum para as técnicas"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 Teste autorizado, não invasão por diversão"]
  N1["1.2 Por que as organizações pagam por isso"]
  N2["1.3 O que este curso não vai ensinar"]
  N3["1.4 Quem diz sim"]
  N4["1.5 Uma linguagem comum para as técnicas"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX001"]

[1.1 Teste autorizado, não invasão por diversão]
    |
    v
[1.2 Por que as organizações pagam por isso]
    |
    v
[1.3 O que este curso não vai ensinar]
    |
    v
[1.4 Quem diz sim]
    |
    v
[1.5 Uma linguagem comum para as técnicas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) definir segurança ofensiva autorizada e red team; (2) explicar como elas diferem do crime e do trabalho cotidiano de TI; (3) nomear os principais frameworks públicos que as orientam; e (4) descrever quem decide quando um teste é permitido.

1.1 Teste autorizado, não invasão por diversão

Segurança ofensiva autorizada significa procurar fraquezas em sistemas com a permissão escrita do dono, com o propósito de torná-los mais seguros. Um red team é um grupo que simula um atacante realista sob essas mesmas regras. Os dois são trabalhos feitos para um cliente ou para a própria organização. Invadir sistemas sem permissão é crime, mesmo que você pretenda avisar alguém depois. Este curso ensina como os testes autorizados são planejados, limitados e relatados — nunca como atacar sistemas que não são seus.

1.2 Por que as organizações pagam por isso

Os defensores precisam saber o que um atacante poderia de fato fazer, e não apenas o que diz uma lista de verificação. O NIST SP 800-115 descreve vários tipos de teste e avaliação de segurança, de revisões a testes técnicos. O Penetration Testing Execution Standard (PTES) organiza um pentest em etapas como definição do escopo, coleta de inteligência, análise de vulnerabilidades, exploração, pós-exploração e relatório. Programas guiados por ameaças, como o TIBER-EU e o CBEST, usam inteligência para que o teste se pareça com um adversário real contra instituições financeiras. Para o Riverside Civic College, o valor é prático: o teste do portal dos funcionários feito pela empresa externa vai mostrar se um atacante real poderia abusar dele, e a equipe de Maya vai usar o relatório para decidir quais correções vêm primeiro.

1.3 O que este curso não vai ensinar

Você não vai receber código de exploit, payloads nem procedimentos de ataque passo a passo para produtos reais. Os laboratórios usam dados sintéticos e scripts offline. Você vai aprender a verificar o escopo, guardar evidências, escrever achados e ficar dentro das regras. Em vez disso, os laboratórios são scripts curtos em Python que leem dados locais e inventados, como uma lista de alvos e quatro rascunhos de achados para o Riverside Civic College. Você vai praticar as decisões que mantêm os testes seguros e úteis: o que pode ser tocado, o que precisa ser deixado em paz, qual a gravidade de um achado e como avisar as pessoas que precisam agir. Essas habilidades são necessárias antes que qualquer teste técnico seja permitido.

1.4 Quem diz sim

A permissão vem de alguém que é dono do sistema ou está autorizado a falar por ele — muitas vezes um responsável de negócio e um líder de segurança, registrados num documento assinado. Seu gestor, um amigo ou a página "relate um bug" de um site público não bastam, a menos que as regras escritas digam isso. Na dúvida, não teste. No Riverside Civic College, o teste do portal dos funcionários é permitido porque o responsável pelo portal da faculdade e o líder de segurança de TI assinaram um acordo com a empresa externa. O gestor de Maya não pode acrescentar sistemas a esse acordo só pedindo, e Maya também não. Uma página de bug bounty vale apenas para o próprio escopo e as próprias regras publicadas. Se o dono de um sistema não está claro, descubra quem é antes de qualquer teste.

1.5 Uma linguagem comum para as técnicas

O MITRE ATT&CK dá nomes públicos a técnicas adversárias, como T1078 Valid Accounts. Testadores e defensores usam esses nomes para que um achado e uma regra de detecção descrevam o mesmo comportamento. Por exemplo, um sistema de notas em que vários funcionários compartilham um único login de administrador se relaciona ao T1078 Valid Accounts, porque qualquer pessoa com a senha age como um usuário legítimo e ninguém consegue saber quem fez o quê. Maya vai usar esse nome no Capítulo 3. Um nome não pontua o achado nem prova que um ataque aconteceu; ele dá a testadores e defensores uma referência comum, para que uma equipe de detecção possa consultar a técnica e verificar se perceberia o comportamento.

Exemplo resolvido (RCC sintético)

Maya Chen entra na equipe de segurança de TI do Riverside Civic College como estagiária. Seu gestor explica que, no próximo mês, uma empresa externa vai testar o portal dos funcionários da faculdade sob um acordo assinado. A tarefa de Maya neste mês é aprender o que esse acordo significa e como a faculdade vai se preparar, para que ela possa ajudar a revisar o relatório depois.

