Capítulo 3 — Achados, evidências e relato responsável
Mapa da aula
Aula 03 publicada. Mapa, exemplo, EX027.
flowchart TD
N0["3.1 O que é um achado"]
N1["3.2 Evidências sem dano"]
N2["3.3 Nomear técnicas"]
N3["3.4 Severidade honesta"]
N4["3.5 Quem lê o relatório"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX027"]
Desenho lógico
flowchart LR
N0["3.1 O que é um achado"]
N1["3.2 Evidências sem dano"]
N2["3.3 Nomear técnicas"]
N3["3.4 Severidade honesta"]
N4["3.5 Quem lê o relatório"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX027"]
[3.1 O que é um achado]
|
v
[3.2 Evidências sem dano]
|
v
[3.3 Nomear técnicas]
|
v
[3.4 Severidade honesta]
|
v
[3.5 Quem lê o relatório]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX027]
Objetivos de aprendizagem
Você vai (1) descrever o que torna um achado útil; (2) guardar evidências simples sem atacar sistemas; (3) mapear um achado para o nome de uma técnica do ATT&CK; e (4) escrever um relatório curto, adequado ao público.
3.1 O que é um achado
Um achado é uma fraqueza ou lacuna específica, sustentada por evidências, que importa para a organização. Ele declara o que foi observado, onde, quando, por que importa, como reproduzir a observação dentro das regras e uma correção sugerida. Afirmações vagas como "a segurança está fraca" não são achados. Por exemplo, o achado F3 de Maya declara que o sistema de notas usa uma única conta de administrador compartilhada, de modo que os logs não conseguem mostrar qual funcionário alterou uma nota. Ele nomeia o sistema, apresenta a evidência, explica o dano aos registros dos estudantes e sugere contas nominais como correção. Um responsável consegue conferi-lo e agir a partir dele.
3.2 Evidências sem dano
As evidências podem ser capturas de tela de configuração, linhas de log, trechos de políticas ou a saída de ferramentas autorizadas. Você guarda apenas o que o acordo permite, marca cada item com horário e origem e nunca o compartilha além do público combinado. Os laboratórios deste curso nunca tocam alvos reais. Se uma evidência contém dados pessoais, como nomes de estudantes numa captura de tela, mascare-os ou substitua a captura por uma amostra sintética que ainda mostre o problema. Guarde as evidências onde apenas as pessoas combinadas possam lê-las e apague-as ou devolva-as quando o acordo mandar.
3.3 Nomear técnicas
Ligar um achado ao MITRE ATT&CK ajuda os defensores a procurar detecções relacionadas. Por exemplo, uma senha compartilhada e reutilizada entre sistemas se relaciona ao T1078 Valid Accounts. O nome descreve o comportamento; ele não prova quem seria o atacante. Use o nome da técnica como indicação, e não como conclusão. O F3 de Maya corresponde ao T1078 porque credenciais compartilhadas permitem que qualquer pessoa que as tenha aja como um usuário legítimo sem deixar o próprio nome nos logs. Os defensores podem então verificar se o monitoramento deles perceberia esse comportamento no sistema de notas. Mapeie um achado apenas quando o comportamento corresponder com clareza.
3.4 Severidade honesta
A severidade combina a facilidade de usar o problema e o tamanho do dano que ele poderia causar. Existem pontuações do setor, como o CVSS, mas muitas organizações também usam uma escala simples de probabilidade × impacto combinada com o cliente. Exagerar a severidade destrói a confiança; subestimá-la deixa o risco sem tratamento. A escala de Maya multiplica probabilidade e impacto, cada um de 1 a 3. O F3 pontua 2 × 3 = 6: a conta de administrador compartilhada não é trivial de abusar, mas notas alteradas sem responsabilização prejudicariam os estudantes e a confiança na faculdade. Use o CVSS apenas se a organização já o usa e se as pontuações seguem o método dele.
3.5 Quem lê o relatório
Executivos precisam de linguagem de risco curta e de decisões; responsáveis pelos sistemas precisam de passos de reprodução e de correções; defensores precisam de nomes de técnicas e de ideias de detecção. Um relatório muitas vezes tem um resumo para os líderes e detalhes para os engenheiros. Para o F3, Maya escreve um parágrafo explicando ao diretor de TI por que o acesso administrativo compartilhado ameaça a integridade das notas, e uma lista de correções orientando o responsável pela aplicação a substituir o login compartilhado por contas nominais e a registrar a identidade do usuário no log de auditoria. As evidências detalhadas ficam num anexo para os engenheiros. Confira se todas as versões contam os mesmos fatos.
Exemplo resolvido (RCC sintético)
Depois de uma revisão sintética, em sala de aula, das políticas do RCC (sem varredura real), Maya redige o achado F3: "O sistema de notas usa uma única conta de administrador compartilhada; os logs não conseguem mostrar qual funcionário alterou uma nota." Ela o liga ao ATT&CK T1078 Valid Accounts, atribui probabilidade 2 e impacto 3 e escreve um resumo de um parágrafo para o diretor de TI, além de uma lista detalhada de correções para o responsável pela aplicação.
Caso sintético — RCC. O achado e as notas foram inventados para a sala de aula.
Erros e limites
Os mapeamentos para o ATT&CK são apoios, e não provas de uma intrusão. Uma severidade sem escala combinada confunde os leitores.
Exercícios
- EX027 — Partes do achado. Liste cinco partes de um achado útil. Rubrica: 3 = o quê, onde, quando, por que importa, reprodução dentro das regras, correção sugerida; 2 = quatro; 1 = duas; 0 = nada.
- EX028 — Não é achado. Por que "a rede é insegura" é um achado ruim? Rubrica: 3 = não é específico, sem evidência, sem local, sem correção; 2 = dois; 1 = um; 0 = nada.
- EX029 — Exemplos de evidência. Nomeie três tipos de evidência permitidos num teste autorizado típico. Rubrica: 3 = três entre capturas de tela, logs, configurações, saída de ferramentas autorizadas, trechos de políticas; 2 = dois; 1 = um; 0 = nada.
- EX030 — ATT&CK para o administrador compartilhado. Qual técnica do ATT&CK melhor corresponde a uma conta de administrador compartilhada no sistema de notas? Rubrica: 3 = T1078 Valid Accounts; 2 = só o nome; 1 = errado; 0 = nada.
- EX031 — Probabilidade × impacto. Usando as notas de Maya para o F3, qual é a pontuação e por que o impacto é 3? Rubrica: 3 = 6; impacto alto por causa da integridade das notas / dos registros dos estudantes; 2 = só a pontuação; 1 = errado; 0 = nada.
- EX032 — Exagerar a severidade. O que dá errado se todo achado for rotulado como crítico? Rubrica: 3 = a confiança desmorona; os responsáveis não conseguem priorizar; os críticos reais são ignorados; 2 = parcial; 1 = nada dá errado; 0 = nada.
- EX033 — Dois públicos. Escreva uma frase para o diretor de TI e uma para o responsável pela aplicação sobre o F3. Rubrica: 3 = diretor: risco/responsabilização; responsável: conta compartilhada, logs, correção com contas nominais; 2 = uma boa; 1 = o mesmo jargão nas duas; 0 = nada.
- EX034 — Reprodução dentro das regras. O que significa "reproduzir dentro das regras"? Rubrica: 3 = passos que ficam dentro da autorização e evitam danos; 2 = parcial; 1 = exploit completo; 0 = nada.
- EX035 — Minimização de dados. Maya fez uma captura de tela com três nomes de estudantes visíveis. O que ela deve fazer antes de registrá-la? Rubrica: 3 = mascarar os nomes / usar uma amostra sintética; guardar só o que o acordo permite; 2 = parcial; 1 = registrar como está; 0 = nada.
- EX036 — Papel do OWASP WSTG. Para que serve o OWASP Web Security Testing Guide? Rubrica: 3 = verificações estruturadas de testes web / metodologia; 2 = "lista da web"; 1 = malware; 0 = nada.
- EX037 — Ordem das seções do relatório. Em que ordem o resumo, os achados e os apêndices costumam aparecer? Rubrica: 3 = resumo executivo, achados, apêndices/evidências; 2 = parcial; 1 = apêndices primeiro; 0 = nada.
- EX038 — Sem linguagem de culpa. Reescreva "o administrador preguiçoso reutilizou senhas" em linguagem profissional de achado. Rubrica: 3 = descreve a condição do sistema sem ofender pessoas; 2 = parcial; 1 = mantém a ofensa; 0 = nada.
Síntese
Os achados são específicos, sustentados por evidências e mapeados para nomes de técnicas comuns; os relatórios dizem a cada público o que fazer.
Continue estudando — capítulo 03 de 04
← Capítulo 02 (rascunho) · Índice de capítulos do curso · Capítulo 04 (rascunho) →