Caso sintético — Riverside Civic College (RCC). A faculdade, Maya Chen, os sistemas e todos os números deste livro foram inventados para fins didáticos.

Erros e limites

Os nomes e as edições dos frameworks mudam; confira as versões publicadas atuais antes de citá-los num trabalho real. Este livro não concede autorização para testar nenhum sistema real.

Exercícios

• EX001 — Definir o trabalho. Numa frase, o que é segurança ofensiva autorizada?
  Mostrar critérios de avaliação

  Rubrica: 3 = testar com permissão escrita do dono para melhorar a segurança; 2 = parcial; 1 = "hackear"; 0 = nada.
• EX002 — Crime versus trabalho. Explique a diferença entre teste autorizado e acesso não autorizado.
  Mostrar critérios de avaliação

  Rubrica: 3 = permissão vs. falta de permissão; legal vs. ilegal; propósito de melhoria; 2 = dois; 1 = um; 0 = nada.
• EX003 — Red team em palavras simples. O que um red team faz que uma varredura curta de vulnerabilidades talvez não faça?
  Mostrar critérios de avaliação

  Rubrica: 3 = simula um atacante realista sob regras; pode encadear achados; 2 = parcial; 1 = "varre mais"; 0 = nada.
• EX004 — NIST SP 800-115. Que tipo de documento é o NIST SP 800-115?
  Mostrar critérios de avaliação

  Rubrica: 3 = guia do NIST para testes e avaliação de segurança da informação; 2 = "uma norma"; 1 = errado; 0 = nada.
• EX005 — Etapas do PTES. Nomeie três etapas do Penetration Testing Execution Standard.
  Mostrar critérios de avaliação

  Rubrica: 3 = três entre definição do escopo, coleta de inteligência, análise de vulnerabilidades, exploração, pós-exploração, relatório; 2 = duas; 1 = uma; 0 = nada.
• EX006 — TIBER-EU e CBEST. O que o TIBER-EU e o CBEST têm em comum?
  Mostrar critérios de avaliação

  Rubrica: 3 = testes guiados por ameaças para o setor financeiro, usam inteligência, são autorizados; 2 = dois; 1 = um; 0 = nada.
• EX007 — O que este curso recusa. Por que este curso se recusa a compartilhar código de exploit?
  Mostrar critérios de avaliação

  Rubrica: 3 = uso dual / poderia prejudicar sistemas reais; o objetivo de aprendizagem é a melhoria autorizada da defesa; 2 = parcial; 1 = "difícil demais"; 0 = nada.
• EX008 — Quem concede a permissão. Quem pode autorizar um teste do portal dos funcionários do RCC?
  Mostrar critérios de avaliação

  Rubrica: 3 = a faculdade (os donos) por meio de acordo assinado, em geral responsável de negócio + líder de segurança; 2 = parcial; 1 = Maya sozinha / um amigo; 0 = nada.
• EX009 — Confusão com bug bounty. Um site público oferece um bug bounty. Maya pode testá-lo para praticar?
  Mostrar critérios de avaliação

  Rubrica: 3 = só sob as regras escritas e o escopo daquele programa; fora disso, não; 2 = parcial; 1 = sim, livremente; 0 = nada.
• EX010 — O papel de Maya neste mês. O que Maya está se preparando para fazer depois do teste da empresa externa?
  Mostrar critérios de avaliação

  Rubrica: 3 = ajudar a revisar o relatório; entender o acordo; 2 = um; 1 = executar exploits; 0 = nada.
• EX011 — Só dados de laboratório. De onde vêm os números dos laboratórios deste curso?
  Mostrar critérios de avaliação

  Rubrica: 3 = dados sintéticos offline / scripts; nenhum alvo real; 2 = parcial; 1 = da internet; 0 = nada.
• EX012 — Papel do ATT&CK. Para que o MITRE ATT&CK é usado nesta área?
  Mostrar critérios de avaliação

  Rubrica: 3 = nomes comuns para técnicas adversárias; mapear achados / planejar detecção; 2 = parcial; 1 = uma ferramenta de varredura; 0 = nada.
• EX013 — Primeira regra na dúvida. O que Maya deve fazer se não tiver certeza de que algo está no escopo?
  Mostrar critérios de avaliação

  Rubrica: 3 = não testar; perguntar ao contato que autorizou / parar; 2 = só perguntar; 1 = tentar com cuidado; 0 = nada.

Síntese

A segurança ofensiva autorizada é um teste com permissão feito para melhorar a defesa; os frameworks a orientam, e este curso fica dentro dessas regras.

Continue estudando — capítulo 01 de 04

← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →